Heartbleed ו-Psiphon
4.10.2014 - 2 דק' קריאה
עודכן: 26.9.2021
סיכום ההשפעה של Heartbleed על Psiphon:
- שרתי Psiphon מסוימים השתמשו בגרסאות מושפעות של OpenSSL, מה שהותיר את שרת האינטרנט של Python פגיע למתקפת Heartbleed. נתונים שהיו בסיכון, בתוך תהליך רכיב שרת האינטרנט, כללו מידע על טופולוגיית רשת Psiphon וסטטיסטיקות שימוש ברשת, בנוסף לחומרי מפתח של שרת האינטרנט.
- מנהרות ה-SSH/SSH+ של Psiphon לא היו בסיכון. תעבורת משתמשים שזרמה דרך שרתי Psiphon לא הייתה בסיכון. מנהרות VPN של Psiphon היו עלולות להיות בסיכון למתקפות אדם בתווך, מכיוון שסוד האימות לכל הפעלה נמצא בזיכרון שרת האינטרנט של Python.
- ב-8 באפריל 2014, הוחלו טלאי OpenSSL על כל שרתי Psiphon המושפעים. בנוסף, מכל השרתים המושפעים נשללו יכולות שאינן SSH/SSH+ (עדכונים מחוץ לערוץ לכל הלקוחות), מה שמבטיח שלקוחות לא ינסו להשתמש בחומרי מפתח של שרת אינטרנט שעלולים היו להיחשף מחוץ למנהרה המאובטחת.
- לקוח Windows אינו משתמש ב-OpenSSL ואינו מושפע ממתקפת Heartbleed.
- לקוח Android אינו משתמש ב-OpenSSL עבור המנהרה שלו, אך כן משתמש ב-Android Java SSL עבור בקשות הרשת שלו לשרתי האינטרנט של Psiphon ול-Amazon S3. מאחר ש Android בגרסה 4.1.1 מושפעת מ-Heartbleed, האפליקציה שלנו בגרסה ספציפית זו של Android נותרת פגיעה בפני Amazon, שרתי Psiphon, או גורם אדם בתווך שמציץ בזיכרון האפליקציה.
- שרת המענה האוטומטי בדוא"ל כלל את הגרסה המושפעת של OpenSSL. המתקפה נגדו הייתה לגרום לו ליצור חיבור SSL לשרת דואר מרוחק (על ידי שליחת בקשת דוא"ל מכתובת שמשתמשת באותו שרת), שיכול היה לאחר מכן להציץ בזיכרון של שרת הדואר. הדבר עלול היה לחשוף תוכן דוא"ל, כולל כתובות. טלאי ה-OpenSSL הוחלו ב-8 באפריל 2014.
- שרת עיבוד המשוב כלל את הגרסה המושפעת של OpenSSL. ייתכן שהוא השתמש בספרייה זו (באמצעות Python + Boto כדי ליצור חיבורי SSL לשירותי Amazon AWS ולשרת Google Gmail. פירוש הדבר הוא ש-Amazon או Google יכלו לגשת אל נתוני משוב משתמשים. עם זאת, יש לציין כי נתונים אלה כבר מתארחים ב-Amazon EC2 וחלק מנתונים אלה נשלח אלינו בדוא"ל באמצעות Gmail. טלאי ה-OpenSSL הוחלו ב-8 באפריל 2014.
- Psiphon לא השתמש בגרסה מושפעת של OpenSSL.