Neovisna sigurnosna procjena za Psiphon 3

U Psiphonu smo posvećeni razvoju otvorenog koda. O tome smo govorili u prethodnoj objavi na blogu, a našem izvornom kodu možete pristupiti ovdje.

Nedavno nam je ponuđena prilika da ovu otvorenost podignemo korak dalje uz formalnu sigurnosnu reviziju naših proizvoda za Windows i Android, koju je proveo iSEC Partners. Kao dio naših nastojanja da budemo transparentni u načinu rada, sa zadovoljstvom objavljujemo ovo izvješće u cijelosti, a možete mu pristupiti ovdje.

Sve u svemu, vrlo smo zadovoljni rezultatima sigurnosne revizije i time što je prepoznato da smo "aktivno posvećeni osiguravanju sigurnosti [naših] korisnika". Već smo riješili jednu stavku visoke razine ozbiljnosti (High Severity) koju je otkrio iSEC Partners i nastavit ćemo s vremenom rješavati i ostale preporuke.

Glavni nalazi izvješća su:

• Psiphon slijedi većinu najboljih industrijskih praksi i poduzima mjere za ublažavanje napada tamo gdje to ne može.
• Većina nalaza bili su prijedlozi za daljnje poboljšanje sustava, osobito u vezi s rastom broja ljudi koji koriste softver.
• Nisu otkriveni nikakvi inherentni arhitektonski nedostaci.
• Pronađen je jedan problem visoke razine ozbiljnosti (High Severity), povezan s automatiziranom primjenom zakrpa na poslužiteljima. Sada smo implementirali automatizirano instaliranje zakrpa na poslužiteljima pomoću alata Ansible.
• Dugoročnije preporuke se razmatraju i, gdje je to prikladno, ugrađuju u naše razvojne planove.

Jedan od posebno zanimljivih nalaza jest zapažanje iSEC Partnersa da postoji potencijal za sigurnosne probleme povezane s preglednikom koji koristimo za način rada samo za preglednik. O tome smo nedavno pisali kada je otkriven novi sigurnosni propust u pregledniku te smo već poduzeli korake za njegovo ublažavanje.

Bilo nam je iznimno drago što smo dobili priliku sudjelovati u ovom sigurnosnom pregledu. Nadamo se da će vam ovo izvješće biti zanimljivo i da će vas uvjeriti u našu predanost pružanju vrhunskog softvera koji će uvijek biti otvorenog koda i siguran.