Uavhengig sikkerhetsvurdering av Psiphon 3

Hos Psiphon er vi opptatt av utvikling med åpen kildekode. Vi snakket om dette i et tidligere blogginnlegg, og du finner kildekoden vår her.

Vi fikk nylig muligheten til å ta denne åpenheten et steg videre gjennom en formell sikkerhetsrevisjon av Windows- og Android-produktene våre, utført av iSEC Partners. Som en del av vårt arbeid med å være åpne om måten vi opererer på, er vi glade for å kunne publisere denne rapporten i sin helhet, som du har tilgang til her.

Alt i alt er vi svært fornøyde med resultatene av sikkerhetsrevisjonen, og over å bli anerkjent for at vi er «aktivt investert i å ivareta sikkerheten til [våre] brukere». Vi har allerede utbedret det ene punktet med høy alvorlighetsgrad (High Severity) som iSEC Partners avdekket, og vi vil fortsette å følge opp de andre anbefalingene over tid.

Hovedfunnene i rapporten er:

• Psiphon følger bransjens beste praksis på de fleste områder og iverksetter tiltak for å redusere risikoen for angrep der dette ikke er mulig.
• De fleste funnene var forslag til ytterligere forbedringer av systemet, spesielt knyttet til veksten i antall personer som bruker programvaren.
• Det ble ikke oppdaget noen iboende arkitekturfeil.
• Ett problem med høy alvorlighetsgrad (High Severity) ble funnet, knyttet til automatisert oppdatering av servere. Vi har nå rullet ut automatisert serveroppdatering ved hjelp av Ansible.
• Langsiktige anbefalinger vurderes, og innlemmes i utviklingsplanene våre der det er hensiktsmessig.

Et spesielt interessant funn er iSEC Partners' påpekning av at det er potensial for sikkerhetsproblemer knyttet til nettleseren vi bruker i modusen «kun nettleser». Vi skrev om dette nylig da en ny sikkerhetsfeil i nettleseren ble oppdaget, og vi har allerede iverksatt tiltak for å avbøte dette.

Vi var svært glade for å få muligheten til å gjennomføre denne sikkerhetsgjennomgangen. Vi håper du finner rapporten interessant, og at den trygger deg på vårt engasjement for å levere førsteklasses programvare som alltid vil være åpen kildekode og sikker.