Heartbleed og Psiphon
4.10.2014 - 2 min lesetid
Oppdatert: 26.9.2021
Sammendrag av Heartbleeds innvirkning på Psiphon:
- Noen Psiphon-servere brukte berørte versjoner av OpenSSL, noe som gjorde Python-webserveren sårbar for Heartbleed-angrepet. Data som var i fare, innenfor webserver-komponentprosessen, inkluderte informasjon om Psiphons nettverkstopologi og nettverksbruksstatistikk i tillegg til nøkkelmateriale for webserveren.
- SSH/SSH+-Psiphon-tunnelene var ikke i fare. Brukertrafikk som strømmet gjennom Psiphon-serverne var ikke i fare. VPN-Psiphon-tunneler var potensielt i fare for mann-i-midten-angrep ettersom autentiseringshemmeligheten per økt ligger i Python-webserverens minne.
- Den 8. april 2014 ble OpenSSL-feilrettinger installert på alle berørte Psiphon-servere. I tillegg fikk alle berørte servere sine ikke-SSH/SSH+-funksjoner tilbakekalt (out-of-band-oppdateringer til alle klienter), noe som sikrer at klienter ikke vil forsøke å bruke potensielt kompromittert nøkkelmateriale for webservere utenfor den sikre tunnelen.
- Windows-klienten bruker ikke OpenSSL og er ikke påvirket av Heartbleed-angrepet.
- Android-klienten bruker ikke OpenSSL til tunnelen sin, men bruker Android Java SSL til sine nettforespørsler til Psiphon-webservere og Amazon S3. Siden Android-versjon 4.1.1 er berørt av Heartbleed, forblir appen vår på akkurat denne versjonen av Android sårbar for at Amazon, Psiphon-servere eller en mann i midten kan snoke i appminnet.
- Serveren for automatiske e-postsvar hadde den berørte versjonen av OpenSSL. Angrepet mot den ville bestå i å få den til å opprette en SSL-tilkobling til en ekstern e-postserver (ved å sende en e-postforespørsel fra en adresse som bruker den serveren), som deretter kunne snoke i e-postserverens minne. Dette kunne potensielt eksponere e-postinnhold, inkludert adresser. OpenSSL-feilrettingene ble installert 8. april 2014.
- Serveren for behandling av tilbakemeldinger hadde den berørte versjonen av OpenSSL. Den kan ha brukt dette biblioteket (via Python + Boto for å opprette SSL-tilkoblinger til Amazon AWS-tjenester og Google Gmail-serveren. Dette betyr at Amazon eller Google kunne ha fått tilgang til data fra brukertilbakemeldinger. Det bør imidlertid bemerkes at disse dataene allerede driftes i Amazon EC2, og et delsett av disse dataene sendes til oss på e-post via Gmail. OpenSSL-feilrettingene ble installert 8. april 2014.
- Psiphon brukte ikke en berørt versjon av OpenSSL.