Heartbleed жана Psiphon
2014-04-10 - 2 мүнөттүк окуу
Жаңыртылган: 2021-26-09
Psiphon'го Heartbleed таасиринин кыскача баяндамасы:
- Айрым Psiphon серверлери OpenSSL'дин жабыркаган версияларын колдонуп келгендиктен, Python веб-сервери Heartbleed чабуулуна аялуу болуп калган. Веб-сервер компонентинин процессинде тобокелдикке кабылган маалыматтарга веб-сервердин ачкычтык материалдарынан тышкары Psiphon тармагынын топологиясы тууралуу маалымат жана тармакты колдонуу статистикасы кирген.
- SSH/SSH+ Psiphon туннелдери тобокелдикке кабылган жок. Psiphon серверлери аркылуу өткөн колдонуучунун трафигине коркунуч туулган жок. VPN Psiphon туннелдери потенциалдуу түрдө ортомчу чабуулдарына кабылуу коркунучунда болгон, анткени сессиялык аутентификация сыры Python веб-серверинин эсинде жайгашкан.
- 2014-жылдын 8-апрелинде OpenSSL оңдоолору бардык жабыркаган Psiphon серверлерине колдонулган. Мындан тышкары, бардык жабыркаган серверлердин SSH/SSH+ эмес мүмкүнчүлүктөрү жокко чыгарылган (бардык кардарларга каналдан тышкаркы жаңыртуулар), бул кардарлардын коопсуз туннелден тышкары потенциалдуу компрометацияланган веб-сервердин ачкычтык материалын колдонууга аракет кылбоосун камсыздайт.
- Windows кардары OpenSSL колдонбойт жана Heartbleed чабуулунан жабыркаган эмес.
- Android кардары өз туннели үчүн OpenSSL колдонбойт, бирок Psiphon веб-серверлерине жана Amazon S3 кызматына карата веб-сурамдары үчүн Android Java SSL колдонот. Android 4.1.1 версиясы Heartbleed'ден жабыркагандыктан, Android'дин дал ушул версиясындагы биздин колдонмо Amazon, Psiphon серверлери же колдонмонун эсине көз салган ортомчу тарабынан аялуу бойдон калууда.
- Электрондук почтанын автожооп берүү серверинде OpenSSL'дин жабыркаган версиясы бар болчу. Ага карата чабуул – аны алыскы почта серверине SSL байланышын түзүүгө мажбурлоо (ошол серверди колдонгон даректен электрондук кат сурамын жөнөтүү аркылуу) болуп, натыйжада почта серверинин эсине көз салууга мүмкүндүк бермек. Бул электрондук почтанын мазмунун, анын ичинде даректерди ачыкка чыгарышы мүмкүн эле. OpenSSL оңдоолору 2014-жылдын 8-апрелинде колдонулган.
- Пикирлерди иштеп чыгуучу серверде OpenSSL'дин жабыркаган версиясы бар болчу. Ал Amazon AWS кызматтарына жана Google Gmail серверине SSL байланыштарын түзүү үчүн ошол китепкананы (Python + Boto аркылуу) колдонгон болушу мүмкүн. Бул Amazon же Google колдонуучулардын пикир маалыматтарына кирүү мүмкүнчүлүгүнө ээ болушу мүмкүн болчу дегенди билдирет. Бирок, бул маалыматтар Amazon EC2 кызматында мурдатан эле жайгаштырылганын жана бул маалыматтардын бир бөлүгү бизге Gmail аркылуу электрондук почта менен жөнөтүлүп турарын белгилей кетүү керек. OpenSSL оңдоолору 2014-жылдын 8-апрелинде колдонулган.
- Psiphon OpenSSL'дин жабыркаган версиясын колдонгон эмес.