Psiphon тағы бір үшінші тарап қауіпсіздік тексерісін аяқтады
16.02.2018 - 2 мин оқу
Жаңартылған: 04.06.2021
2017 жылдың маусым айының соңында Psiphon өз қызметтеріне қауіпсіздік аудитін жүргізуді Cure53 компаниясына тапсыру арқылы ашық бастапқы кодты әзірлеуге деген адалдығын дәлелдеуді жалғастырды (біздің код репозиторийімізге өту: осы жерде),. Қауіпсіздікті тексеру 22 күнге созылды және «ауқымды көлемді» деп сипатталған тексеруді аяқтау үшін барлығы 9 тестілеуші қатысты, сондай-ақ Cure53 тестілеушілері өте мұқият болды. Бұл біздің соңғы 3 жылдағы осындай 2-ші қауіпсіздік аудитіміз (iSec жүргізген 1-ші аудит нәтижелерін мына жерден көре аласыз).
Есепте ауқымға не кіргені туралы сипаттамада былай делінген:
«Ауқымға Psiphon бағдарламалық кешенінің бірнеше құрамдас бөлігі кірді, оның ішінде туннель ядросының (tunnel-core) клиенті мен сервері, байланыстырушы кітапханалар, Psiphon iOS қолданбасы және, ең соңында, Psiphon iOS браузері бар. Бұл өте кең ауқым әртүрлі салада тиісті тәжірибесі бар айтарлықтай көптеген тестілеушілерді тарту қажеттілігін түсіндіреді. Қорытындылай келе, сынақтарға код аудиті, нақты ену сынақтары, хаттама мен конфигурацияны тексеру және криптографиялық аудит кірді.»
Біз қауіпсіздік аудитінің нәтижелеріне өте қуаныштымыз және «ешқандай елеулі қауіпсіздік қатерлері анықталмағанын» жеткізуді мақтан тұтамыз (19-бет). Ашықтық қағидатын ұстана отырып, толық егжей-тегжейлі есепті pdf форматында осы жерден оқи аласыз. Табылған екі осалдықтың біреуі қазірдің өзінде түзетілді (және оны Cure53 растады), ал екіншісін алдағы шығарылымдарда шешу үшін шаралар қабылданды.
Сондай-ақ тестілеушілер есепте көрсетілген басқа 7 түрлі мәселені атап өтті, олардың төртеуі қазірдің өзінде шешілді.
«Тестілеушілер өткен кезеңде өткізілген бірқатар бағдарламалық қауіпсіздік аудиттерінің бағдарламалық кешенге айтарлықтай пайда әкелгеніне сенім білдірді. Бұл, әрине, нәтижелерден де көрінеді. Барлығы анықталған тоғыз мәселенің тек екеуі ғана қауіпсіздік осалдығы ретінде белгіленіп, оларға ең төменгі “Ақпараттық” маңыздылық деңгейі берілді.»
Cure53 тестілеушілері бүкіл есеп бойы кодтың қаншалықты таза әрі сапалы жазылғанын бірнеше рет атап өтіп, келесідей қорытындыға келді:
«Жүйені бұзуға әрекет жасау үшін қомақты уақыт пен қызметкерлер ресурстары жұмсалғанына қарамастан, ауқымдағы Psiphon құрамдастары тексеруге төтеп беріп, қаскүнемдік әрекеттерге қарсы мықты әрі сенімді екенін көрсетті. Түйіндей келгенде, ешқандай елеулі қауіпсіздік қатерлері анықталмады.»
Бұл есеп сіз үшін қызықты болады және әрқашан ашық бастапқы кодты әрі қауіпсіз болатын бірінші дәрежелі бағдарламалық жасақтаманы ұсынуға деген адалдығымызға көзіңізді жеткізеді деп үміттенеміз.