Evaluación de seguridad independiente de Psiphon 3

En Psiphon, estamos comprometidos con el desarrollo de código abierto. Hablamos de esto en una publicación anterior de blog, y puedes acceder a nuestro código fuente aquí.

Recientemente se nos ofreció la oportunidad de llevar esta apertura un paso más allá con una auditoría de seguridad formal de nuestros productos para Windows y Android, a cargo de iSEC Partners. Como parte de nuestro esfuerzo por ser transparentes en la forma en que operamos, nos complace publicar este informe en su totalidad, al que puedes acceder aquí.

En general, estamos muy satisfechos con los resultados de la auditoría de seguridad y con que se reconozca que estamos "activamente dedicados a garantizar la seguridad de [nuestros] usuarios". Ya hemos abordado el único elemento de alta gravedad detectado por iSEC Partners y continuaremos abordando las demás recomendaciones con el tiempo.

Las principales conclusiones del informe son:

• Psiphon sigue la mayoría de las mejores prácticas de la industria y toma medidas para mitigar ataques donde no es posible aplicarlas.
• La mayoría de las observaciones fueron sugerencias para seguir mejorando el sistema, en particular en relación con el crecimiento en el número de personas que utilizan el software.
• No se descubrieron fallas de arquitectura inherentes.
• Se encontró un problema de alta gravedad, relacionado con la aplicación automatizada de parches en los servidores. Ya hemos desplegado la aplicación automatizada de parches en los servidores utilizando Ansible.
• Se están considerando las recomendaciones a más largo plazo y, cuando corresponda, se incorporarán a nuestros planes de desarrollo.

Un hallazgo de especial interés es el reconocimiento por parte de iSEC Partners de que existe un potencial de problemas de seguridad relacionados con el navegador que utilizamos para el modo exclusivo de navegador. Escribimos sobre eso recientemente cuando se descubrió una nueva falla de seguridad en el navegador, y ya hemos tomado medidas para mitigarlo.

Nos complació mucho tener la oportunidad de participar en esta revisión de seguridad. Esperamos que encuentres interesante este informe y que te asegure nuestro compromiso de ofrecer software de primer nivel que siempre será de código abierto y seguro.