Psiphon completa otra revisión de seguridad de terceros
16/2/2018 - 2 min de lectura
Actualizado: 4/6/2021
A finales de junio de 2017, Psiphon continuó demostrando su compromiso con el desarrollo de código abierto (puede acceder a nuestro repositorio de código aquí), al encargar a Cure53 la realización de una auditoría de seguridad de nuestros servicios. La revisión de seguridad tomó 22 días y un total de 9 evaluadores para completar lo que se describió como una revisión con un «alcance muy amplio», y los evaluadores de Cure53 fueron sumamente minuciosos. Esta es nuestra 2.ª auditoría de seguridad de este tipo en 3 años (puede consultar los resultados de la 1.ª, realizada por iSec aquí).
La descripción del informe sobre lo que se incluyó en el alcance dice:
“Dentro del alcance se encontraban múltiples componentes del complejo de software de Psiphon, incluidos el cliente y el servidor del núcleo del túnel, el código de enlace de bibliotecas, la aplicación de Psiphon para iOS y, por último pero no menos importante, el navegador de Psiphon para iOS. Esta premisa y alcance tan amplios explican la necesidad de involucrar a un número bastante grande de evaluadores con experiencia adecuadamente combinada en diferentes áreas. En resumen, las pruebas incluyeron auditorías de código, pruebas de penetración reales, revisiones de protocolos y configuraciones, y una auditoría criptográfica."
Estamos muy satisfechos con los resultados de la auditoría de seguridad y orgullosos de comunicar que “no se pudieron descubrir riesgos de seguridad dignos de mención” (pág. 19). En aras de la transparencia, puede leer el informe completo y detallado en formato PDF aquí. De las dos vulnerabilidades encontradas, una ya ha sido corregida (y confirmada por Cure53) y se han tomado medidas para solucionar la otra en próximas versiones.
Los evaluadores también señalaron otros 7 problemas diversos que puede encontrar enumerados en el informe; cuatro de ellos también ya han sido solucionados.
“Los evaluadores compartieron la convicción de que el conjunto de software se benefició enormemente de una serie de auditorías de seguridad de software en el pasado. Huelga decir que esto se refleja en los hallazgos. Entre los nueve problemas descubiertos en total, solo dos se marcaron como vulnerabilidades de seguridad y, además, se les asignó la clasificación de gravedad más baja: «Informativa».”
Los evaluadores de Cure53 destacaron varias veces a lo largo del informe lo limpio y orientado a la calidad que está el código, y llegaron a la siguiente conclusión:
“A pesar de invertir un tiempo y unos recursos de personal considerables en intentar vulnerar la seguridad, los componentes de Psiphon dentro del alcance resistieron el escrutinio y se mostraron fuertes y robustos frente a los esfuerzos adversarios. La conclusión es que no se pudieron descubrir riesgos de seguridad dignos de mención.”
Esperamos que este informe le resulte interesante y que le confirme nuestro compromiso de ofrecer un software de primera categoría que siempre será de código abierto y seguro.