7ASecurity ၏ မကြာသေးမီက Psiphon ကုဒ် လုံခြုံရေးစစ်ဆေးမှုတွင် “သိသာထင်ရှားသော လုံခြုံရေးဆိုင်ရာ ချို့ယွင်းချက်များ မတွေ့ရှိရ”
2/11/2021 - 1 မိနစ် ဖတ်ရန်
ပွင့်လင်းမြင်သာမှုနှင့် လုံခြုံရေးဆိုင်ရာ အမြင့်မားဆုံး စံချိန်စံညွှန်းများ ရရှိစေရန် ကျွန်ုပ်တို့၏ စဉ်ဆက်မပြတ် ကတိကဝတ်ပြုမှု တစ်စိတ်တစ်ပိုင်းအနေဖြင့် Psiphon သည် Psiphon ၏ အသစ်ထပ်မံမြှင့်တင်မှု ၄ ခုနှင့် သက်ဆိုင်သော ၎င်း၏ ကုဒ်အခြေခံ (code base) အား လုံခြုံရေးဆိုင်ရာ ပြန်လည်သုံးသပ်မှု ပြုလုပ်ရန် 7ASecurity အား တာဝန်ပေးအပ်ခဲ့ပါသည်။ ထွက်ပေါ်လာသော အစီရင်ခံစာကို အများပြည်သူ ကြည့်ရှုနိုင်ပြီး https://7asecurity.com/reports/pentest-report_psiphon-e.pdf တွင် ဝင်ရောက်ကြည့်ရှုနိုင်ပါသည်။
ရင်းမြစ်ကုဒ် အပြည့်အစုံကို ရယူအသုံးပြုနိုင်သည့် “white box” ချဉ်းကပ်မှုနည်းလမ်းကို အသုံးပြုကာ လုံခြုံရေးအဖွဲ့သည် Psiphon အနေဖြင့် လုံခြုံစိတ်ချရသော ကုဒ်ရေးသားခြင်း အကောင်းဆုံးအလေ့အထများကို လိုက်နာမှု ရှိမရှိ ဆုံးဖြတ်ရန်နှင့် ၎င်းတို့၏ တွေ့ရှိချက်များအပေါ် အခြေခံ၍ သင့်လျော်သည့်နေရာများတွင် ကာကွယ်စောင့်ရှောက်ရေးဆိုင်ရာ အကြံပြုချက်များ ပေးရန် စတင်ဆောင်ရွက်ခဲ့ပါသည်။ လုံခြုံရေးအဖွဲ့သည် Psiphon ရင်းမြစ်ကုဒ်အားလုံးနှင့် ပြင်ပအဖွဲ့အစည်းသုံး လိုင်ဘရီများအပေါ် ကိရိယာများနှင့် နည်းလမ်းအမျိုးမျိုး အသုံးပြု၍ စစ်ဆေးခဲ့ပါသည်။ ဖြစ်နိုင်ခြေရှိသော တိုက်ခိုက်မှုလမ်းကြောင်းများ၊ အမှတ်အသားဖော်ထုတ်ခြင်း (fingerprinting) နှင့် တိုက်ခိုက်ခံရချိန်တွင် Psiphon ၏ အပြုအမူဆိုင်ရာ တုံ့ပြန်မှုတို့ကို ဖော်ထုတ်ရန် ကွန်ရက်အသွားအလာကိုလည်း ခွဲခြမ်းစိတ်ဖြာခဲ့ပါသည်။
အဖွဲ့၏ ကောက်ချက်များမှာ အောက်ပါအတိုင်း ဖြစ်ပါသည်-
“Psiphon ပလက်ဖောင်းသည် တိုက်ခိုက်မှုလမ်းကြောင်း အမျိုးမျိုးကို ကြံ့ကြံ့ခံနိုင်စွမ်းရှိကြောင်း တွေ့ရှိရပြီး ယေဘုယျအားဖြင့် ခိုင်မာအားကောင်းသည့် အထင်အမြင်ကို ရရှိစေခဲ့ပါသည်။
ဤသည်မှာ ဖြေရှင်းချက်နောက်ကွယ်ရှိ အဖွဲ့၏ အရည်အသွေးကို ကောင်းမွန်စွာ ထင်ဟပ်စေပါသည်။ 7ASecurity သည် အန္တရာယ်အဆင့်နိမ့်သော လုံခြုံရေး အားနည်းချက် ၁ ခုတည်းကိုသာ တွေ့ရှိခဲ့ပါသည်။ ထို့ကြောင့် ဤတာဝန်ဆောင်ရွက်မှုအတွင်း သိသာထင်ရှားသော လုံခြုံရေးချို့ယွင်းချက် တစ်စုံတစ်ရာကိုမျှ ဖော်ထုတ်တွေ့ရှိနိုင်ခြင်း မရှိခဲ့ပါ။ ကျန်ရှိသော တွေ့ရှိချက် ၄ ခုကို အထွေထွေ အားနည်းချက်များအဖြစ် သတ်မှတ်ခဲ့ပြီး ထို့ကြောင့် ၎င်းတို့ကို ထိခိုက်လွယ်သော လုံခြုံရေးအားနည်းချက်များအဖြစ် သတ်မှတ်ခြင်းမရှိပါ။”
Psiphon ၏ ကုဒ်အခြေခံသည် အများသုံး ရင်းမြစ်ဖွင့် (open source) ဖြစ်ပြီး GitHub တွင် ဝင်ရောက်ကြည့်ရှုနိုင်ပါသည်။ Psiphon ၏ ကုဒ်အား ယခင်က လုံခြုံရေးဆိုင်ရာ စစ်ဆေးမှုများကို ကျွန်ုပ်တို့၏ ဝဘ်ဆိုက် နှင့် Psiphon ဘလော့ဂ် တို့တွင် ဝင်ရောက်ကြည့်ရှုနိုင်ပါသည်။
7ASecurity အဖွဲ့၏ ကြိုးပမ်းအားထုတ်မှုများကို ကျွန်ုပ်တို့ ကျေးဇူးတင်ရှိပြီး Psiphon ၏ ဆော့ဖ်ဝဲလ် အင်ဂျင်နီယာများနှင့် ရင်းမြစ်ကုဒ်တို့သည် ဆက်လက်၍ ကောင်းမွန်စွာ အသိအမှတ်ပြုခံနေရသည့်အတွက် ဝမ်းမြောက်မိပါသည်။