Psiphon voltooit opnieuw een beveiligingsbeoordeling door derden
16-2-2018 - 2 min leestijd
Bijgewerkt: 4-6-2021
Eind juni 2017 bewees Psiphon opnieuw zijn toewijding aan open source-ontwikkeling (u vindt onze coderepository hier), door Cure53 de opdracht te geven een beveiligingsaudit van onze diensten uit te voeren. Het beveiligingsonderzoek nam 22 dagen en in totaal 9 testers in beslag om te voltooien wat werd omschreven als een beoordeling met een “brede scope”, en de testers van Cure53 waren zeer grondig. Dit is onze 2e beveiligingsaudit van deze aard in 3 jaar (u kunt de resultaten van de 1e, uitgevoerd door iSec, hier bekijken).
De beschrijving in het rapport van wat er binnen de scope viel, luidt:
“Binnen de scope vielen meerdere componenten van de Psiphon-softwarecombinatie, waaronder de tunnel-core client en server, de library glue, de Psiphon iOS-app en, niet in de laatste plaats, de Psiphon iOS-browser. Dit zeer brede uitgangspunt en deze scope verklaren de noodzaak om een vrij groot aantal testers in te schakelen met passende expertise op verschillende gebieden. Samenvattend omvatten de tests code-audits, daadwerkelijke penetratietests, protocol- en configuratiebeoordelingen en een cryptografische audit.”
We zijn erg blij met de resultaten van de beveiligingsaudit en trots te kunnen melden dat “er geen noemenswaardige beveiligingsrisico's konden worden vastgesteld” (p. 19). In het kader van transparantie kunt u het volledige gedetailleerde rapport in pdf-formaat hier lezen. Van de twee gevonden kwetsbaarheden is er één reeds verholpen (en bevestigd door Cure53) en zijn er stappen ondernomen om de andere aan te pakken in toekomstige versies.
De testers merkten ook 7 andere diverse problemen op die u in het rapport terugvindt; vier daarvan zijn inmiddels ook al verholpen.
“De testers deelden de overtuiging dat de softwarecombinatie enorm heeft geprofiteerd van een aantal softwarebeveiligingsaudits in het verleden. Het behoeft geen betoog dat dit terug te zien is in de bevindingen. Van de in totaal negen ontdekte problemen werden er slechts twee aangemerkt als beveiligingskwetsbaarheden en deze kregen bovendien de laagste ernstclassificatie, namelijk 'Informatief'.”
De Cure53-testers merkten in het rapport herhaaldelijk op hoe netjes en kwaliteitsgericht de code is en kwamen tot de volgende conclusie:
“Ondanks de aanzienlijke investering van tijd en personele middelen om te pogen het systeem te compromitteren, hielden de onderzochte Psiphon-componenten stand tijdens het onderzoek en toonden ze zich sterk en robuust tegenover pogingen van aanvallers. De conclusie is dat er geen noemenswaardige beveiligingsrisico's konden worden vastgesteld.”
We hopen dat u dit rapport interessant vindt en dat het u zal overtuigen van onze toewijding aan het leveren van eersteklas software die altijd open source en veilig zal zijn.