Psiphon یک بررسی امنیتی دیگر توسط شخص ثالث را تکمیل کرد
2/16/2018 - 2 دقیقه مطالعه
به‌روزشده: 6/4/2021
در اواخر جون ۲۰۱۷، Psiphon به اثبات تعهد خود به توسعه منبع‌باز (شما می‌توانید به مخزن کد ما در اینجا دسترسی پیدا کنید)، با سپردن انجام یک بررسی امنیتی از خدمات‌مان به Cure53 ادامه داد. تکمیل این بررسی امنیتی ۲۲ روز و در مجموع ۹ آزمایش‌کننده را در بر گرفت تا آنچه که به عنوان بررسی با «ساحهٔ وسیع» توصیف شده بود به پایان برسد، و آزمایش‌کنندگان Cure53 بسیار دقیق بودند. این دومین بررسی امنیتی از این نوع در طی ۳ سال است (می‌توانید نتایج اولین بررسی انجام‌شده توسط iSec را در اینجا مشاهده کنید).
توضیحات این گزارش در مورد آنچه شامل این ساحه بود، چنین است:
«در این ساحه چندین جزء از مجموعه نرم‌افزاری Psiphon قرار داشت، از جمله کلاینت و سرور هسته تونل، رابط‌های کتابخانه (library glue)، برنامه iOS مربوط به Psiphon و در نهایت، مرورگر iOS مربوط به Psiphon. این فرضیه و ساحهٔ بسیار وسیع ضرورت دخیل ساختن تعداد نسبتاً زیادی از آزمایش‌کنندگان با تخصص مناسب در بخش‌های مختلف را توضیح می‌دهد. در مجموع، آزمایش‌ها شامل بررسی کدها، آزمایش‌های نفوذ واقعی، بررسی‌های پروتکل و پیکربندی و بررسی رمزنگاری بود.»
ما از نتایج این بررسی امنیتی بسیار خرسندیم و با افتخار اعلام می‌کنیم که «هیچ خطر امنیتی قابل‌توجهی آشکار نشد» (صفحه ۱۹). بر اساس اصل شفافیت، می‌توانید گزارش مفصل و کامل را به شکل PDF در اینجا مطالعه کنید. از دو آسیب‌پذیری کشف‌شده، یکی قبلاً برطرف شده است (و توسط Cure53 تأیید گردیده) و اقداماتی برای برطرف کردن مورد دیگر در نسخه‌های آینده روی دست گرفته شده است.
آزمایش‌کنندگان همچنین ۷ مسئله متفرقه دیگر را یادداشت کردند که می‌توانید فهرست آن‌ها را در گزارش پیدا کنید؛ چهار مورد از این‌ها نیز قبلاً برطرف شده‌اند.
«آزمایش‌کنندگان به این باور مشترک رسیدند که مجموعه نرم‌افزاری از چندین بررسی امنیتی نرم‌افزاری در گذشته بهرهٔ زیادی برده است. ناگفته پیداست که این موضوع در یافته‌ها منعکس شده است. از میان در مجموع ۹ مورد کشف‌شده، تنها دو مورد به عنوان آسیب‌پذیری‌های امنیتی علامت‌گذاری شدند و علاوه بر آن به پایین‌ترین درجهٔ شدت یعنی "اطلاعاتی" (Informational) اختصاص یافتند.»
آزمایش‌کنندگان Cure53 چندین بار در سراسر گزارش اشاره کردند که کد چقدر تمیز و مبتنی بر کیفیت است و به نتیجه‌گیری زیر رسیدند:
«علیرغم صرف زمان و منابع انسانی قابل توجه برای تلاش جهت نفوذ، اجزای Psiphon در این ساحه در برابر بررسی دقیق ایستادگی کردند و در مواجهه با اقدامات تهاجمی، نیرومند و مستحکم ظاهر شدند. نتیجه نهایی این است که هیچ خطر امنیتی قابل توجهی آشکار نشد.»
ما امیدواریم که این گزارش برای شما جالب باشد و به شما در مورد تعهد ما به ارائه نرم‌افزار درجه یک که همواره منبع‌باز و امن خواهد بود، اطمینان دهد.