Psiphon 3 독립 보안 평가

Psiphon은 오픈 소스 개발에 전념하고 있습니다. 이에 대해서는 이전 블로그 게시물에서 다룬 바 있으며, 소스 코드는 여기에서 확인하실 수 있습니다.

최근 저희는 iSEC Partners를 통해 Windows 및 Android 제품에 대한 공식 보안 감사를 진행하여 이러한 개방성을 한 단계 더 발전시킬 기회를 얻었습니다. 운영의 투명성을 유지하기 위한 노력의 일환으로 이 보고서 전문을 공개하게 되어 기쁘게 생각하며, 보고서는 여기에서 확인하실 수 있습니다.

전반적으로 이번 보안 감사 결과에 매우 만족하며, 저희가 "[저희] 사용자의 보안을 보장하기 위해 적극적으로 투자하고 있다"는 점을 인정받아 기쁩니다. 저희는 iSEC Partners가 발견한 높은 심각도(High Severity) 항목 한 건을 이미 해결했으며, 나머지 권장 사항들도 시간을 두고 지속적으로 개선해 나갈 것입니다.

보고서의 주요 결과는 다음과 같습니다:

• Psiphon은 업계 모범 사례를 대부분 준수하며, 그러지 못하는 부분에서는 공격을 완화하기 위한 조치를 취하고 있습니다.
• 대부분의 결과는 시스템을 더욱 개선하기 위한 제안이었으며, 특히 소프트웨어 사용자 수 증가와 관련된 내용이었습니다.
• 고유한 아키텍처 결함은 발견되지 않았습니다.
• 자동 서버 패치와 관련된 높은 심각도 문제 하나가 발견되었습니다. 저희는 현재 Ansible을 사용한 자동 서버 패치를 배포했습니다.
• 장기적인 권장 사항도 검토 중이며, 적절한 경우 개발 계획에 반영하고 있습니다.

특히 흥미로운 결과 중 하나는 브라우저 전용 모드에 사용하는 브라우저와 관련해 잠재적인 보안 문제가 발생할 수 있다는 점을 iSEC Partners가 확인한 것입니다. 최근 브라우저에서 새로운 보안 취약점이 발견되었을 때 이에 관한 글을 작성했으며, 이미 완화 조치를 완료했습니다.

이번 보안 검토를 진행할 수 있는 기회를 얻게 되어 매우 뜻깊었습니다. 이 보고서가 여러분께 흥미로운 정보가 되기를 바라며, 항상 오픈 소스이자 안전한 최고 수준의 소프트웨어를 제공하겠다는 저희의 약속을 다시 한번 확인시켜 드릴 수 있기를 바랍니다.