Valutazione indipendente della sicurezza di Psiphon 3

In Psiphon, siamo impegnati nello sviluppo open source. Ne abbiamo parlato in un post precedente del blog, e puoi accedere al nostro codice sorgente qui.

Recentemente ci è stata offerta la possibilità di fare un ulteriore passo avanti in questa trasparenza con un audit di sicurezza formale sui nostri prodotti per Windows e Android, condotto da iSEC Partners. Come parte del nostro impegno a operare in modo trasparente, siamo lieti di pubblicare questo rapporto nella sua interezza, a cui puoi accedere qui.

Nel complesso, siamo molto soddisfatti dei risultati dell'audit di sicurezza e del riconoscimento che siamo "attivamente impegnati a garantire la sicurezza dei [nostri] utenti". Abbiamo già risolto l'unico elemento ad Alta Gravità rilevato da iSEC Partners e continueremo a implementare le altre raccomandazioni nel tempo.

I risultati principali del rapporto sono:

• Psiphon segue la maggior parte delle best practice del settore e adotta misure per mitigare gli attacchi laddove non sia possibile seguirle.
• La maggior parte dei rilievi riguardava suggerimenti per migliorare ulteriormente il sistema, in particolare in relazione alla crescita del numero di persone che utilizzano il software.
• Non sono stati rilevati difetti intrinseci nell'architettura.
• È stato riscontrato un problema ad Alta Gravità, relativo all'applicazione automatica delle patch sui server. Ora abbiamo distribuito l'applicazione automatica delle patch per i server utilizzando Ansible.
• Le raccomandazioni a lungo termine sono in fase di valutazione e, ove opportuno, integrate nei nostri piani di sviluppo.

Un rilievo di particolare interesse è il riconoscimento da parte di iSEC Partners della presenza di potenziali problemi di sicurezza legati al browser che utilizziamo per la modalità solo browser. Ne abbiamo scritto di recente, quando è stata scoperta una nuova falla di sicurezza nel browser, e abbiamo già adottato misure per mitigarla.

Siamo stati molto felici di aver avuto l'opportunità di sottoporci a questa revisione di sicurezza. Speriamo che troverai questo rapporto interessante e che ti rassicuri sul nostro impegno a fornire un software di prim'ordine che sarà sempre open source e sicuro.