Psiphon dovršio još jednu sigurnosnu reviziju treće strane
16. 02. 2018. - 2 min čitanja
Ažurirano: 04. 06. 2021.
Krajem lipnja 2017., Psiphon je nastavio dokazivati svoju predanost razvoju otvorenog koda (našem repozitoriju koda možete pristupiti ovdje), angažiranjem tvrtke Cure53 za provođenje sigurnosne revizije naših usluga. Sigurnosni pregled trajao je 22 dana i zahtijevao ukupno 9 ispitivača kako bi se dovršilo ono što je opisano kao pregled s „ogromnim opsegom”, a ispitivači tvrtke Cure53 bili su iznimno temeljiti. Ovo je naša 2. sigurnosna revizija ove vrste u 3 godine (rezultate prve, koju je proveo iSec, možete vidjeti ovdje).
Opis onoga što je bilo uključeno u opseg u izvješću glasi:
„U opsegu je bilo više komponenti softverskog sklopa Psiphon, uključujući klijent i poslužitelj jezgre tunela, vezni kod biblioteka, Psiphon iOS aplikaciju i, na kraju, ali ne i najmanje važno, Psiphon iOS preglednik. Ova vrlo široka premisa i opseg objašnjavaju nužnost uključivanja prilično velikog broja ispitivača s odgovarajućom stručnošću u različitim područjima. Ukratko, testiranja su uključivala revizije koda, stvarne penetracijske testove, preglede protokola i konfiguracije te kriptografsku reviziju.”
Vrlo smo zadovoljni rezultatima sigurnosne revizije i ponosni što možemo prenijeti da „nisu otkriveni nikakvi značajniji sigurnosni rizici” (str. 19). U duhu transparentnosti cjelovito detaljno izvješće u PDF formatu možete pročitati ovdje. Od dviju pronađenih ranjivosti, jedna je već ispravljena (što je potvrdio i Cure53), a poduzeti su koraci za rješavanje druge u nadolazećim izdanjima.
Ispitivači su također zabilježili 7 drugih raznih problema koje možete pronaći navedene u izvješću, a četiri od njih već su riješena.
„Ispitivači su dijelili uvjerenje da je softverski sklop imao velike koristi od niza sigurnosnih revizija softvera u prošlosti. Suvišno je reći da se to odražava i na nalazima. Među ukupno devet otkrivenih problema, samo su dva označena kao sigurnosne ranjivosti te im je dodijeljen najniži stupanj ozbiljnosti „Informativno”.”
Ispitivači tvrtke Cure53 u više su navrata kroz izvješće istaknuli koliko je kôd čist i kvalitetan te su došli do sljedećeg zaključka:
„Unatoč ulaganju znatnog vremena i ljudskih resursa u pokušaj kompromitacije, komponente Psiphona u opsegu izdržale su provjeru te su se pokazale snažnima i robusnima pred napadačkim naporima. Zaključak je da nisu otkriveni nikakvi značajniji sigurnosni rizici.”
Nadamo se da će vam ovo izvješće biti zanimljivo i da će vas uvjeriti u našu predanost pružanju prvoklasnog softvera koji će uvijek biti otvorenog koda i siguran.