Psiphon השלימה סקירת אבטחה נוספת מטעם צד שלישי
16.2.2018 - 2 דק' קריאה
עודכן: 4.6.2021
בשלהי יוני 2017, Psiphon המשיכה להוכיח את מחויבותה לפיתוח קוד פתוח (ניתן לגשת למאגר הקוד שלנו כאן), בכך שהזמינה את Cure53 לבצע ביקורת אבטחה של השירותים שלנו. סקירת האבטחה נמשכה 22 ימים ודרשה בסך הכול 9 בודקים כדי להשלים את מה שתואר כסקירה בעלת ”היקף נרחב”, ובודקי Cure53 היו יסודיים מאוד. זוהי ביקורת האבטחה ה-2 שלנו מסוג זה בתוך 3 שנים (תוכלו לראות את תוצאות הראשונה, שבוצעה על ידי iSec כאן).
בתיאור הדו״ח לגבי מה שנכלל בהיקף הבדיקה נכתב:
”בהיקף הבדיקה נכללו רכיבים מרובים של מערך התוכנה של Psiphon, כולל לקוח ושרת ליבת המנהרה (tunnel-core), קוד הקישור של הספריות, אפליקציית Psiphon ל-iOS וכן, אחרון חביב, דפדפן Psiphon ל-iOS. הנחת יסוד והיקף רחבים מאוד אלה מסבירים את הצורך בשיתוף מספר גדול למדי של בודקים בעלי מומחיות מותאמת כראוי בתחומים שונים. לסיכום, הבדיקות כללו ביקורות קוד, מבדקי חדירה בפועל, סקירות פרוטוקול ותצורה וביקורת קריפטוגרפית.”
אנו מרוצים מאוד מתוצאות ביקורת האבטחה וגאים לדווח כי ”לא נחשפו סיכוני אבטחה ראויים לציון” (עמ' 19). ברוח השקיפות, תוכלו לקרוא את הדו״ח המפורט המלא בפורמט PDF כאן. מתוך שתי נקודות התורפה שנמצאו, אחת כבר תוקנה (ואושרה על ידי Cure53) וננקטו צעדים לטיפול בשנייה בגרסאות הבאות.
הבודקים ציינו גם 7 סוגיות שונות אחרות שתוכלו למצוא ברשימה שבדו״ח, ארבע מהן כבר טופלו אף הן.
”הבודקים היו תמימי דעים כי מערך התוכנה הפיק תועלת רבה ממספר ביקורות אבטחת תוכנה בעבר. מיותר לציין כי הדבר בא לידי ביטוי בממצאים. מתוך סך תשע הסוגיות שהתגלו, רק שתיים סומנו כפגיעויות אבטחה ויוחס להן דירוג החומרה הנמוך ביותר של ”Informational” (לידיעה בלבד).”
בודקי Cure53 ציינו מספר פעמים לכל אורך הדו״ח עד כמה הקוד נקי ומכוון איכות, והגיעו למסקנה הבאה:
”למרות השקעת זמן ניכר ומשאבי כוח אדם בניסיון פריצה, רכיבי Psiphon שנכללו בבדיקה עמדו בבחינה והפגינו חוזק ועמידות מול מאמצי היריב. בשורה התחתונה, לא נחשפו סיכוני אבטחה ראויים לציון.”
אנו מקווים שתמצאו דו״ח זה מעניין, ושהוא יבטיח לכם את מחויבותנו לספק תוכנה מהשורה הראשונה שתמיד תהיה בקוד פתוח ומאובטחת.