Heartbleed және Psiphon
04.10.2014 - 2 мин оқу
Жаңартылған: 26.09.2021
Heartbleed осалдығының Psiphon-ға әсерінің қысқаша мазмұны:
- Кейбір Psiphon серверлері OpenSSL-дің зардап шеккен нұсқаларын пайдаланғандықтан, Python веб-сервері Heartbleed шабуылына осал болып қалды. Веб-сервер компоненті процесінде қауіп төнген деректер қатарына веб-сервер кілтінің материалымен қатар Psiphon желі топологиясы туралы ақпарат пен желіні пайдалану статистикасы кірді.
- SSH/SSH+ Psiphon туннельдеріне қауіп төнген жоқ. Psiphon серверлері арқылы өтетін пайдаланушы трафигіне қауіп төнген жоқ. VPN Psiphon туннельдеріне «ортадағы адам» шабуылдары бойынша ықтимал қауіп төнді, себебі әр сессияның аутентификация құпиясы Python веб-серверінің жадында сақталады.
- 2014 жылғы 8 сәуірде OpenSSL түзетулері барлық зардап шеккен Psiphon серверлеріне қолданылды. Сонымен қатар барлық зардап шеккен серверлердің SSH/SSH+ емес мүмкіндіктері жойылды (барлық клиенттерге арнадан тыс жаңартулар арқылы), бұл клиенттердің қауіпсіз туннельден тыс жерде қауіп төнген ықтимал веб-сервер кілтінің материалын пайдалануға әрекеттенбеуін қамтамасыз етті.
- Windows клиенті OpenSSL пайдаланбайды және Heartbleed шабуылынан зардап шекпейді.
- Android клиенті туннелі үшін OpenSSL пайдаланбайды, бірақ Psiphon веб-серверлері мен Amazon S3 жүйесіне жіберілетін веб-сұраулары үшін Android Java SSL пайдаланады. Android 4.1.1 нұсқасына Heartbleed әсер еткендіктен, Android-тың осы нақты нұсқасындағы біздің қолданба Amazon, Psiphon серверлері немесе қолданба жадын қарайтын үшінші жақ тарапынан жасалатын шабуылдарға осал болып қала береді.
- Электрондық поштаның автоматты жауап беру серверінде OpenSSL-дің зардап шеккен нұсқасы болған. Оған қарсы шабуыл оны қашықтағы пошта серверіне SSL байланысын орнатуға мәжбүрлеу (сол серверді пайдаланатын мекенжайдан электрондық пошта сұрауын жіберу арқылы) болуы мүмкін еді, бұл өз кезегінде пошта серверінің жадын қарауға мүмкіндік берер еді. Бұл электрондық пошта мазмұнын, соның ішінде мекенжайларды ықтимал түрде ашып қоюы мүмкін еді. OpenSSL түзетулері 2014 жылғы 8 сәуірде қолданылды.
- Кері байланысты өңдеу серверінде OpenSSL-дің зардап шеккен нұсқасы болған. Ол Amazon AWS қызметтері мен Google Gmail серверіне SSL байланыстарын орнату үшін осы кітапхананы (Python + Boto арқылы пайдаланған болуы мүмкін. Бұл Amazon немесе Google компаниялары пайдаланушы пікірлерінің деректеріне қол жеткізе алғанын білдіреді. Дегенмен, бұл деректердің қазірдің өзінде Amazon EC2 жүйесінде орналастырылғанын және осы деректердің бір бөлігі бізге Gmail арқылы жіберілетінін ескеру қажет. OpenSSL түзетулері 2014 жылғы 8 сәуірде қолданылды.
- Psiphon OpenSSL-дің зардап шеккен нұсқасын пайдаланбаған.