Onafhankelijke beveiligingsbeoordeling van Psiphon 3

Bij Psiphon zetten we ons in voor opensourceontwikkeling. We hebben het hierover gehad in een eerder blogbericht, en u hebt hier toegang tot onze broncode.

We kregen onlangs de kans om deze openheid een stap verder te brengen met een formele beveiligingsaudit van onze Windows- en Android-producten, uitgevoerd door iSEC Partners. Als onderdeel van ons streven naar transparantie in onze werkwijze, publiceren we dit rapport graag in zijn geheel, dat u hier kunt inzien.

Over het algemeen zijn we erg blij met de resultaten van de beveiligingsaudit, en dat er wordt erkend dat we "actief investeren in het waarborgen van de veiligheid van [onze] gebruikers". We hebben het ene punt met een hoge ernst (High Severity) dat door iSEC Partners is ontdekt al aangepakt, en zullen in de loop van de tijd de overige aanbevelingen blijven verwerken.

De belangrijkste bevindingen van het rapport zijn:

• Psiphon volgt de meeste beste praktijken uit de sector en neemt maatregelen om aanvallen tegen te gaan waar dat niet mogelijk is.
• De meeste bevindingen waren suggesties om het systeem verder te verbeteren, met name met betrekking tot de groei van het aantal mensen dat de software gebruikt.
• Er zijn geen inherente architectuurfouten ontdekt.
• Er is één probleem met een hoge ernst (High Severity) gevonden, gerelateerd aan geautomatiseerde server-patching. We hebben geautomatiseerde server-patching nu geïmplementeerd met behulp van Ansible.
• Aanbevelingen voor de langere termijn worden overwogen en waar passend opgenomen in onze ontwikkelingsplannen.

Een bijzonder interessante bevinding is de erkenning door iSEC Partners dat er potentiële beveiligingsproblemen zijn met betrekking tot de browser die we gebruiken voor de browser-only-modus. We hebben daar onlangs over geschreven toen er een nieuw beveiligingslek in de browser werd ontdekt, en hebben al stappen ondernomen om dit te beperken.

We waren erg blij met de mogelijkheid om deel te nemen aan deze beveiligingsbeoordeling. We hopen dat u dit rapport interessant vindt en dat het u geruststelt over onze toewijding aan het leveren van eersteklas software die altijd opensource en veilig zal zijn.