Heartbleed e Psiphon
04/10/2014 - 2 min de leitura
Atualizado: 26/09/2021
Resumo do impacto do Heartbleed no Psiphon:
- Alguns servidores Psiphon estavam a utilizar versões afetadas do OpenSSL, deixando o servidor Web Python vulnerável ao ataque Heartbleed. Os dados em risco, dentro do processo do componente do servidor Web, incluíam informações sobre a topologia da rede Psiphon e estatísticas de utilização da rede, além do material de chaves do servidor Web.
- Os túneis Psiphon SSH/SSH+ não estiveram em risco. O tráfego dos utilizadores que fluía através dos servidores Psiphon não esteve em risco. Os túneis Psiphon VPN estiveram potencialmente em risco de ataques man-in-the-middle, uma vez que o segredo de autenticação por sessão se encontra na memória do servidor Web Python.
- A 8 de abril de 2014, foram aplicadas correções do OpenSSL a todos os servidores Psiphon afetados. Além disso, todos os servidores afetados viram as suas funcionalidades não-SSH/SSH+ ser revogadas (atualizações fora de banda para todos os clientes), garantindo que os clientes não tentarão utilizar material de chaves de servidor Web potencialmente comprometido fora do túnel seguro.
- O cliente Windows não utiliza o OpenSSL e não é afetado pelo ataque Heartbleed.
- O cliente Android não utiliza o OpenSSL para o seu túnel, mas utiliza o Android Java SSL para os seus pedidos Web aos servidores Web Psiphon e à Amazon S3. Como a versão 4.1.1 do Android é afetada pelo Heartbleed, a nossa aplicação nesta versão específica do Android permanece vulnerável à inspeção da memória da aplicação por parte da Amazon, de servidores Psiphon ou de um man-in-the-middle.
- O servidor de resposta automática por e-mail tinha a versão afetada do OpenSSL. O ataque contra ele consistiria em levá-lo a estabelecer uma ligação SSL a um servidor de correio remoto (através do envio de um pedido por e-mail a partir de um endereço que utiliza esse servidor), o qual poderia então espreitar a memória do servidor de correio. Isto poderia potencialmente expor o conteúdo dos e-mails, incluindo endereços. As correções do OpenSSL foram aplicadas a 8 de abril de 2014.
- O servidor de processamento de comentários tinha a versão afetada do OpenSSL. Poderá ter utilizado essa biblioteca (via Python + Boto) para estabelecer ligações SSL a serviços Amazon AWS e ao servidor Google Gmail. Isto significa que a Amazon ou a Google poderiam ter acedido aos dados de comentários dos utilizadores. No entanto, deve notar-se que estes dados já estão alojados na Amazon EC2 e um subconjunto destes dados é-nos enviado por e-mail através do Gmail. As correções do OpenSSL foram aplicadas a 8 de abril de 2014.
- Psiphon não estava a utilizar uma versão afetada do OpenSSL.