Psiphon completa un'altra revisione della sicurezza di terze parti
16/02/2018 - 2 min di lettura
Aggiornato: 04/06/2021
A fine giugno 2017, Psiphon ha continuato a dimostrare il proprio impegno nello sviluppo open source (puoi accedere al nostro repository di codice qui), commissionando a Cure53 l'esecuzione di un audit di sicurezza dei nostri servizi. L'analisi della sicurezza ha richiesto 22 giorni e un totale di 9 tester per completare quella che è stata descritta come una revisione con un “ampio raggio d'azione” e i tester di Cure53 sono stati estremamente scrupolosi. Questo è il nostro 2° audit di sicurezza di questo tipo in 3 anni (puoi vedere i risultati del 1°, eseguito da iSec qui).
La descrizione nel report di ciò che era incluso nell'ambito recita:
“Nell'ambito rientravano molteplici componenti del pacchetto software di Psiphon, inclusi il client e il server del tunnel-core, il collante della libreria, l'app Psiphon per iOS e, non ultimo, il browser Psiphon per iOS. Questa premessa e portata molto ampie spiegano la necessità di coinvolgere un numero piuttosto elevato di tester con competenze adeguatamente mirate in diversi settori. In sintesi, i test hanno compreso verifiche del codice, test di penetrazione effettivi, revisioni di protocolli e configurazioni e un audit crittografico."
Siamo molto soddisfatti dei risultati dell'audit di sicurezza e orgogliosi di comunicare che “non è stato possibile svelare alcun rischio degno di nota per la sicurezza” (pag. 19). Nello spirito di trasparenza, puoi leggere il report dettagliato completo in formato pdf qui. Delle due vulnerabilità riscontrate, una è già stata corretta (e confermata da Cure53) e sono state adottate misure per risolvere l'altra nelle prossime versioni.
I tester hanno inoltre segnalato altri 7 problemi vari che puoi trovare elencati nel report; quattro di questi sono già stati risolti.
“I tester hanno condiviso la convinzione che il pacchetto software abbia tratto grandi benefici da una serie di audit di sicurezza del software svolti in passato. Inutile dire che questo si riflette nei risultati. Tra i nove problemi complessivi rilevati, solo due sono stati contrassegnati come vulnerabilità di sicurezza e sono stati ulteriormente classificati con il livello di gravità più basso, “Informativo”.”
I tester di Cure53 hanno sottolineato più volte in tutto il report quanto il codice sia pulito e orientato alla qualità, giungendo alla seguente conclusione:
“Nonostante il considerevole investimento di tempo e risorse umane nel tentativo di compromissione, i componenti di Psiphon esaminati hanno retto all'analisi e si sono dimostrati forti e robusti di fronte alle azioni avversarie. In conclusione, non è stato possibile svelare alcun rischio degno di nota per la sicurezza.”
Speriamo che troverai questo report interessante e che ti rassicuri sul nostro impegno nel fornire un software di prim'ordine che sarà sempre open source e sicuro.