Psiphon 3 қауіпсіздігін тәуелсіз бағалау

Psiphon командасы ашық бастапқы кодты әзірлеу ісіне адал. Бұл туралы алдыңғы блог жазбасында айтқан болатынбыз, ал біздің бастапқы кодқа осы жерден қол жеткізе аласыз.

Жақында бізге Windows және Android өнімдерімізге iSEC Partners тарапынан ресми қауіпсіздік аудитін жүргізу арқылы осы ашықтықты одан әрі дамыту мүмкіндігі берілді. Жұмысымыздың ашықтығын қамтамасыз етуге бағытталған күш-жігеріміздің бір бөлігі ретінде осы есепті толықтай жариялауға қуаныштымыз, онымен осы жерден танысуға болады.

Жалпы алғанда, біз қауіпсіздік аудитінің нәтижелеріне және "[біздің] пайдаланушыларымыздың қауіпсіздігін қамтамасыз етуге белсенді түрде үлес қосып жатқанымыз" мойындалғанына өте қуаныштымыз. Біз iSEC Partners анықтаған аса қауіпті (High Severity) бір мәселені шешіп қойдық және уақыт өте келе басқа да ұсыныстар бойынша жұмысты жалғастырамыз.

Есептің негізгі тұжырымдары келесідей:

• Psiphon саладағы озық тәжірибелердің көпшілігін ұстанады және оларды толық орындау мүмкін болмаған жағдайда шабуылдар қаупін азайту шараларын қабылдайды.
• Көптеген қорытындылар жүйені одан әрі жетілдіруге, әсіресе бағдарламалық құралды пайдаланатын адамдар санының өсуіне байланысты ұсыныстар болды.
• Ешқандай ішкі архитектуралық ақаулар анықталған жоқ.
• Серверді автоматты түрде жаңартуға (патчтауға) қатысты аса қауіпті (High Severity) бір мәселе табылды. Қазіргі уақытта біз Ansible арқылы серверді автоматты түрде жаңартуды енгіздік.
• Ұзақ мерзімді ұсыныстар қарастырылуда және қажет болған жағдайда әзірлеу жоспарларымызға енгізіледі.

Әсіресе назар аударарлық тұжырымдардың бірі — iSEC Partners компаниясының біз тек браузер режимінде қолданатын браузерге қатысты ықтимал қауіпсіздік мәселелері бар екенін растауы болды. Жақында браузерде жаңа қауіпсіздік осалдығы анықталған кезде, біз бұл туралы жазған болатынбыз және оның қаупін азайту үшін шаралар қабылдап қойдық.

Осы қауіпсіздік аудитіне қатысу мүмкіндігіне ие болғанымызға өте қуаныштымыз. Бұл есеп сіз үшін қызықты болады және әрқашан ашық бастапқы кодты әрі қауіпсіз болатын бірінші дәрежелі бағдарламалық құралды ұсынуға деген ұмтылысымызды тағы бір мәрте растайды деп үміттенеміз.