Psiphon sai päätökseen jälleen uuden kolmannen osapuolen tietoturva-arvioinnin
16.2.2018 - 1 min lukuaika
Päivitetty: 4.6.2021
Kesäkuun lopussa 2017 Psiphon osoitti jälleen sitoutumisensa avoimen lähdekoodin kehitykseen (pääset koodivarastoomme täältä), tilaamalla Cure53:lta palveluidemme tietoturvatarkastuksen. Tietoturva-arviointi kesti 22 päivää ja vaati yhteensä 9 testaajaa sellaisen arvioinnin suorittamiseksi, jota kuvailtiin ”laaja-alaiseksi”, ja Cure53:n testaajat olivat erittäin perusteellisia. Tämä on 2. tämänkaltainen tietoturvatarkastuksemme 3 vuoteen (näet iSecin tekemän 1. tarkastuksen tulokset täältä).
Raportin kuvaus laajuuteen sisältyneistä kohteista kuuluu seuraavasti:
”Tarkastelun kohteena oli useita Psiphon-ohjelmistokokonaisuuden osia, mukaan lukien tunnelin ytimen asiakas- ja palvelinohjelma, liitoskirjasto, Psiphon iOS -sovellus sekä viimeisenä muttei vähäisimpänä Psiphon iOS -selain. Tämä erittäin laaja lähtökohta ja laajuus selittävät tarpeen osallistaa melko suuri joukko testaajia, joilla oli asianmukaisesti soveltuvaa asiantuntemusta eri osa-alueilta. Kaiken kaikkiaan testit sisälsivät kooditarkastuksia, varsinaisia tunkeutumistestejä, protokolla- ja konfiguraatioarviointeja sekä kryptografisen auditoinnin.”
Olemme erittäin tyytyväisiä tietoturvatarkastuksen tuloksiin ja ylpeitä voidessamme kertoa, että ”mitään merkittäviä tietoturvariskejä ei havaittu” (s. 19). Avoimuuden hengessä voit lukea koko yksityiskohtaisen raportin pdf-muodossa täältä. Kahdesta löydetystä haavoittuvuudesta toinen on jo korjattu (ja Cure53:n vahvistama), ja toisen korjaamiseksi tulevissa julkaisuissa on jo ryhdytty toimenpiteisiin.
Testaajat panivat merkille myös 7 muuta sekalaisempaa ongelmaa, jotka löytyvät luetteloituina raportista; näistä neljään on myös jo puututtu.
”Testaajat olivat yhtä mieltä siitä, että ohjelmistokokonaisuus oli hyötynyt suuresti aiemmin tehdyistä useista ohjelmistojen tietoturvatarkastuksista. Sanomattakin on selvää, että tämä heijastuu havainnoissa. Yhdeksästä havaitusta ongelmasta vain kaksi merkittiin tietoturvahaavoittuvuuksiksi, ja niille annettiin edelleen alhaisin vakavuusluokitus ”Informational”.”
Cure53:n testaajat huomauttivat raportissa useaan otteeseen koodin siisteydestä ja laatuorientoituneisuudesta sekä päätyivät seuraavaan johtopäätökseen:
”Huolimatta siitä, että murtautumisyrityksiin käytettiin huomattavasti aikaa ja henkilöstöresursseja, tarkastelun kohteena olleet Psiphon-komponentit kestivät tarkastelun ja osoittautuivat vahvoiksi ja kestäviksi vastapuolen toimien edessä. Lopputulos on, että mitään merkittäviä tietoturvariskejä ei havaittu.”
Toivomme, että pidät tätä raporttia mielenkiintoisena ja että se vahvistaa luottamustasi sitoutumiseemme tarjota ensiluokkaista ohjelmistoa, joka on aina avointa lähdekoodia ja turvallista.