Penilaian Keamanan Independen Psiphon 3

Di Psiphon, kami berkomitmen pada pengembangan sumber terbuka (open source). Kami telah membahas hal ini di postingan blog sebelumnya, dan Anda dapat mengakses kode sumber kami di sini.

Baru-baru ini kami berkesempatan untuk melangkah lebih jauh dalam keterbukaan ini melalui audit keamanan formal terhadap produk Windows dan Android kami, yang dilakukan oleh iSEC Partners. Sebagai bagian dari upaya kami untuk transparan dalam cara kami beroperasi, kami dengan senang hati memublikasikan laporan ini secara lengkap, yang dapat Anda akses di sini.

Secara keseluruhan, kami sangat senang dengan hasil audit keamanan ini, dan atas pengakuannya bahwa kami "berinvestasi secara aktif dalam memastikan keamanan para pengguna [kami]". Kami telah menangani satu masalah Tingkat Keparahan Tinggi (High Severity) yang ditemukan oleh iSEC Partners, dan akan terus menindaklanjuti rekomendasi lainnya seiring berjalannya waktu.

Temuan utama dari laporan tersebut adalah:

• Psiphon mengikuti sebagian besar praktik terbaik industri dan mengambil langkah-langkah untuk memitigasi serangan di bagian yang tidak memungkinkannya.
• Sebagian besar temuan berupa saran untuk lebih meningkatkan sistem, terutama terkait dengan pertumbuhan jumlah orang yang menggunakan perangkat lunak ini.
• Tidak ditemukan kelemahan arsitektur yang mendasar.
• Satu masalah Tingkat Keparahan Tinggi ditemukan, terkait dengan penambalan (patching) server otomatis. Kami sekarang telah menerapkan penambalan server otomatis menggunakan Ansible.
• Rekomendasi jangka panjang sedang dipertimbangkan, dan jika sesuai, akan dimasukkan ke dalam rencana pengembangan kami.

Salah satu temuan menarik khususnya adalah pengakuan oleh iSEC Partners bahwa terdapat potensi masalah keamanan terkait peramban yang kami gunakan untuk mode hanya-peramban (browser-only). Kami menulis tentang hal tersebut baru-baru ini ketika kelemahan keamanan baru pada peramban ditemukan, dan telah mengambil langkah-langkah untuk memitigasinya.

Kami sangat senang diberi kesempatan untuk berpartisipasi dalam tinjauan keamanan ini. Kami berharap Anda merasakan laporan ini menarik, dan dapat meyakinkan Anda kembali akan komitmen kami untuk menyediakan perangkat lunak kelas satu yang akan selalu bersumber terbuka dan aman.