Heartbleed ja Psiphon
4.10.2014 - 1 min lukuaika
Päivitetty: 26.9.2021
Yhteenveto Heartbleed-haavoittuvuuden vaikutuksista Psiphoniin:
- Jotkin Psiphon-palvelimet käyttivät haavoittuvuudelle alttiita OpenSSL-versioita, mikä jätti Python-verkkopalvelimen alttiiksi Heartbleed-hyökkäykselle. Vaarassa olleita tietoja verkkopalvelinkomponentin prosessissa olivat Psiphon-verkon topologiatiedot ja verkon käyttötilastot sekä verkkopalvelimen avainmateriaali.
- SSH/SSH+-muotoiset Psiphon-tunnelit eivät olleet vaarassa. Psiphon-palvelimien läpi kulkeva käyttäjäliikenne ei ollut vaarassa. VPN-muotoiset Psiphon-tunnelit olivat mahdollisesti alttiina välistävetohyökkäyksille, koska istuntokohtainen todennussalaisuus on Python-verkkopalvelimen muistissa.
- 8. huhtikuuta 2014 OpenSSL-korjaukset asennettiin kaikille alttiina olleille Psiphon-palvelimille. Lisäksi kaikkien alttiina olleiden palvelimien muut kuin SSH/SSH+-toiminnallisuudet peruutettiin (kaikille sovelluksille toimitettujen erillispäivitysten kautta), millä varmistettiin, etteivät sovellukset yritä käyttää mahdollisesti vaarantunutta verkkopalvelimen avainmateriaalia suojatun tunnelin ulkopuolella.
- Windows-sovellus ei käytä OpenSSL:ää, eikä Heartbleed-hyökkäys vaikuta siihen.
- Android-sovellus ei käytä OpenSSL:ää tunnelissaan, mutta käyttää Android Java SSL:ää verkkopyynnöissään Psiphon-verkkopalvelimiin ja Amazon S3:een. Koska Heartbleed vaikuttaa Android-versioon 4.1.1, sovelluksemme tällä kyseisellä Android-versiolla pysyy alttiina sille, että Amazon, Psiphon-palvelimet tai välistävetäjä pääsee kurkistamaan sovelluksen muistiin.
- Sähköpostin automaattivastaajapalvelimella oli haavoittuvuudelle altis versio OpenSSL:stä. Siihen kohdistuva hyökkäys olisi voinut saada sen muodostamaan SSL-yhteyden etäsähköpostipalvelimeen (lähettämällä sähköpostipyynnön kyseistä palvelinta käyttävästä osoitteesta), joka voisi sitten kurkistaa sähköpostipalvelimen muistiin. Tämä olisi voinut mahdollisesti paljastaa sähköpostin sisältöä, mukaan lukien osoitteita. OpenSSL-korjaukset asennettiin 8. huhtikuuta 2014.
- Palautteiden käsittelypalvelimella oli haavoittuvuudelle altis versio OpenSSL:stä. Se on saattanut käyttää kyseistä kirjastoa (Python + Boto -yhdistelmän kautta) muodostaakseen SSL-yhteyksiä Amazon AWS -palveluihin ja Googlen Gmail-palvelimeen. Tämä tarkoittaa, että Amazon tai Google olisi voinut päästä käsiksi käyttäjien palautetietoihin. On kuitenkin huomioitava, että näitä tietoja ylläpidetään jo Amazon EC2:ssa ja osa näistä tiedoista lähetetään meille sähköpostitse Gmailin kautta. OpenSSL-korjaukset asennettiin 8. huhtikuuta 2014.
- Psiphon ei käyttänyt haavoittuvuudelle altista versiota OpenSSL:stä.