Psiphon 3:n riippumaton tietoturva-arviointi

Me Psiphonilla olemme sitoutuneet avoimen lähdekoodin kehitykseen. Käsittelimme tätä aiemmassa blogikirjoituksessamme, ja lähdekoodiimme voi tutustua täällä.

Saimme hiljattain tilaisuuden viedä tämän avoimuuden askeleen pidemmälle, kun iSEC Partners suoritti virallisen tietoturvatarkastuksen Windows- ja Android-tuotteillemme. Osana pyrkimystämme toimintamme läpinäkyvyyteen meillä on ilo julkaista tämä raportti kokonaisuudessaan, ja se on luettavissa täällä.

Kokonaisuudessaan olemme erittäin tyytyväisiä tietoturvatarkastuksen tuloksiin ja siihen, että meidän todettiin ”panostavan aktiivisesti [käyttäjiemme] turvallisuuden varmistamiseen”. Olemme jo korjanneet ainoan iSEC Partnersin havaitseman vakavuudeltaan korkean (High Severity) ongelman, ja jatkamme muiden suositusten käsittelyä ajan myötä.

Raportin tärkeimmät havainnot ovat:

• Psiphon noudattaa useimpia alan parhaita käytäntöjä ja ryhtyy toimiin hyökkäyksiltä suojautumiseksi tilanteissa, joissa tämä ei ole mahdollista.
• Useimmat havainnot olivat ehdotuksia järjestelmän kehittämiseksi edelleen, erityisesti ohjelmiston käyttäjämäärien kasvuun liittyen.
• Luontaisia arkkitehtuurivirheitä ei havaittu.
• Yksi vakavuudeltaan korkea (High Severity) ongelma löydettiin koskien automatisoitua palvelinpäivitystä. Olemme nyt ottaneet käyttöön automatisoidun palvelinpäivityksen käyttäen Ansiblea.
• Pidemmän aikavälin suositukset ovat harkinnassa, ja ne sisällytetään kehityssuunnitelmiimme soveltuvin osin.

Eräs erityisen kiinnostava havainto on iSEC Partnersin toteamus mahdollisista tietoturvaongelmista, jotka liittyvät vain selainta käyttävässä tilassa (browser-only mode) käyttämäämme selaimeen. Kirjoitimme aiheesta hiljattain, kun selaimesta löydettiin uusi tietoturva-aukko, ja olemme jo ryhtyneet toimiin siltä suojautumiseksi.

Olimme erittäin iloisia saadessamme mahdollisuuden osallistua tähän tietoturvakatselmukseen. Toivomme raportin olevan kiinnostavaa luettavaa ja vakuuttavan sinut sitoutumisestamme ensiluokkaisen ohjelmiston tarjoamiseen, joka tulee aina olemaan avointa lähdekoodia ja turvallinen.