Heartbleed i Psiphon
04. 10. 2014. - 2 min čitanja
Ažurirano: 26. 09. 2021.
Sažetak utjecaja propusta Heartbleed na Psiphon:
- Neki poslužitelji usluge Psiphon koristili su pogođene verzije softvera OpenSSL, čime je Python web poslužitelj ostao ranjiv na napad Heartbleed. Ugroženi podaci, unutar procesa komponente web poslužitelja, uključivali su informacije o topologiji mreže Psiphon i statistiku korištenja mreže uz ključni materijal web poslužitelja.
- Psiphon SSH/SSH+ tuneli nisu bili ugroženi. Korisnički promet koji prolazi kroz poslužitelje usluge Psiphon nije bio ugrožen. VPN Psiphon tuneli bili su potencijalno izloženi riziku od posredničkih napada jer se tajna za provjeru autentičnosti po sesiji nalazi u memoriji Python web poslužitelja.
- Dana 8. travnja 2014. primijenjene su zakrpe za OpenSSL na sve pogođene poslužitelje usluge Psiphon. Uz to, svim pogođenim poslužiteljima ukinute su ne-SSH/SSH+ mogućnosti (ažuriranja izvan pojasa za sve klijente), čime se osigurava da klijenti neće pokušati koristiti potencijalno kompromitirani ključni materijal web poslužitelja izvan sigurnog tunela.
- Windows klijent ne koristi OpenSSL i nije pogođen napadom Heartbleed.
- Android klijent ne koristi OpenSSL za svoj tunel, ali koristi Android Java SSL za svoje web zahtjeve prema web poslužiteljima usluge Psiphon i usluzi Amazon S3. Budući da je verzija Android 4.1.1 pogođena propustom Heartbleed, naša aplikacija na ovoj određenoj verziji sustava Android ostaje ranjiva na to da Amazon, poslužitelji usluge Psiphon ili posrednik u napadu zavire u memoriju aplikacije.
- Poslužitelj za automatski odgovor e-poštom imao je pogođenu verziju softvera OpenSSL. Napad na njega sastojao bi se od navođenja na uspostavu SSL veze s udaljenim poslužiteljem e-pošte (slanjem zahtjeva e-poštom s adrese koja koristi taj poslužitelj), koji bi zatim mogao zaviriti u memoriju poslužitelja e-pošte. To bi potencijalno moglo izložiti sadržaj e-pošte, uključujući adrese. Zakrpe za OpenSSL primijenjene su 8. travnja 2014.
- Poslužitelj za obradu povratnih informacija imao je pogođenu verziju softvera OpenSSL. Možda je koristio tu biblioteku (putem Python + Boto za uspostavljanje SSL veza s uslugama Amazon AWS i poslužiteljem Google Gmail. To znači da su Amazon ili Google mogli pristupiti podacima o povratnim informacijama korisnika. Međutim, valja napomenuti da se ti podaci već nalaze na usluzi Amazon EC2 te da nam se dio tih podataka šalje e-poštom putem usluge Gmail. Zakrpe za OpenSSL primijenjene su 8. travnja 2014.
- Psiphon nije koristio pogođenu verziju softvera OpenSSL.