Psiphon Menyelesaikan Tinjauan Keamanan Pihak Ketiga Lainnya
16/2/2018 - 2 menit baca
Diperbarui: 4/6/2021
Pada akhir Juni 2017, Psiphon terus membuktikan komitmennya terhadap pengembangan sumber terbuka (Anda dapat mengakses repositori kode kami di sini), dengan menugaskan Cure53 untuk melakukan audit keamanan terhadap layanan kami. Tinjauan keamanan ini memakan waktu 22 hari dan total 9 penguji untuk menyelesaikan apa yang digambarkan sebagai tinjauan dengan “cakupan luas” dan para penguji Cure53 bekerja dengan sangat teliti. Ini adalah audit keamanan kami yang ke-2 seperti ini dalam 3 tahun (Anda dapat melihat hasil audit ke-1, yang dilakukan oleh iSec di sini).
Deskripsi laporan mengenai apa yang termasuk dalam cakupan berbunyi:
“Yang termasuk dalam cakupan adalah beberapa komponen dari rangkaian perangkat lunak Psiphon, termasuk klien dan server inti terowongan, library glue, aplikasi iOS Psiphon dan, yang tidak kalah pentingnya, peramban iOS Psiphon. Premis dan cakupan yang sangat luas ini menjelaskan perlunya melibatkan sejumlah besar penguji dengan keahlian yang sesuai di berbagai bidang. Secara keseluruhan, pengujian mencakup audit kode, uji penetrasi aktual, tinjauan protokol dan konfigurasi, serta audit kriptografi."
Kami sangat senang dengan hasil audit keamanan ini dan bangga menyampaikan bahwa “tidak ada risiko keamanan penting yang berhasil diungkapkan” (hlm. 19). Demi semangat transparansi, Anda dapat membaca laporan terperinci selengkapnya dalam bentuk pdf di sini. Dari dua kerentanan yang ditemukan, satu telah diperbaiki (dan dikonfirmasi oleh Cure53) dan langkah-langkah telah diambil untuk mengatasi yang lainnya pada rilis mendatang.
Para penguji juga mencatat 7 masalah lain-lain yang dapat Anda temukan tercantum dalam laporan, empat di antaranya juga telah ditangani.
“Para penguji memiliki keyakinan yang sama bahwa rangkaian perangkat lunak ini sangat diuntungkan oleh sejumlah audit keamanan perangkat lunak di masa lalu. Tentu saja, hal ini tercermin dalam temuan yang ada. Di antara total sembilan masalah yang ditemukan, hanya dua yang ditandai sebagai kerentanan keamanan dan lebih lanjut diklasifikasikan dengan tingkat keparahan terendah “Informasional”.”
Para penguji Cure53 mencatat beberapa kali di sepanjang laporan tentang betapa bersih dan berorientasi pada kualitasnya kode tersebut dan sampai pada kesimpulan berikut:
“Meskipun telah menginvestasikan waktu dan sumber daya personel yang cukup besar dalam upaya membobolnya, komponen Psiphon dalam cakupan tetap bertahan terhadap pemeriksaan dan menunjukkan diri kuat serta tangguh dalam menghadapi upaya musuh. Intinya adalah bahwa tidak ada risiko keamanan penting yang berhasil diungkapkan.”
Kami berharap Anda mendapati laporan ini menarik, dan laporan ini meyakinkan Anda atas komitmen kami untuk menyediakan perangkat lunak kelas satu yang akan selalu bersumber terbuka dan aman.