Ο πρόσφατος έλεγχος ασφαλείας του κώδικα του Psiphon από την 7ASecurity δεν εντοπίζει “κανένα σημαντικό κενό ασφαλείας”

Ως μέρος της συνεχιζόμενης δέσμευσής μας για την επίτευξη των υψηλότερων προτύπων διαφάνειας και ασφάλειας, το Psiphon ανέθεσε στην 7ASecurity να διενεργήσει έναν έλεγχο ασφαλείας της βάσης κώδικά του σχετικά με τέσσερις νέες βελτιώσεις του Psiphon. Η αναφορά που προέκυψε είναι δημόσια και μπορεί να βρεθεί στη διεύθυνση: https://7asecurity.com/reports/pentest-report_psiphon-e.pdf. 

Χρησιμοποιώντας μια προσέγγιση «white box», που σημαίνει ότι ο πλήρης πηγαίος κώδικας ήταν διαθέσιμος, η ομάδα ασφαλείας ξεκίνησε να προσδιορίσει τη συμμόρφωση του Psiphon με τις βέλτιστες πρακτικές ασφαλούς κώδικα, και να παρέχει συστάσεις προστασίας, όπου κρίθηκε σκόπιμο, με βάση τα ευρήματά της. Η ομάδα ασφαλείας χρησιμοποίησε μια ποικιλία εργαλείων και μεθόδων σε όλο τον πηγαίο κώδικα του Psiphon και τις βιβλιοθήκες τρίτων. Αναλύθηκε επίσης η κίνηση δικτύου για τον εντοπισμό πιθανών διανυσμάτων επίθεσης, αποτυπώματος (fingerprinting) και της συμπεριφοράς του Psiphon υπό επίθεση. 

Τα συμπεράσματα της ομάδας ήταν ότι: 

“Η πλατφόρμα του Psiphon διαπιστώθηκε ότι είναι ανθεκτική σε ένα ευρύ φάσμα διανυσμάτων επίθεσης και άφησε μια συνολικά στιβαρή εντύπωση. 

Αυτό αντανακλά θετικά στην ομάδα πίσω από τη λύση. Η 7ASecurity εντόπισε μόνο 1 ευπάθεια ασφαλείας χαμηλής σοβαρότητας. Συνεπώς, δεν κατέστη δυνατό να εντοπιστούν σημαντικά ελαττώματα ασφαλείας κατά τη διάρκεια αυτής της ανάθεσης. Τα υπόλοιπα 4 ευρήματα ταξινομήθηκαν ως διάφορες αδυναμίες και ως εκ τούτου, δεν θεωρούνται ευπάθειες.”

Η βάση κώδικα του Psiphon είναι ανοιχτού κώδικα και μπορείτε να αποκτήσετε πρόσβαση σε αυτή στο GitHub. Προηγούμενοι έλεγχοι ασφαλείας του κώδικα του Psiphon μπορούν να βρεθούν μέσω του ιστότοπού μας και στο ιστολόγιο του Psiphon. 

Ευχαριστούμε την ομάδα της 7ASecurity για τις προσπάθειές της και χαιρόμαστε που οι μηχανικοί λογισμικού και ο πηγαίος κώδικας του Psiphon συνεχίζουν να εκτιμώνται τόσο θετικά.