Heartbleed နှင့် Psiphon
4/10/2014 - 1 မိနစ် ဖတ်ရန်
မွမ်းမံထားသည်: 26/9/2021
Psiphon အပေါ် Heartbleed သက်ရောက်မှု အကျဉ်းချုပ်-
- အချို့သော Psiphon ဆာဗာများသည် ထိခိုက်မှုရှိသော OpenSSL ဗားရှင်းများကို အသုံးပြုနေခဲ့ကြပြီး Heartbleed တိုက်ခိုက်မှုဒဏ်ကို Python ဝဘ်ဆာဗာမှ ခံရနိုင်ခြေ ရှိစေခဲ့သည်။ ဝဘ်ဆာဗာ အစိတ်အပိုင်း လုပ်ငန်းစဉ်အတွင်း အန္တရာယ်ရှိသော အချက်အလက်များတွင် ဝဘ်ဆာဗာ လျှို့ဝှက်ကုဒ် သော့ (key material) များအပြင် Psiphon ကွန်ရက် ဖွဲ့စည်းပုံ အချက်အလက်များနှင့် ကွန်ရက် အသုံးပြုမှု စာရင်းအင်းများ ပါဝင်သည်။
- SSH/SSH+ Psiphon လှိုဏ်ခေါင်းများသည် အန္တရာယ် မရှိခဲ့ပါ။ Psiphon ဆာဗာများမှတစ်ဆင့် ဖြတ်သန်းသွားသော သုံးစွဲသူ အသွားအလာသည် အန္တရာယ် မရှိခဲ့ပါ။ စက်ရှင်တစ်ခုချင်းစီ၏ အထောက်အထားစိစစ်ခြင်း လျှို့ဝှက်ချက်သည် Python ဝဘ်ဆာဗာ မှတ်ဉာဏ်ထဲတွင် ရှိနေသောကြောင့် VPN Psiphon လှိုဏ်ခေါင်းများသည် ကြားဖြတ်ဝင်ရောက် တိုက်ခိုက်မှုများအတွက် အန္တရာယ်ရှိနိုင်ခြေ ရှိခဲ့သည်။
- ၂၀၁၄ ခုနှစ်၊ ဧပြီလ ၈ ရက်နေ့တွင် ထိခိုက်မှုရှိသော Psiphon ဆာဗာများအားလုံး၌ OpenSSL ဖာထေးမှုများကို ထည့်သွင်းအသုံးပြုခဲ့သည်။ ထို့အပြင် ထိခိုက်မှုရှိသော ဆာဗာအားလုံး၏ SSH/SSH+ မဟုတ်သော လုပ်ဆောင်နိုင်စွမ်းများကို ပယ်ဖျက်ခဲ့ပြီး (သုံးစွဲသူ အက်ပ်များအားလုံးသို့ လမ်းကြောင်းပြင်ပ အပ်ဒိတ်များ ပေးပို့ခြင်းဖြင့်) သုံးစွဲသူ အက်ပ်များသည် လုံခြုံသော လှိုဏ်ခေါင်း ပြင်ပတွင် ထိခိုက်ပျက်စီးသွားနိုင်ခြေရှိသော ဝဘ်ဆာဗာ သော့များကို အသုံးပြုရန် မကြိုးပမ်းစေရန် သေချာစေခဲ့သည်။
- Windows သုံးစွဲသူဆော့ဖ်ဝဲသည် OpenSSL ကို အသုံးမပြုဘဲ Heartbleed တိုက်ခိုက်မှုဒဏ် မခံရပါ။
