7ASecurityn tuore Psiphonin koodin tietoturva-auditointi: ”Ei merkittäviä tietoturva-aukkoja”
2.11.2021 - 1 min lukuaika
Osana jatkuvaa sitoutumistamme korkeimpien läpinäkyvyys- ja tietoturvastandardien saavuttamiseen Psiphon antoi 7ASecuritylle toimeksiannon suorittaa koodikantansa tietoturva-arviointi neljän uuden Psiphon-parannuksen osalta. Tuloksena syntynyt raportti on julkinen ja luettavissa osoitteessa: https://7asecurity.com/reports/pentest-report_psiphon-e.pdf.
Käyttäen ”white box” -lähestymistapaa, mikä tarkoittaa, että koko lähdekoodi oli saatavilla, tietoturvatiimi ryhtyi selvittämään, miten Psiphon noudattaa turvallisen koodauksen parhaita käytäntöjä, ja antamaan tarvittaessa suosituksia suojatoimenpiteistä havaintojensa perusteella. Tietoturvatiimi käytti erilaisia työkaluja ja menetelmiä koko Psiphonin lähdekoodiin ja kolmannen osapuolen kirjastoihin. Myös verkkoliikennettä analysoitiin mahdollisten hyökkäysvektoreiden, sormenjälkien tunnistamisen ja Psiphonin hyökkäyksenaikaisen käyttäytymisen tunnistamiseksi.
Tiimin johtopäätökset olivat seuraavat:
”Psiphon-alustan havaittiin olevan vastustuskykyinen monenlaisille hyökkäysvektoreille ja antavan kaiken kaikkiaan vakuuttavan vaikutelman.
Tämä antaa hyvän kuvan ratkaisun takana olevasta tiimistä. 7ASecurity havaitsi vain 1 vakavuudeltaan vähäisen tietoturvahaavoittuvuuden. Näin ollen tämän toimeksiannon aikana ei pystytty havaitsemaan merkittäviä tietoturvapuutteita. Loput 4 havaintoa luokiteltiin sekalaisiksi heikkouksiksi, ja niitä ei siten pidetty haavoittuvuuksina.”
Psiphonin koodikanta on avointa lähdekoodia, ja siihen voi tutustua GitHubissa. Aiemmat Psiphonin koodin tietoturva-auditoinnit löytyvät verkkosivustoltamme ja Psiphonin blogista.
Kiitämme 7ASecurity-tiimiä sen työpanoksesta ja olemme iloisia siitä, että Psiphonin ohjelmistoinsinöörit ja lähdekoodi nauttivat edelleen näin korkeaa arvostusta.