Avaliação Independente de Segurança do Psiphon 3

Na Psiphon, temos um compromisso com o desenvolvimento de código aberto. Falamos sobre isso em uma postagem anterior do blog, e você pode acessar nosso código-fonte aqui.

Recentemente, tivemos a oportunidade de levar essa transparência um passo adiante com uma auditoria de segurança formal dos nossos produtos para Windows e Android, realizada pela iSEC Partners. Como parte do nosso esforço para sermos transparentes na forma como operamos, temos o prazer de publicar este relatório na íntegra, o qual você pode acessar aqui.

No geral, estamos muito satisfeitos com os resultados da auditoria de segurança e pelo reconhecimento de que estamos "ativamente empenhados em garantir a segurança dos [nossos] usuários". Já solucionamos o único item de Alta Gravidade identificado pela iSEC Partners e continuaremos a implementar as outras recomendações ao longo do tempo.

As principais conclusões do relatório são:

• A Psiphon segue a maioria das melhores práticas do setor e toma medidas para mitigar ataques onde isso não for possível.
• A maior parte dos apontamentos foram sugestões para aprimorar ainda mais o sistema, especialmente em relação ao aumento no número de pessoas que utilizam o software.
• Nenhuma falha estrutural de arquitetura foi encontrada.
• Um problema de Alta Gravidade foi identificado, relacionado à aplicação automatizada de patches nos servidores. Já implementamos a aplicação automatizada de patches nos servidores usando o Ansible.
• Recomendações de longo prazo estão sendo avaliadas e, quando apropriado, incorporadas aos nossos planos de desenvolvimento.

Uma constatação de interesse específico é o reconhecimento pela iSEC Partners de que há um potencial para problemas de segurança relacionados ao navegador que usamos para o modo somente navegador. Nós escrevemos sobre isso recentemente quando uma nova falha de segurança no navegador foi descoberta, e já tomamos medidas para mitigá-la.

Ficamos muito contentes com a oportunidade de participar dessa avaliação de segurança. Esperamos que este relatório seja de seu interesse e que ele reforce a sua confiança no nosso compromisso de oferecer um software de primeira linha que sempre será de código aberto e seguro.