- Android သုံးစွဲသူဆော့ဖ်ဝဲသည် ၎င်း၏ လှိုဏ်ခေါင်းအတွက် OpenSSL ကို အသုံးမပြုသော်လည်း Psiphon ဝဘ်ဆာဗာများနှင့် Amazon S3 သို့ ၎င်း၏ ဝဘ်တောင်းဆိုမှုများအတွက် Android Java SSL ကို အသုံးပြုသည်။ Android ဗားရှင်း 4.1.1 သည် Heartbleed ကြောင့် ထိခိုက်မှုရှိသည်ဖြစ်ရာ၊ ဤ သီးခြား Android ဗားရှင်းပေါ်ရှိ ကျွန်ုပ်တို့၏ အက်ပ်သည် Amazon၊ Psiphon ဆာဗာများ သို့မဟုတ် ကြားဖြတ်ဝင်ရောက်သူတစ်ဦးမှ အက်ပ်၏ မှတ်ဉာဏ်ကို ချောင်းမြောင်းကြည့်ရှုနိုင်သည့် အန္တရာယ် ရှိနေဆဲဖြစ်သည်။
- အီးမေးလ် အလိုအလျောက် ပြန်ကြားရေးဆာဗာတွင် ထိခိုက်မှုရှိသော OpenSSL ဗားရှင်း ရှိနေခဲ့သည်။ ၎င်းကို တိုက်ခိုက်မှုမှာ (ထိုဆာဗာကို အသုံးပြုသည့် လိပ်စာတစ်ခုမှ အီးမေးလ်တောင်းဆိုမှုတစ်ခု ပေးပို့ခြင်းဖြင့်) ၎င်းအား အဝေးမှ မေးလ်ဆာဗာတစ်ခုသို့ SSL ချိတ်ဆက်မှု ပြုလုပ်စေပြီးနောက် မေးလ်ဆာဗာ၏ မှတ်ဉာဏ်ထဲသို့ ချောင်းမြောင်းကြည့်ရှုနိုင်ခြင်း ဖြစ်သည်။ ၎င်းသည် လိပ်စာများ အပါအဝင် အီးမေးလ် အကြောင်းအရာများကို ပေါက်ကြားသွားစေနိုင်ခြေ ရှိခဲ့သည်။ OpenSSL ဖာထေးမှုများကို ၂၀၁၄ ခုနှစ်၊ ဧပြီလ ၈ ရက်နေ့တွင် ထည့်သွင်းအသုံးပြုခဲ့သည်။
- တုံ့ပြန်ချက် လုပ်ဆောင်ပေးသော ဆာဗာတွင် ထိခိုက်မှုရှိသော OpenSSL ဗားရှင်း ရှိနေခဲ့သည်။ ၎င်းသည် Amazon AWS ဝန်ဆောင်မှုများနှင့် Google Gmail ဆာဗာသို့ SSL ချိတ်ဆက်မှုများ ပြုလုပ်ရန် ထို library ကို (Python + Boto မှတစ်ဆင့် အသုံးပြုခဲ့နိုင်ဖွယ်ရှိသည်။ ၎င်းသည် Amazon သို့မဟုတ် Google အနေဖြင့် အသုံးပြုသူ တုံ့ပြန်ချက် အချက်အလက်များကို ဝင်ရောက်ရယူနိုင်ခဲ့သည်ဟု ဆိုလိုခြင်း ဖြစ်သည်။ သို့ရာတွင် ဤအချက်အလက်များကို Amazon EC2 တွင် လက်ခံသိမ်းဆည်းထားပြီးဖြစ်ကာ ဤအချက်အလက်များ၏ အစိတ်အပိုင်းတစ်ခုကို Gmail မှတစ်ဆင့် ကျွန်ုပ်တို့ထံ အီးမေးလ်ပို့ထားပြီးဖြစ်ကြောင်း သတိပြုသင့်သည်။ OpenSSL ဖာထေးမှုများကို ၂၀၁၄ ခုနှစ်၊ ဧပြီလ ၈ ရက်နေ့တွင် ထည့်သွင်းအသုံးပြုခဲ့သည်။
- Psiphon သည် ထိခိုက်မှုရှိသော OpenSSL ဗားရှင်းကို အသုံးမပြုခဲ့ပါ။