ارزیابی امنیتی مستقل Psiphon 3
2014/10/14 - 2 دقیقه مطالعه
به‌روزرسانی‌شده: 2021/9/26
در Psiphon، ما به توسعه متن‌باز متعهد هستیم. ما در پست وبلاگ قبلی در این مورد صحبت کردیم، و شما می‌توانید به کد منبع ما از اینجا دسترسی پیدا کنید.
اخیراً این فرصت به ما داده شد تا این شفافیت را با انجام یک ممیزی امنیتی رسمی از محصولات Windows و Android خود، که توسط iSEC Partners انجام شد، یک قدم فراتر ببریم. به عنوان بخشی از تلاش خود برای شفافیت در شیوه عملکردمان، خرسندیم که این گزارش را به طور کامل منتشر کنیم، که می‌توانید از اینجا به آن دسترسی داشته باشید.
در کل، ما از نتایج ممیزی امنیتی بسیار خرسندیم و از اینکه اذعان شده ما «به طور فعال در تضمین امنیت کاربران [خود] سرمایه‌گذاری کرده‌ایم» خوشحالیم. ما قبلاً به یک مورد با شدت بالا (High Severity) که توسط iSEC Partners کشف شده بود رسیدگی کرده‌ایم و به مرور زمان به بررسی سایر توصیه‌ها نیز ادامه خواهیم داد.
یافته‌های اصلی این گزارش عبارتند از:
- Psiphon بیشتر بهترین شیوه‌های این صنعت را دنبال می‌کند و در مواردی که امکان آن وجود ندارد، تدابیری را برای کاهش حملات اتخاذ می‌کند.
- بیشتر یافته‌ها پیشنهادهایی برای بهبود بیشتر سیستم بودند، به ویژه در رابطه با افزایش تعداد افرادی که از نرم‌افزار استفاده می‌کنند.
- هیچ نقص معماری ذاتی کشف نشد.
- یک مشکل با شدت بالا (High Severity) یافت شد که مربوط به پچ خودکار سرور بود. ما اکنون پچ خودکار سرور را با استفاده از Ansible مستقر کرده‌ایم.
- توصیه‌های بلندمدت‌تر در حال بررسی هستند و در صورت لزوم در برنامه‌های توسعه ما گنجانده می‌شوند.
یکی از یافته‌های جالب توجه، اذعان iSEC Partners به وجود پتانسیل بروز مشکلات امنیتی مربوط به مرورگری است که ما برای حالت فقط-مرورگر (browser-only) استفاده می‌کنیم. ما اخیراً با کشف یک نقص امنیتی جدید در مرورگر، در این مورد نوشتیم و قبلاً اقداماتی را برای کاهش این مشکل انجام داده‌ایم.
ما از داشتن فرصت شرکت در این بازبینی امنیتی بسیار خوشحال شدیم. امیدواریم این گزارش برای شما جالب باشد و به شما نسبت به تعهد ما در ارائه نرم‌افزاری درجه یک که همیشه متن‌باز و امن خواهد بود، اطمینان خاطر دهد.