Heartbleed e Psiphon
04/10/2014 - 2 min di lettura
Aggiornato: 26/09/2021
Riepilogo dell'impatto di Heartbleed su Psiphon:
- Alcuni server Psiphon utilizzavano versioni interessate di OpenSSL, rendendo il server web Python vulnerabile all'attacco Heartbleed. I dati a rischio, all'interno del processo del componente del server web, includevano informazioni sulla topologia di rete di Psiphon e statistiche sull'utilizzo della rete, oltre al materiale delle chiavi del server web.
- I tunnel SSH/SSH+ di Psiphon non erano a rischio. Il traffico degli utenti che transitava attraverso i server Psiphon non era a rischio. I tunnel VPN di Psiphon erano potenzialmente a rischio di attacchi man-in-the-middle poiché il segreto di autenticazione per sessione si trova nella memoria del server web Python.
- L'8 aprile 2014 sono state applicate patch OpenSSL a tutti i server Psiphon interessati. Inoltre, a tutti i server interessati sono state revocate le funzionalità non SSH/SSH+ (aggiornamenti fuori banda a tutti i client), garantendo che i client non tentino di utilizzare materiale di chiavi del server web potenzialmente compromesso al di fuori del tunnel sicuro.
- Il client Windows non utilizza OpenSSL e non è interessato dall'attacco Heartbleed.
- Il client Android non utilizza OpenSSL per il proprio tunnel, ma utilizza Android Java SSL per le sue richieste web ai server web di Psiphon e ad Amazon S3. Poiché la versione 4.1.1 di Android è interessata da Heartbleed, la nostra app su questa particolare versione di Android rimane vulnerabile ad Amazon, ai server Psiphon o a un man-in-the-middle che spia la memoria dell'app.
- Il server del risponditore automatico email utilizzava la versione interessata di OpenSSL. L'attacco contro di esso consisterebbe nel fargli effettuare una connessione SSL a un server di posta remoto (inviando una richiesta email da un indirizzo che utilizza tale server), che potrebbe quindi spiare la memoria del server di posta. Ciò potrebbe potenzialmente esporre il contenuto delle email, inclusi gli indirizzi. Le patch OpenSSL sono state applicate l'8 aprile 2014.
- Il server per l'elaborazione dei feedback utilizzava la versione interessata di OpenSSL. Potrebbe aver usato tale libreria (tramite Python + Boto per effettuare connessioni SSL ai servizi Amazon AWS e al server Google Gmail. Ciò significa che Amazon o Google avrebbero potuto accedere ai dati di feedback degli utenti. Tuttavia, va notato che questi dati sono già ospitati su Amazon EC2 e un sottoinsieme di questi dati ci viene inviato via email tramite Gmail. Le patch OpenSSL sono state applicate l'8 aprile 2014.
- Psiphon non utilizzava una versione interessata di OpenSSL.