Psiphon, 또 다른 제3자 보안 검토 완료
2018. 2. 16. - 2 분 소요
업데이트: 2021. 6. 4.
2017년 6월 말, Psiphon은 오픈 소스 개발에 대한 지속적인 노력을 보여주기 위해 (코드 저장소는 여기에서 확인하실 수 있습니다), Cure53에 자사 서비스에 대한 보안 감사를 의뢰했습니다. 이 보안 감사는 22일 동안 총 9명의 테스터가 참여하여 "광범위한 범위"로 기술된 평가를 완료하였으며, Cure53의 테스터들은 매우 철저하게 점검을 진행했습니다. 이는 지난 3년 동안 진행된 이러한 유형의 2번째 보안 감사였습니다(iSec에서 수행한 1차 감사 결과는 여기에서 확인하실 수 있습니다).
보고서에 명시된 감사 대상 범위에 대한 설명은 다음과 같습니다.
“감사 범위에는 터널 코어 클라이언트 및 서버, 라이브러리 글루, Psiphon iOS 앱, 그리고 마지막으로 Psiphon iOS 브라우저를 포함한 Psiphon 소프트웨어 복합체의 여러 구성 요소가 포함되었습니다. 이처럼 매우 광범위한 전제 조건과 범위로 인해 다양한 분야에서 적절한 전문성을 갖춘 상당한 수의 테스터를 참여시킬 필요가 있었습니다. 종합하자면, 이번 테스트에는 코드 감사, 실제 침투 테스트, 프로토콜 및 구성 검토, 암호화 감사가 포함되었습니다."
저희는 이번 보안 감사 결과에 매우 만족하고 있으며, “주목할 만한 보안 위험은 발견되지 않았다”(19페이지)는 점을 자랑스럽게 전해드립니다. 투명성을 위해 전체 상세 보고서를 pdf 형식으로 여기에서 확인하실 수 있습니다. 발견된 두 가지 취약점 중 하나는 이미 수정되었으며(Cure53 확인 완료), 다른 하나는 향후 릴리스에서 해결하기 위한 조치가 취해졌습니다.
테스터들은 보고서에 기재된 7가지 기타 문제점도 지적했으며, 이 중 4가지는 이미 해결되었습니다.
“테스터들은 해당 소프트웨어 복합체가 과거에 진행된 여러 차례의 소프트웨어 보안 감사를 통해 상당한 이점을 얻었다는 확신을 공유했습니다. 말할 필요도 없이, 이는 감사 결과에도 반영되어 있습니다. 발견된 총 9가지 문제 중 보안 취약점으로 분류된 것은 2가지에 불과했으며, 이마저도 가장 낮은 심각도 등급인 ‘정보(Informational)’ 등급으로 부여되었습니다.”
Cure53 테스터들은 보고서 전반에 걸쳐 코드가 얼마나 깔끔하고 품질 중심적인지 여러 차례 언급했으며 다음과 같은 결론을 내렸습니다.
“침해를 시도하는 데 상당한 시간과 인력 자원을 투입했음에도 불구하고, 대상 범위에 포함된 Psiphon 구성 요소들은 면밀한 조사에도 견고함을 유지했으며 적대적인 시도에 맞서 강력하고 안정적인 모습을 보여주었습니다. 요점은 주목할 만한 보안 위험이 발견되지 않았다는 것입니다.”
이 보고서가 흥미로운 자료가 되기를 바라며, 항상 오픈 소스이자 안전한 최고 수준의 소프트웨어를 제공하겠다는 당사의 노력을 신뢰하실 수 있는 계기가 되기를 바랍니다.