הערכת אבטחה עצמאית של Psiphon 3

ב-Psiphon, אנו מחויבים לפיתוח בקוד פתוח. שוחחנו על כך בפוסט קודם בבלוג, ובאפשרותכם לגשת לקוד המקור שלנו כאן.

לאחרונה ניתנה לנו ההזדמנות לקחת את הפתיחות הזו צעד אחד קדימה באמצעות ביקורת אבטחה רשמית של מוצרינו עבור Windows ו-Android, שבוצעה על ידי iSEC Partners. כחלק מהמאמץ שלנו לפעול בשקיפות, אנו שמחים לפרסם דוח זה במלואו, אליו תוכלו לגשת כאן.

באופן כללי, אנו מרוצים מאוד מתוצאות ביקורת האבטחה, ומכך שהוכר כי אנו "משקיעים באופן פעיל בהבטחת אבטחת המשתמשים [שלנו]". כבר טיפלנו בפריט ה-High Severity היחיד שנחשף על ידי iSEC Partners, ונמשיך לטפל בהמלצות האחרות לאורך זמן.

הממצאים העיקריים של הדוח הם:

• Psiphon פועלת לפי רוב שיטות העבודה המומלצות בתעשייה ונוקטת אמצעים לצמצום הפגיעות מפני מתקפות במקומות שאינה יכולה לעשות כן.
• רוב הממצאים היו הצעות לשיפור נוסף של המערכת, במיוחד בהקשר של הגידול במספר האנשים המשתמשים בתוכנה.
• לא התגלו פגמים ארכיטקטוניים מובנים.
• נמצאה בעיה אחת ברמת חומרה גבוהה (High Severity), הקשורה לעדכון טלאים אוטומטי לשרתים. כעת פרסנו עדכון טלאים אוטומטי לשרתים באמצעות Ansible.
• המלצות לטווח ארוך יותר נבחנות, ובמידת הצורך משולבות בתוכניות הפיתוח שלנו.

ממצא מעניין במיוחד הוא ההכרה של iSEC Partners בכך שיש פוטנציאל לבעיות אבטחה הקשורות לדפדפן שבו אנו משתמשים עבור מצב דפדפן בלבד (browser-only mode). כתבנו על כך לאחרונה כאשר התגלתה פרצת אבטחה חדשה בדפדפן, וכבר נקטנו צעדים כדי להתגונן מפניה.

שמחנו מאוד על ההזדמנות לקחת חלק בסקירת אבטחה זו. אנו מקווים שתמצאו דוח זה מעניין, ושהוא יחזק את ביטחונכם במחויבותנו לספק תוכנה מהשורה הראשונה שתמיד תהיה בקוד פתוח ומאובטחת.