Évaluation indépendante de la sécurité de Psiphon 3

Chez Psiphon, nous sommes engagés envers le développement open source. Nous en avons parlé dans un article de blog précédent, et vous pouvez accéder à notre code source ici.

Nous avons récemment eu l’opportunité de pousser cette transparence encore plus loin grâce à un audit de sécurité officiel de nos produits Windows et Android, réalisé par iSEC Partners. Dans le cadre de nos efforts de transparence quant à notre façon d'opérer, nous sommes ravis de publier ce rapport dans son intégralité, que vous pouvez consulter ici.

Dans l’ensemble, nous sommes très satisfaits des résultats de cet audit de sécurité, ainsi que de la reconnaissance du fait que nous sommes « activement investis dans la garantie de la sécurité de [nos] utilisateurs ». Nous avons déjà résolu le problème de gravité élevée (« High Severity ») découvert par iSEC Partners, et nous continuerons à répondre aux autres recommandations au fil du temps.

Les principales conclusions du rapport sont les suivantes :

• Psiphon suit la plupart des meilleures pratiques de l'industrie et prend des mesures pour atténuer les risques d'attaques lorsque cela n'est pas possible.
• La plupart des conclusions étaient des suggestions visant à améliorer davantage le système, notamment en lien avec la croissance du nombre de personnes utilisant le logiciel.
• Aucune faille d'architecture inhérente n'a été découverte.
• Un problème de gravité élevée a été détecté, lié à l'application automatisée des correctifs de sécurité des serveurs. Nous avons désormais déployé l'application automatisée des correctifs de serveurs à l'aide d'Ansible.
• Les recommandations à plus long terme sont en cours d'examen et, le cas échéant, intégrées dans nos plans de développement.

L'une des constatations particulièrement intéressantes concerne la reconnaissance par iSEC Partners du fait qu'il existe des risques potentiels de sécurité liés au navigateur que nous utilisons pour le mode navigateur uniquement. Nous avons écrit à ce sujet récemment lorsqu'une nouvelle faille de sécurité dans le navigateur a été découverte, et nous avons déjà pris des mesures pour en atténuer les risques.

Nous avons été très heureux d'avoir eu l'opportunité de participer à cette évaluation de sécurité. Nous espérons que ce rapport vous paraîtra intéressant et qu'il vous rassurera quant à notre engagement à fournir des logiciels de premier ordre qui resteront toujours open source et sécurisés.