Psiphon ارزیابی امنیتی شخص ثالث دیگری را به پایان رساند
2018/2/16 - 2 دقیقه مطالعه
به‌روزرسانی‌شده: 2021/6/4
در اواخر ژوئن 2017، Psiphon به اثبات تعهد خود به توسعه منبع‌باز (می‌توانید به مخزن کد ما در اینجا دسترسی داشته باشید)، با سفارش به Cure53 برای انجام یک ممیزی امنیتی از خدمات ما ادامه داد. این بررسی امنیتی 22 روز طول کشید و در مجموع با 9 آزمونگر انجام شد تا آنچه را که بازبینی با «دامنه‌ای وسیع» توصیف شده بود تکمیل کنند و آزمونگران Cure53 بسیار دقیق بودند. این دومین ممیزی امنیتی ما از این دست طی 3 سال اخیر است (می‌توانید نتایج اولین مورد را که توسط iSec انجام شد، در اینجا مشاهده کنید).
در شرح گزارش از آنچه در دامنه بررسی گنجانده شده بود، آمده است:
«در دامنه بررسی، چندین بخش از مجموعه نرم‌افزاری Psiphon قرار داشت، از جمله کلاینت و سرور هسته تونل، رابط کتابخانه‌ها، برنامه Psiphon iOS و در نهایت، مرورگر Psiphon iOS. این پیش‌فرض و دامنه بسیار گسترده، ضرورت به‌کارگیری تعداد نسبتاً زیادی از آزمونگران با تخصص‌های متناسب در حوزه‌های مختلف را توجیه می‌کند. در مجموع، آزمایش‌ها شامل ممیزی کد، آزمون‌های نفوذ واقعی، بازبینی پروتکل و پیکربندی، و ممیزی رمزنگاری بود.»
ما از نتایج این ممیزی امنیتی بسیار خرسندیم و با افتخار اعلام می‌کنیم که «هیچ خطر امنیتی قابل توجهی برملا نشد» (ص. 19). در راستای شفافیت، می‌توانید گزارش کامل و با جزئیات را در قالب pdf در اینجا مطالعه کنید. از دو آسیب‌پذیری یافت‌شده، یکی قبلاً برطرف شده است (و توسط Cure53 تأیید شده) و اقداماتی برای رفع مورد دیگر در نسخه‌های آینده انجام شده است.
آزمونگران همچنین به 7 مورد متفرقه دیگر اشاره کردند که فهرست آن‌ها را می‌توانید در گزارش بیابید، که چهار مورد از آن‌ها نیز تاکنون برطرف شده است.
«آزمونگران این باور مشترک را داشتند که این مجموعه نرم‌افزاری از چندین ممیزی امنیتی نرم‌افزار در گذشته بهره فراوان برده است. ناگفته نماند که این امر در یافته‌ها نیز بازتاب یافته است. در میان مجموع نه مشکل کشف‌شده، تنها دو مورد به‌عنوان آسیب‌پذیری امنیتی علامت‌گذاری شدند و حتی به آن‌ها پایین‌ترین رتبه شدت یعنی «اطلاعاتی» اختصاص یافت.»
آزمونگران Cure53 در سراسر گزارش چندین بار به تمیز بودن و کیفیت‌محور بودن کد اشاره کردند و به نتیجه‌گیری زیر رسیدند:
«علیرغم صرف زمان و منابع انسانی قابل توجه برای تلاش در جهت نفوذ، مؤلفه‌های Psiphon که در دامنه بررسی بودند، در برابر موشکافی‌ها مقاومت کردند و در مواجهه با اقدامات خصمانه، قوی و مستحکم ظاهر شدند. نتیجه نهایی این است که هیچ خطر امنیتی قابل توجهی برملا نشد.»
امیدواریم این گزارش برای شما جالب باشد و شما را از تعهد ما به ارائه نرم‌افزاری درجه یک که همواره منبع‌باز و امن خواهد بود، مطمئن سازد.