Heartbleed और Psiphon
4/10/2014 - 2 मिनट का पठन
अपडेट किया गया: 26/9/2021
Psiphon पर Heartbleed के प्रभाव का सारांश:
- कुछ Psiphon सर्वर OpenSSL के प्रभावित संस्करणों का उपयोग कर रहे थे, जिससे Python वेब सर्वर Heartbleed हमले के प्रति संवेदनशील हो गया था। वेब सर्वर घटक प्रक्रिया के भीतर जोखिम वाले डेटा में वेब सर्वर कुंजी सामग्री के अलावा Psiphon नेटवर्क टोपोलॉजी जानकारी और नेटवर्क उपयोग के आंकड़े शामिल थे।
- SSH/SSH+ Psiphon टनल जोखिम में नहीं थीं। Psiphon सर्वरों से प्रवाहित होने वाला उपयोगकर्ता ट्रैफ़िक जोखिम में नहीं था। VPN Psiphon टनल संभावित रूप से मैन-इन-द-मिडिल हमलों के जोखिम में थीं क्योंकि प्रति-सत्र प्रमाणीकरण सीक्रेट Python वेब सर्वर मेमोरी में होता है।
- 8 अप्रैल, 2014 को, सभी प्रभावित Psiphon सर्वरों पर OpenSSL पैच लागू किए गए थे। इसके अलावा, सभी प्रभावित सर्वरों की गैर-SSH/SSH+ क्षमताओं को रद्द कर दिया गया था (सभी क्लाइंट्स को आउट-ऑफ़-बैंड अपडेट), जिससे यह सुनिश्चित हुआ कि क्लाइंट सुरक्षित टनल के बाहर संभावित रूप से प्रभावित वेब सर्वर कुंजी सामग्री का उपयोग करने का प्रयास नहीं करेंगे।
- Windows क्लाइंट OpenSSL का उपयोग नहीं करता है और Heartbleed हमले से प्रभावित नहीं है।
- Android क्लाइंट अपनी टनल के लिए OpenSSL का उपयोग नहीं करता है, लेकिन Psiphon वेब सर्वर और Amazon S3 के अपने वेब अनुरोधों के लिए Android Java SSL का उपयोग करता है। चूंकि Android संस्करण 4.1.1 Heartbleed से प्रभावित है, इसलिए Android के इस विशेष संस्करण पर हमारा ऐप Amazon, Psiphon सर्वरों, या ऐप मेमोरी में ताक-झांक करने वाले किसी मैन-इन-द-मिडिल के प्रति संवेदनशील बना हुआ है।
- ईमेल ऑटो-रेस्पॉन्डर सर्वर में OpenSSL का प्रभावित संस्करण था। इसके खिलाफ हमला इसे किसी रिमोट मेल सर्वर से SSL कनेक्शन स्थापित कराने के लिए होगा (उस सर्वर का उपयोग करने वाले पते से एक ईमेल अनुरोध भेजकर), जो फिर मेल सर्वर की मेमोरी में ताक-झांक कर सकता था। यह पतों सहित ईमेल सामग्री को संभावित रूप से उजागर कर सकता था। OpenSSL पैच 8 अप्रैल, 2014 को लागू किए गए थे।
- फ़ीडबैक प्रोसेसिंग सर्वर में OpenSSL का प्रभावित संस्करण था। इसने Amazon AWS सेवाओं और Google Gmail सर्वर से SSL कनेक्शन स्थापित करने के लिए उस लाइब्रेरी (Python + Boto के माध्यम से) का उपयोग किया हो सकता है। इसका मतलब यह है कि Amazon या Google ने उपयोगकर्ता फ़ीडबैक डेटा तक पहुँच प्राप्त की हो सकती है। हालाँकि, यह ध्यान दिया जाना चाहिए कि यह डेटा पहले से ही Amazon EC2 में होस्ट किया गया है और इस डेटा का एक सबसेट Gmail के ज़रिए हमें ईमेल किया जाता है। OpenSSL पैच 8 अप्रैल, 2014 को लागू किए गए थे।
- Psiphon OpenSSL के प्रभावित संस्करण का उपयोग नहीं कर रहा था।