Heartbleed و Psiphon
10/4/2014 - 2 دقیقه مطالعه
به‌روزشده: 9/26/2021
خلاصه تأثیر Heartbleed بر Psiphon:
- برخی از سرورهای Psiphon از نسخه‌های آسیب‌دیده OpenSSL استفاده می‌کردند که وب‌سرور Python را در برابر حمله Heartbleed آسیب‌پذیر می‌کرد. داده‌های در معرض خطر، در روند جزء وب‌سرور، علاوه بر مواد کلیدی وب‌سرور، شامل معلومات توپولوژی شبکه Psiphon و آمار استفاده از شبکه بود.
- تونل‌های SSH/SSH+ Psiphon در معرض خطر نبودند. ترافیک کاربران که از سرورهای Psiphon عبور می‌کرد در معرض خطر نبود. تونل‌های VPN Psiphon به صورت بالقوه در معرض خطر حملات مرد میانی بودند، زیرا رمز احراز هویت برای هر نشست در حافظه وب‌سرور Python قرار دارد.
- در 8 اپریل 2014، وصله‌های اصلاحی OpenSSL برای تمام سرورهای آسیب‌دیده Psiphon اعمال شد. علاوه بر این، قابلیت‌های غیر SSH/SSH+ تمام سرورهای متأثر لغو شد (آپدیت‌های خارج از باند برای تمام کلاینت‌ها)، تا اطمینان حاصل شود که کلاینت‌ها تلاشی برای استفاده از مواد کلیدی وب‌سرور که احتمالاً افشا شده‌اند در خارج از تونل امن انجام نخواهند داد.
- کلاینت Windows از OpenSSL استفاده نمی‌کند و تحت تأثیر حمله Heartbleed قرار نگرفته است.
- کلاینت Android برای تونل خود از OpenSSL استفاده نمی‌کند، اما برای درخواست‌های وب خود به سرورهای وب Psiphon و Amazon S3 از Android Java SSL استفاده می‌کند. از آنجا که Android نسخه 4.1.1 تحت تأثیر Heartbleed قرار گرفته است، برنامه ما در این نسخه خاص از Android در برابر سرک کشیدن Amazon، سرورهای Psiphon یا یک فرد در میان به حافظه برنامه، آسیب‌پذیر باقی می‌ماند.
- سرور پاسخ‌دهنده خودکار ایمیل نسخه آسیب‌دیده OpenSSL را داشت. حمله به آن به این صورت خواهد بود که آن را وادار به برقراری اتصال SSL به یک سرور ایمیل راه دور کنند (با ارسال یک درخواست ایمیل از آدرسی که از آن سرور استفاده می‌کند)، که پس از آن می‌تواند به حافظه سرور ایمیل سرک بکشد. این کار به طور بالقوه می‌تواند محتوای ایمیل، به شمول آدرس‌ها را فاش کند. وصله‌های اصلاحی OpenSSL در 8 اپریل 2014 اعمال شدند.
- سرور پردازش بازخورد دارای نسخه آسیب‌دیده OpenSSL بود. این سرور ممکن است از این کتابخانه (از طریق Python + Boto برای ایجاد اتصالات SSL به خدمات Amazon AWS و سرور Gmail گوگل استفاده کرده باشد. این بدان معناست که Amazon یا گوگل ممکن است به داده‌های بازخورد کاربران دسترسی پیدا کرده باشند. با این حال، باید یادآوری شود که این داده‌ها از قبل در Amazon EC2 میزبانی می‌شوند و بخش فرعی از این داده‌ها از طریق Gmail برای ما ایمیل می‌شود. وصله‌های اصلاحی OpenSSL در 8 اپریل 2014 اعمال شدند.
- Psiphon از نسخه آسیب‌دیده OpenSSL استفاده نمی‌کرد.