Heartbleed និង Psiphon
4/10/2014 - 1 នាទីអាន
បានធ្វើបច្ចុប្បន្នភាព៖ 26/9/2021
សង្ខេបអំពីផលប៉ះពាល់នៃ Heartbleed មកលើ Psiphon៖
- ម៉ាស៊ីនបម្រើ Psiphon មួយចំនួនបានប្រើប្រាស់កំណែ OpenSSL ដែលរងផលប៉ះពាល់ ដែលធ្វើឱ្យម៉ាស៊ីនបម្រើគេហទំព័រ Python ងាយរងគ្រោះដោយសារការវាយប្រហារ Heartbleed។ ទិន្នន័យដែលប្រឈមនឹងហានិភ័យ នៅក្នុងដំណើរការសមាសភាគម៉ាស៊ីនបម្រើគេហទំព័រ រួមមានព័ត៌មានអំពីរចនាសម្ព័ន្ធបណ្តាញ Psiphon និងស្ថិតិនៃការប្រើប្រាស់បណ្តាញ បន្ថែមពីលើឯកសារគន្លឹះសម្ងាត់របស់ម៉ាស៊ីនបម្រើគេហទំព័រ។
- ផ្លូវរូង Psiphon SSH/SSH+ មិនមានហានិភ័យនោះទេ។ ចរាចរណ៍ទិន្នន័យរបស់អ្នកប្រើប្រាស់ដែលឆ្លងកាត់ម៉ាស៊ីនបម្រើ Psiphon មិនមានហានិភ័យនោះទេ។ ផ្លូវរូង Psiphon VPN អាចប្រឈមនឹងហានិភ័យនៃការវាយប្រហារ man-in-the-middle ដោយសារតែការសម្ងាត់នៃការផ្ទៀងផ្ទាត់ភាពត្រឹមត្រូវក្នុងមួយសម័យគឺស្ថិតនៅក្នុងអង្គចងចាំរបស់ម៉ាស៊ីនបម្រើគេហទំព័រ Python។
- នៅថ្ងៃទី 8 ខែមេសា ឆ្នាំ 2014 កំណែបំណះ OpenSSL ត្រូវបានអនុវត្តចំពោះម៉ាស៊ីនបម្រើ Psiphon ទាំងអស់ដែលរងផលប៉ះពាល់។ លើសពីនេះ ម៉ាស៊ីនបម្រើដែលរងផលប៉ះពាល់ទាំងអស់ត្រូវបានដកហូតសមត្ថភាពដែលមិនមែនជា SSH/SSH+ (ការធ្វើបច្ចុប្បន្នភាពក្រៅប្រព័ន្ធចំពោះកម្មវិធីកូនទាំងអស់) ដោយធានាថាកម្មវិធីកូននឹងមិនព្យាយាមប្រើប្រាស់ឯកសារគន្លឹះសម្ងាត់របស់ម៉ាស៊ីនបម្រើគេហទំព័រដែលប្រហែលជាត្រូវបានសម្របសម្រួលនៅក្រៅផ្លូវរូងសុវត្ថិភាពនោះឡើយ។
- កម្មវិធីកូន Windows មិនប្រើប្រាស់ OpenSSL នោះទេ ហើយមិនរងផលប៉ះពាល់ដោយការវាយប្រហារ Heartbleed ឡើយ។
- កម្មវិធីកូន Android មិនប្រើប្រាស់ OpenSSL សម្រាប់ផ្លូវរូងរបស់ខ្លួននោះទេ ប៉ុន្តែវាប្រើប្រាស់ Android Java SSL សម្រាប់សំណើគេហទំព័ររបស់ខ្លួនទៅកាន់ម៉ាស៊ីនបម្រើគេហទំព័រ Psiphon និង Amazon S3។ ដោយសារតែ Android កំណែ 4.1.1 រងផលប៉ះពាល់ដោយ Heartbleed, កម្មវិធីរបស់យើងនៅលើកំណែជាក់លាក់នៃ Android នេះនៅតែងាយរងគ្រោះចំពោះ Amazon ម៉ាស៊ីនបម្រើ Psiphon ឬការលួចមើលអង្គចងចាំកម្មវិធីពីសំណាក់ man-in-the-middle។
- ម៉ាស៊ីនបម្រើឆ្លើយតបអ៊ីមែលស្វ័យប្រវត្តិមានកំណែ OpenSSL ដែលរងផលប៉ះពាល់។ ការវាយប្រហារប្រឆាំងនឹងវា គឺការជំរុញឱ្យវាបង្កើតការតភ្ជាប់ SSL ទៅកាន់ម៉ាស៊ីនបម្រើសំបុត្រពីចម្ងាយ (តាមរយៈការផ្ញើសំណើអ៊ីមែលពីអាសយដ្ឋានដែលប្រើប្រាស់ម៉ាស៊ីនបម្រើនោះ) ដែលបន្ទាប់មកអាចលួចមើលចូលក្នុងអង្គចងចាំរបស់ម៉ាស៊ីនបម្រើសំបុត្របាន។ ការណ៍នេះអាចបង្កឱ្យបែកធ្លាយខ្លឹមសារអ៊ីមែល រួមទាំងអាសយដ្ឋានផងដែរ។ កំណែបំណះ OpenSSL ត្រូវបានអនុវត្តនៅថ្ងៃទី 8 ខែមេសា ឆ្នាំ 2014។
- ម៉ាស៊ីនបម្រើដំណើរការមតិកែលម្អមានកំណែ OpenSSL ដែលរងផលប៉ះពាល់។ វាអាចបានប្រើប្រាស់បណ្ណាល័យនោះ (តាមរយៈ Python + Boto ដើម្បីបង្កើតការតភ្ជាប់ SSL ទៅកាន់សេវាកម្ម Amazon AWS និងម៉ាស៊ីនបម្រើ Google Gmail។ នេះមានន័យថា Amazon ឬ Google អាចទទួលបានសិទ្ធិចូលប្រើ ទិន្នន័យមតិកែលម្អរបស់អ្នកប្រើប្រាស់។ ទោះជាយ៉ាងណាក៏ដោយ គួរកត់សម្គាល់ផងដែរថា ទិន្នន័យនេះត្រូវបានបង្ហោះនៅលើ Amazon EC2 រួចទៅហើយ ហើយផ្នែកតូចមួយនៃទិន្នន័យនេះត្រូវបានផ្ញើមកកាន់យើងតាមរយៈ Gmail។ កំណែបំណះ OpenSSL ត្រូវបានអនុវត្តនៅថ្ងៃទី 8 ខែមេសា ឆ្នាំ 2014។
- Psiphon មិនបានប្រើប្រាស់កំណែ OpenSSL ដែលរងផលប៉ះពាល់នោះទេ។