Heartbleed en Psiphon
4-10-2014 - 2 min leestijd
Bijgewerkt: 26-9-2021
Samenvatting van de impact van Heartbleed op Psiphon:
- Sommige Psiphon-servers maakten gebruik van getroffen versies van OpenSSL, waardoor de Python-webserver kwetsbaar was voor de Heartbleed-aanval. Gegevens die risico liepen binnen het proces van de webservercomponent, omvatten informatie over de netwerktopologie van Psiphon en statistieken over netwerkgebruik, evenals sleutelmateriaal van de webserver.
- De SSH/SSH+-Psiphon-tunnels liepen geen risico. Gebruikersverkeer dat via de Psiphon-servers liep, liep geen risico. VPN-Psiphon-tunnels liepen mogelijk risico op man-in-the-middle-aanvallen, omdat het authenticatiegeheim per sessie zich in het geheugen van de Python-webserver bevindt.
- Op 8 april 2014 zijn er OpenSSL-patches toegepast op alle getroffen Psiphon-servers. Bovendien zijn de niet-SSH/SSH+-mogelijkheden van alle getroffen servers ingetrokken (out-of-band-updates voor alle clients), waardoor gegarandeerd is dat clients niet zullen proberen om mogelijk gecompromitteerd sleutelmateriaal van de webserver buiten de beveiligde tunnel te gebruiken.
- De Windows-client maakt geen gebruik van OpenSSL en wordt niet beïnvloed door de Heartbleed-aanval.
- De Android-client maakt geen gebruik van OpenSSL voor zijn tunnel, maar gebruikt Android Java SSL voor zijn webverzoeken naar Psiphon-webservers en Amazon S3. Aangezien Android-versie 4.1.1 is getroffen door Heartbleed, blijft onze app op deze specifieke versie van Android kwetsbaar voor Amazon, Psiphon-servers of een man-in-the-middle die meekijkt in het app-geheugen.
- De e-mail-autoresponder-server had de getroffen versie van OpenSSL. De aanval hierop zou bestaan uit het dwingen van een SSL-verbinding naar een externe mailserver (door een e-mailverzoek te verzenden vanaf een adres dat die server gebruikt), die vervolgens in het geheugen van de mailserver zou kunnen kijken. Dit zou mogelijk e-mailinhoud kunnen blootstellen, waaronder adressen. De OpenSSL-patches zijn toegepast op 8 april 2014.
- De server voor feedbackverwerking had de getroffen versie van OpenSSL. Deze heeft die bibliotheek mogelijk gebruikt (via Python + Boto om SSL-verbindingen te maken met Amazon AWS-diensten en de Google Gmail-server. Dit betekent dat Amazon of Google toegang had kunnen krijgen tot feedbackgegevens van gebruikers. Er moet echter worden opgemerkt dat deze gegevens al worden gehost in Amazon EC2 en dat een subset van deze gegevens via Gmail naar ons wordt gemaild. De OpenSSL-patches zijn toegepast op 8 april 2014.
- Psiphon gebruikte geen getroffen versie van OpenSSL.