Psiphon termine un autre audit de sécurité par un tiers
16/02/2018 - 2 min de lecture
Mis à jour : 04/06/2021
Fin juin 2017, Psiphon a continué de prouver son engagement envers le développement open source (vous pouvez accéder à notre dépôt de code ici), en mandatant Cure53 pour réaliser un audit de sécurité de nos services. L'évaluation de sécurité a nécessité 22 jours et un total de 9 testeurs pour mener à bien ce qui a été décrit comme un examen à la « vaste portée », et les testeurs de Cure53 ont été très rigoureux. Il s'agit de notre 2e audit de sécurité de ce type en 3 ans (vous pouvez consulter les résultats du 1er, réalisé par iSec ici).
La description par le rapport de ce qui était inclus dans le périmètre indique :
« Le périmètre incluait plusieurs composants de l’ensemble logiciel Psiphon, notamment le client et le serveur tunnel-core, le code liant les bibliothèques, l'application iOS Psiphon et, enfin et surtout, le navigateur iOS Psiphon. Cette prémisse et ce périmètre très larges expliquent la nécessité d'impliquer un nombre relativement important de testeurs possédant des compétences adaptées dans différents domaines. En résumé, les tests comprenaient des audits de code, des tests d'intrusion réels, des examens des protocoles et des configurations, ainsi qu'un audit cryptographique. »
Nous sommes très heureux des résultats de l'audit de sécurité et fiers d'annoncer qu'« aucun risque de sécurité notable n'a pu être mis en évidence » (p. 19). Dans un esprit de transparence, vous pouvez lire le rapport détaillé complet au format PDF ici. Parmi les deux vulnérabilités constatées, l'une a déjà été corrigée (et confirmée par Cure53) et des mesures ont été prises pour traiter l'autre dans les prochaines versions.
Les testeurs ont également relevé 7 autres problèmes divers que vous pouvez trouver énumérés dans le rapport ; quatre d'entre eux ont aussi déjà été résolus.
« Les testeurs partageaient la conviction que l'ensemble logiciel a grandement bénéficié d'un certain nombre d'audits de sécurité logicielle par le passé. Il va sans dire que cela se reflète dans les conclusions. Parmi les neuf problèmes découverts au total, seuls deux ont été signalés comme des vulnérabilités de sécurité et se sont vu attribuer le niveau de gravité le plus faible, « Informationnel ». »
Les testeurs de Cure53 ont souligné à plusieurs reprises tout au long du rapport à quel point le code est propre et axé sur la qualité, et sont parvenus à la conclusion suivante :
« Malgré des investissements considérables en temps et en personnel pour tenter une compromission, les composants Psiphon inclus dans le périmètre ont résisté à l'examen et se sont montrés solides et robustes face aux efforts hostiles. En conclusion, aucun risque de sécurité notable n'a pu être mis en évidence. »
Nous espérons que vous trouverez ce rapport intéressant et qu'il vous confirmera notre engagement à fournir des logiciels de premier ordre qui seront toujours open source et sécurisés.