Psiphon conclui mais uma revisão de segurança de terceiros
16/02/2018 - 2 min de leitura
Atualizado: 04/06/2021
No final de junho de 2017, o Psiphon continuou a demonstrar seu compromisso com o desenvolvimento de código aberto (você pode acessar nosso repositório de código aqui), ao contratar a Cure53 para realizar uma auditoria de segurança de nossos serviços. A revisão de segurança levou 22 dias e envolveu um total de 9 testadores para concluir o que foi descrito como uma revisão com um “escopo amplo”, e os testadores da Cure53 foram muito minuciosos. Esta é a nossa 2ª auditoria de segurança deste tipo em 3 anos (você pode ver os resultados da 1ª, realizada pela iSec aqui).
A descrição no relatório sobre o que foi incluído no escopo afirma:
“No escopo estavam múltiplos componentes do conjunto de software do Psiphon, incluindo o cliente e servidor do núcleo do túnel, a camada de integração das bibliotecas, o aplicativo Psiphon para iOS e, por último mas não menos importante, o navegador Psiphon para iOS. Esta premissa e escopo bastante amplos explicam a necessidade de envolver um número considerável de testadores com experiência devidamente correspondente em diferentes áreas. Em suma, os testes incluíram auditorias de código, testes de penetração reais, revisões de protocolo e configuração, e uma auditoria criptográfica."
Estamos muito felizes com os resultados da auditoria de segurança e orgulhosos em divulgar que “nenhum risco de segurança digno de nota pôde ser revelado” (pág. 19). Em espírito de transparência, você pode ler o relatório completo e detalhado em formato PDF aqui. Das duas vulnerabilidades encontradas, uma já foi corrigida (e confirmada pela Cure53) e medidas foram tomadas para resolver a outra nas próximas versões.
Os testadores também observaram outros 7 problemas diversos que você pode encontrar listados no relatório; quatro deles também já foram resolvidos.
“Os testadores compartilharam a convicção de que o conjunto de software se beneficiou amplamente de uma série de auditorias de segurança de software realizadas no passado. Não é preciso dizer que isso se reflete nas constatações. Dentre o total de nove problemas descobertos, apenas dois foram marcados como vulnerabilidades de segurança e receberam a classificação de gravidade mais baixa, “Informativa”.”
Os testadores da Cure53 observaram várias vezes ao longo do relatório o quanto o código é limpo e orientado à qualidade, e chegaram à seguinte conclusão:
“Apesar de investir tempo considerável e recursos de pessoal na tentativa de um comprometimento, os componentes do Psiphon no escopo resistiram à análise minuciosa e se apresentaram fortes e robustos diante dos esforços adversariais. A conclusão é que nenhum risco de segurança digno de nota pôde ser revelado.”
Esperamos que você ache este relatório interessante e que ele lhe dê a certeza de nosso compromisso em fornecer um software de primeira linha que sempre será de código aberto e seguro.