Heartbleed et Psiphon
04/10/2014 - 2 min de lecture
Mis à jour : 26/09/2021
Résumé de l'impact de Heartbleed sur Psiphon :
- Certains serveurs Psiphon utilisaient des versions affectées d'OpenSSL, laissant le serveur Web Python vulnérable à l'attaque Heartbleed. Les données à risque, au sein du processus du composant serveur Web, comprenaient des informations sur la topologie du réseau Psiphon et des statistiques d'utilisation du réseau en plus des éléments de clé du serveur Web.
- Les tunnels Psiphon SSH/SSH+ n'étaient pas exposés au risque. Le trafic des utilisateurs transitant par les serveurs Psiphon n'était pas exposé au risque. Les tunnels Psiphon VPN étaient potentiellement vulnérables à des attaques de l'homme du milieu, car le secret d'authentification par session se trouve dans la mémoire du serveur Web Python.
- Le 8 avril 2014, des correctifs OpenSSL ont été appliqués à tous les serveurs Psiphon affectés. De plus, les fonctionnalités non-SSH/SSH+ de tous les serveurs affectés ont été révoquées (mises à jour hors bande vers tous les clients), garantissant que les clients ne tenteront pas d'utiliser des éléments de clé de serveur Web potentiellement compromis en dehors du tunnel sécurisé.
- Le client Windows n'utilise pas OpenSSL et n'est pas affecté par l'attaque Heartbleed.
- Le client Android n'utilise pas OpenSSL pour son tunnel, mais utilise Android Java SSL pour ses requêtes Web vers les serveurs Web Psiphon et Amazon S3. Comme la version 4.1.1 d'Android est affectée par Heartbleed, notre application sur cette version particulière d'Android reste vulnérable à ce qu'Amazon, des serveurs Psiphon ou un intermédiaire « homme du milieu » inspecte la mémoire de l'application.
- Le serveur de réponse automatique par courriel utilisait la version affectée d'OpenSSL. L'attaque contre celui-ci consisterait à lui faire établir une connexion SSL vers un serveur de messagerie distant (en envoyant une demande par courriel depuis une adresse utilisant ce serveur), qui pourrait alors inspecter la mémoire du serveur de messagerie. Cela pourrait potentiellement exposer le contenu des courriels, y compris les adresses. Les correctifs OpenSSL ont été appliqués le 8 avril 2014.
- Le serveur de traitement des commentaires utilisait la version affectée d'OpenSSL. Il a pu utiliser cette bibliothèque (via Python + Boto) pour établir des connexions SSL vers les services Amazon AWS et le serveur Google Gmail. Cela signifie qu'Amazon ou Google aurait pu accéder aux données de commentaires des utilisateurs. Cependant, il convient de noter que ces données sont déjà hébergées sur Amazon EC2 et qu'un sous-ensemble de ces données nous est envoyé par courriel via Gmail. Les correctifs OpenSSL ont été appliqués le 8 avril 2014.
- Psiphon n'utilisait pas de version affectée d'OpenSSL.