Psiphon дагы бир үчүнчү тараптын коопсуздук текшерүүсүн аяктады
2018-16-02 - 2 мүнөттүк окуу
Жаңыртылган: 2021-04-06
2017-жылдын июнь айынын аягында Psiphon биздин кызматтардын коопсуздук аудитин жүргүзүүнү Cure53 уюмуна тапшыруу менен, ачык баштапкы коддуу иштеп чыгууга болгон берилгендигин далилдөөнү улантты (биздин код репозиторийибизге кире аласыз: бул жерде),. «Кеңири масштабдуу» текшерүү катары сыпатталган бул аудитти аяктоо үчүн 22 күн жана жалпысынан 9 тестиер талап кылынды жана Cure53 тестиерлери абдан кылдат иштешти. Бул акыркы 3 жыл ичиндеги ушундай түрдөгү биздин 2- коопсуздук аудитибиз (iSec тарабынан жүргүзүлгөн 1-аудиттин жыйынтыктарын көрө аласыз: бул жерде).
Отчётто текшерүү алкагына эмнелер киргени тууралуу төмөнкүчө баяндалат:
«Текшерүү алкагында Psiphon программалык комплексинин бир нече компоненттери, анын ичинде туннелдин негизги кардары жана сервери, байланыштыруучу китепкана, Psiphon iOS колдонмосу жана ошондой эле Psiphon iOS браузери камтылды. Мындай өтө кенен чөйрө жана көлөм ар кайсы багытта тиешелүү тажрыйбасы бар кыйла көп сандагы тестиерлерди тартуу зарылдыгын түшүндүрөт. Жалпысынан алганда, тесттерге коддун аудити, иш жүзүндөгү кирүү тесттери, протокол менен конфигурацияны текшерүү жана криптографиялык аудит камтылды.»
Биз коопсуздук аудитинин жыйынтыктарына абдан кубанычтабыз жана «эч кандай олуттуу коопсуздук тобокелдиктери аныкталган жок» (19-бет) деп билдирүүгө сыймыктанабыз. Ачык-айкындуулукту сактоо максатында, толук кеңири отчётту pdf форматында бул жерден окуй аласыз. Табылган эки аялуу жердин бири оңдолду (жана аны Cure53 тастыктады), ал эми экинчисин кийинки чыгарылыштарда жоюу боюнча чаралар көрүлдү.
Тестиерлер ошондой эле отчётто тизмеленген башка 7 ар кандай маселелерди белгилешти, алардын төртөө буга чейин эле чечилди.
«Тестиерлер программалык комплекс буга чейин өткөрүлгөн бир катар программалык коопсуздук аудиттеринен чоң пайда көргөнүнө бекем ишеништи. Мунун баары табылган жыйынтыктардан да көрүнүп турат. Табылган жалпы тогуз маселенин ичинен экөө гана коопсуздуктун аялуу жери катары белгиленип, аларга эң төмөнкү «Маалыматтык» олуттуулук даражасы берилди.»
Cure53 тестиерлери отчётто коддун канчалык таза жана сапаттуу экенин бир нече жолу белгилешип, төмөнкүдөй жыйынтыкка келишти:
«Коопсуздукту бузуп кирүү аракетине олуттуу убакыт жана кадрдык ресурстар жумшалганына карабастан, текшерүү алкагындагы Psiphon компоненттери текшерүүгө туруштук берип, каршы аракеттердин алдында күчтүү жана бекем экендигин көрсөттү. Башкы жыйынтык – эч кандай олуттуу коопсуздук тобокелдиктери аныкталган жок.»
Бул отчёт сиз үчүн кызыктуу болот жана ар дайым ачык баштапкы коддуу жана коопсуз боло турган биринчи класстагы программалык камсыздоону сунуштоого болгон берилгендигибизге сизди ынандырат деп үмүттөнөбүз.