Το Psiphon ολοκληρώνει ακόμη έναν έλεγχο ασφαλείας από τρίτους
16/2/2018 - 2 λεπτά ανάγνωσης
Ενημερώθηκε: 4/6/2021
Στα τέλη Ιουνίου 2017, το Psiphon συνέχισε να αποδεικνύει τη δέσμευσή του στην ανάπτυξη ανοιχτού κώδικα (μπορείτε να αποκτήσετε πρόσβαση στο αποθετήριο κώδικά μας εδώ), αναθέτοντας στην Cure53 να πραγματοποιήσει έναν έλεγχο ασφαλείας των υπηρεσιών μας. Ο έλεγχος ασφαλείας διήρκεσε 22 ημέρες και χρειάστηκε συνολικά 9 ελεγκτές για να ολοκληρωθεί αυτό που περιγράφηκε ως έλεγχος «ευρέος φάσματος», και οι ελεγκτές της Cure53 ήταν πολύ σχολαστικοί. Αυτός είναι ο 2ος μας έλεγχος ασφαλείας αυτού του είδους σε 3 χρόνια (μπορείτε να δείτε τα αποτελέσματα του 1ου, που πραγματοποιήθηκε από την iSec εδώ).
Η περιγραφή της έκθεσης για το τι συμπεριλήφθηκε στο πεδίο εφαρμογής αναφέρει:
«Στο πεδίο εφαρμογής συμπεριλήφθηκαν πολλαπλά στοιχεία της σύνθεσης λογισμικού Psiphon, συμπεριλαμβανομένων του tunnel-core client και server, του library glue, της εφαρμογής Psiphon για iOS και, τέλος, του περιηγητή Psiphon για iOS. Αυτή η πολύ ευρεία υπόθεση και το εύρος εξηγούν την αναγκαιότητα συμμετοχής ενός αρκετά μεγάλου αριθμού ελεγκτών με κατάλληλα προσαρμοσμένη εμπειρογνωμοσύνη σε διαφορετικούς τομείς. Συνοπτικά, οι δοκιμές περιλάμβαναν ελέγχους κώδικα, πραγματικές δοκιμές διείσδυσης, ελέγχους πρωτοκόλλων και παραμέτρων, καθώς και έναν κρυπτογραφικό έλεγχο.»
Είμαστε πολύ ικανοποιημένοι με τα αποτελέσματα του ελέγχου ασφαλείας και υπερήφανοι που μεταφέρουμε ότι «δεν μπόρεσαν να αποκαλυφθούν αξιοσημείωτοι κίνδυνοι ασφαλείας» (σελ. 19). Στο πνεύμα της διαφάνειας, μπορείτε να διαβάσετε την πλήρη λεπτομερή έκθεση σε μορφή pdf εδώ. Από τις δύο ευπάθειες που βρέθηκαν, η μία έχει ήδη διορθωθεί (και επιβεβαιωθεί από την Cure53) και έχουν ληφθεί μέτρα για την αντιμετώπιση της άλλης σε επερχόμενες εκδόσεις.
Οι ελεγκτές σημείωσαν επίσης 7 άλλα διάφορα ζητήματα που μπορείτε να βρείτε καταγεγραμμένα στην έκθεση, τέσσερα από τα οποία έχουν επίσης ήδη αντιμετωπιστεί.
«Οι ελεγκτές μοιράστηκαν την πεποίθηση ότι η σύνθεση λογισμικού επωφελήθηκε σε μεγάλο βαθμό από έναν αριθμό ελέγχων ασφάλειας λογισμικού στο παρελθόν. Περιττό να ειπωθεί, αυτό αντικατοπτρίζεται στα ευρήματα. Μεταξύ των συνολικά εννέα ζητημάτων που ανακαλύφθηκαν, μόνο δύο χαρακτηρίστηκαν ως ευπάθειες ασφαλείας και επιπλέον τους αποδόθηκε η χαμηλότερη κατάταξη σοβαρότητας "Ενημερωτικό".»
Οι ελεγκτές της Cure53 σημείωσαν αρκετές φορές σε όλη την έκθεση πόσο καθαρός και ποιοτικός είναι ο κώδικας και κατέληξαν στο ακόλουθο συμπέρασμα:
«Παρά την επένδυση σημαντικού χρόνου και ανθρώπινων πόρων στην προσπάθεια παραβίασης, τα στοιχεία του Psiphon εντός του πεδίου εφαρμογής άντεξαν στον έλεγχο και παρουσιάστηκαν ισχυρά και ανθεκτικά απέναντι σε εχθρικές ενέργειες. Το τελικό συμπέρασμα είναι ότι δεν μπόρεσαν να αποκαλυφθούν αξιοσημείωτοι κίνδυνοι ασφαλείας.»
Ελπίζουμε ότι θα βρείτε αυτή την έκθεση ενδιαφέρουσα και ότι θα σας διαβεβαιώσει για τη δέσμευσή μας να παρέχουμε λογισμικό πρώτης κατηγορίας που θα είναι πάντα ανοιχτού κώδικα και ασφαλές.