هارت‌بلید و Psiphon
2014/10/4 - 2 دقیقه مطالعه
به‌روزرسانی‌شده: 2021/9/26
خلاصه تأثیر Heartbleed بر Psiphon:
- برخی از سرورهای Psiphon از نسخه‌های تحت تأثیر OpenSSL استفاده می‌کردند، که باعث می‌شد وب‌سرور Python در برابر حمله Heartbleed آسیب‌پذیر باشد. داده‌های در معرض خطر، در فرآیند مؤلفه وب‌سرور، علاوه بر اطلاعات کلیدی وب‌سرور، شامل اطلاعات توپولوژی شبکه Psiphon و آمار استفاده از شبکه بود.
- تونل‌های SSH/SSH+ Psiphon در معرض خطر نبودند. ترافیک کاربر که از طریق سرورهای Psiphon عبور می‌کرد در معرض خطر نبود. تونل‌های VPN Psiphon به‌دلیل اینکه رمز احراز هویتِ هر نشست در حافظه وب‌سرور Python قرار دارد، به‌طور بالقوه در معرض خطر حملات مرد میانی (man-in-the-middle) بودند.
- در ۸ آوریل ۲۰۱۴، وصله‌های OpenSSL روی تمام سرورهای تحت تأثیر Psiphon اعمال شد. علاوه بر این، قابلیت‌های غیر SSH/SSH+ همه سرورهای آسیب‌دیده لغو شد (به‌روزرسانی‌های خارج از باند برای همه کلاینت‌ها)، تا اطمینان حاصل شود که کلاینت‌ها تلاشی برای استفاده از اطلاعات کلیدی احتمالاً به‌خطر افتاده وب‌سرور در خارج از تونل امن نخواهند کرد.
- کلاینت Windows از OpenSSL استفاده نمی‌کند و تحت تأثیر حمله Heartbleed قرار نگرفته است.
- کلاینت Android از OpenSSL برای تونل خود استفاده نمی‌کند، اما از Java SSL سیستم‌عامل Android برای درخواست‌های وب خود به وب‌سرورهای Psiphon و Amazon S3 استفاده می‌کند. از آنجا که نسخه ۴.۱.۱ Android تحت تأثیر Heartbleed قرار دارد، برنامه ما در این نسخه خاص از Android همچنان در برابر سرک کشیدن Amazon، سرورهای Psiphon یا یک مرد میانی به حافظه برنامه آسیب‌پذیر باقی می‌ماند.
- سرور پاسخگوی خودکار ایمیل نسخه تحت تأثیر OpenSSL را داشت. حمله علیه آن به این صورت بود که آن را وادار به برقراری یک اتصال SSL به یک سرور ایمیل راه دور کند (با ارسال یک درخواست ایمیل از آدرسی که از آن سرور استفاده می‌کند)، که پس از آن می‌توانست به حافظه سرور ایمیل سرک بکشد. این امر به‌طور بالقوه می‌توانست محتوای ایمیل‌ها، از جمله آدرس‌ها را فاش کند. وصله‌های OpenSSL در ۸ آوریل ۲۰۱۴ اعمال شدند.
- سرور پردازش بازخورد نسخه تحت تأثیر OpenSSL را داشت. ممکن است از این کتابخانه (از طریق Python + Boto برای برقراری اتصالات SSL به خدمات Amazon AWS و سرور Google Gmail استفاده کرده باشد. این بدان معناست که Amazon یا Google می‌توانستند به داده‌های بازخورد کاربران دسترسی پیدا کرده باشند. با این حال، لازم به ذکر است که این داده‌ها از قبل در Amazon EC2 میزبانی می‌شوند و زیرمجموعه‌ای از این داده‌ها از طریق Gmail برای ما ایمیل می‌شود. وصله‌های OpenSSL در ۸ آوریل ۲۰۱۴ اعمال شدند.
- Psiphon از نسخه تحت تأثیر OpenSSL استفاده نمی‌کرد.