Heartbleed y Psiphon
4/10/2014 - 2 min de lectura
Actualizado: 26/9/2021
Resumen del impacto de Heartbleed en Psiphon:
- Algunos servidores de Psiphon utilizaban versiones afectadas de OpenSSL, dejando el servidor web Python vulnerable al ataque Heartbleed. Los datos en riesgo, dentro del proceso del componente del servidor web, incluían información de topología de red de Psiphon y estadísticas de uso de red, además del material de claves del servidor web.
- Los túneles SSH/SSH+ de Psiphon no estuvieron en riesgo. El tráfico de los usuarios a través de los servidores de Psiphon no estuvo en riesgo. Los túneles VPN de Psiphon estuvieron potencialmente en riesgo frente a ataques man-in-the-middle, ya que el secreto de autenticación por sesión reside en la memoria del servidor web Python.
- El 8 de abril de 2014, se aplicaron parches de OpenSSL a todos los servidores de Psiphon afectados. Además, a todos los servidores afectados se les revocaron sus funcionalidades que no fueran SSH/SSH+ (actualizaciones fuera de banda para todos los clientes), asegurando que los clientes no intenten usar material de claves del servidor web potencialmente comprometido fuera del túnel seguro.
- El cliente de Windows no utiliza OpenSSL y no está afectado por el ataque Heartbleed.
- El cliente de Android no utiliza OpenSSL para su túnel, pero sí utiliza Android Java SSL para sus solicitudes web a los servidores web de Psiphon y a Amazon S3. Como la versión 4.1.1 de Android está afectada por Heartbleed, nuestra aplicación en esta versión específica de Android sigue siendo vulnerable a que Amazon, los servidores de Psiphon o un atacante man-in-the-middle espíen la memoria de la aplicación.
- El servidor de respuesta automática de correo electrónico tenía la versión afectada de OpenSSL. El ataque contra él consistiría en hacer que estableciera una conexión SSL con un servidor de correo remoto (enviando una solicitud por correo electrónico desde una dirección que use ese servidor), el cual podría entonces espiar la memoria del servidor de correo. Esto podría exponer potencialmente el contenido del correo electrónico, incluidas las direcciones. Los parches de OpenSSL se aplicaron el 8 de abril de 2014.
- El servidor de procesamiento de comentarios tenía la versión afectada de OpenSSL. Es posible que haya utilizado esa biblioteca (a través de Python + Boto para establecer conexiones SSL con los servicios de Amazon AWS y el servidor Gmail de Google. Esto significa que Amazon o Google podrían haber accedido a los datos de comentarios de los usuarios. Sin embargo, cabe señalar que estos datos ya están alojados en Amazon EC2 y un subconjunto de estos datos se nos envía por correo electrónico a través de Gmail. Los parches de OpenSSL se aplicaron el 8 de abril de 2014.
- Psiphon no estaba utilizando una versión afectada de OpenSSL.