Heartbleed와 Psiphon
2014. 10. 4. - 1 분 소요
업데이트: 2021. 9. 26.
Psiphon에 미친 Heartbleed 영향 요약:
- 일부 Psiphon 서버가 영향을 받는 버전의 OpenSSL을 사용하고 있어 Python 웹 서버가 Heartbleed 공격에 취약한 상태였습니다. 웹 서버 컴포넌트 프로세스 내에서 위험에 노출된 데이터에는 웹 서버 키 자료 외에도 Psiphon 네트워크 토폴로지 정보와 네트워크 사용량 통계가 포함되었습니다.
- SSH/SSH+ Psiphon 터널은 위험에 노출되지 않았습니다. Psiphon 서버를 통과하는 사용자 트래픽은 위험에 노출되지 않았습니다. 세션별 인증 비밀 값이 Python 웹 서버 메모리에 존재하므로 VPN Psiphon 터널은 잠재적으로 중간자 공격의 위험에 노출되어 있었습니다.
- 2014년 4월 8일, 영향을 받는 모든 Psiphon 서버에 OpenSSL 패치가 적용되었습니다. 또한 영향을 받는 모든 서버의 비 SSH/SSH+ 기능이 철회되어(모든 클라이언트에 대역 외 업데이트 적용), 클라이언트가 안전한 터널 외부에서 침해되었을 가능성이 있는 웹 서버 키 자료를 사용하지 않도록 조치했습니다.
- Windows 클라이언트는 OpenSSL을 사용하지 않으므로 Heartbleed 공격의 영향을 받지 않습니다.
- Android 클라이언트는 터널에 OpenSSL을 사용하지 않지만, Psiphon 웹 서버 및 Amazon S3로의 웹 요청에는 Android Java SSL을 사용합니다. Android 버전 4.1.1이 Heartbleed의 영향을 받으므로, 이 특정 Android 버전의 당사 앱은 Amazon, Psiphon 서버 또는 중간자가 앱 메모리를 엿볼 수 있는 취약한 상태로 남아 있습니다.
- 이메일 자동 응답 서버가 영향을 받는 버전의 OpenSSL을 사용하고 있었습니다. 이에 대한 공격은 (해당 서버를 사용하는 주소로부터 이메일 요청을 전송하여) 원격 메일 서버로 SSL 연결을 맺도록 유도한 후 메일 서버의 메모리를 엿보는 방식이 될 수 있습니다. 이는 주소를 포함한 이메일 내용을 잠재적으로 노출할 수 있었습니다. OpenSSL 패치는 2014년 4월 8일에 적용되었습니다.
- 피드백 처리 서버가 영향을 받는 버전의 OpenSSL을 사용하고 있었습니다. Amazon AWS 서비스 및 Google Gmail 서버로 SSL 연결을 설정하기 위해 (Python + Boto를 통해) 해당 라이브러리를 사용했을 수 있습니다. 이는 Amazon이나 Google이 사용자 피드백 데이터에 접근했을 가능성이 있음을 의미합니다. 그러나 이 데이터는 이미 Amazon EC2에 호스팅되어 있으며 이 데이터의 일부는 Gmail을 통해 당사에 이메일로 전송된다는 점을 참고하시기 바랍니다. OpenSSL 패치는 2014년 4월 8일에 적용되었습니다.
- Psiphon 사이트는 영향을 받는 버전의 OpenSSL을 사용하지 않았습니다.