Psiphon fullfører nok en sikkerhetsgjennomgang fra tredjepart
16.2.2018 - 2 min lesetid
Oppdatert: 4.6.2021
I slutten av juni 2017 fortsatte Psiphon å bevise sitt engasjement for utvikling med åpen kildekode (du kan få tilgang til kodelageret vårt her), ved å gi Cure53 i oppdrag å utføre en sikkerhetsrevisjon av tjenestene våre. Sikkerhetsgjennomgangen tok 22 dager og krevde totalt 9 testere for å fullføre det som ble beskrevet som en gjennomgang med et «omfattende omfang», og Cure53-testerne var svært grundige. Dette er vår 2. sikkerhetsrevisjon av denne typen på 3 år (du kan se resultatene fra den 1., utført av iSec her).
Rapportens beskrivelse av hva som var inkludert i omfanget lyder:
«Innenfor omfanget var flere komponenter i Psiphon-programvarepakken, inkludert tunnelkjerne-klienten og -serveren, bibliotekslimet, Psiphon iOS-appen og, sist men ikke minst, Psiphon iOS-nettleseren. Dette svært brede utgangspunktet og omfanget forklarer nødvendigheten av å involvere et nokså stort antall testere med riktig tilpasset kompetanse på ulike områder. Oppsummert inkluderte testene koderevisjoner, faktiske penetrasjonstester, protokoll- og konfigurasjonsgjennomganger, samt en kryptografisk revisjon.»
Vi er svært fornøyde med resultatene fra sikkerhetsrevisjonen og stolte over å kunne meddele at «ingen bemerkelsesverdige sikkerhetsrisikoer kunne avdekkes» (s. 19). I åpenhetens ånd kan du lese den fullstendige, detaljerte rapporten i PDF-format her. Av de to sårbarhetene som ble funnet, er den ene allerede utbedret (og bekreftet av Cure53), og tiltak er iverksatt for å håndtere den andre i kommende utgivelser.
Testerne bemerket også 7 andre diverse problemer som du finner oppført i rapporten, og fire av disse er også allerede utbedret.
«Testerne delte en overbevisning om at programvaresammensetningen hadde dratt stor nytte av en rekke sikkerhetsrevisjoner av programvaren tidligere. Det er unødvendig å si at dette gjenspeiles i funnene. Blant de totalt ni problemene som ble oppdaget, ble bare to markert som sikkerhetssårbarheter, og disse ble videre tilskrevet den laveste alvorlighetsgraden «Informational».»
Cure53-testerne bemerket flere ganger gjennom rapporten hvor ren og kvalitetsdrevet koden er, og kom frem til følgende konklusjon:
«Til tross for at det ble investert betydelig med tid og personellressurser i forsøk på et kompromiss, holdt Psiphon-komponentene i omfanget stand mot granskningen og fremsto som sterke og robuste i møte med angrepsforsøk. Hovedkonklusjonen er at ingen bemerkelsesverdige sikkerhetsrisikoer kunne avdekkes.»
Vi håper at du vil finne denne rapporten interessant, og at den vil forsikre deg om vårt engasjement for å levere førsteklasses programvare som alltid vil være åpen kildekode og sikker.