Avaliação Independente de Segurança do Psiphon 3

Na Psiphon, estamos empenhados no desenvolvimento em código aberto. Falámos sobre isto numa publicação anterior do blogue, e pode aceder ao nosso código-fonte aqui.

Recentemente, foi-nos dada a oportunidade de levar esta abertura um passo mais além com uma auditoria de segurança formal aos nossos produtos para Windows e Android, a ser realizada pela iSEC Partners. Como parte do nosso esforço para sermos transparentes na forma como operamos, temos o prazer de publicar este relatório na íntegra, ao qual pode aceder aqui.

No geral, estamos muito satisfeitos com os resultados da auditoria de segurança e pelo reconhecimento de que estamos "ativamente empenhados em garantir a segurança dos [nossos] utilizadores". Já resolvemos o único item de gravidade alta identificado pela iSEC Partners e continuaremos a abordar as restantes recomendações ao longo do tempo.

As principais conclusões do relatório são:

• A Psiphon segue a maioria das melhores práticas do setor e toma medidas para mitigar ataques onde não é possível fazê-lo.
• A maioria das conclusões foram sugestões para melhorar ainda mais o sistema, particularmente em relação ao crescimento do número de pessoas que utilizam o software.
• Não foram descobertas falhas inerentes de arquitetura.
• Foi encontrado um problema de gravidade alta, relacionado com a aplicação automatizada de correções nos servidores. Já implementámos a aplicação automatizada de correções nos servidores utilizando o Ansible.
• As recomendações a mais longo prazo estão a ser consideradas e, quando apropriado, incorporadas nos nossos planos de desenvolvimento.

Uma conclusão de particular interesse é o reconhecimento por parte da iSEC Partners de que existe um potencial para problemas de segurança relacionados com o navegador que utilizamos para o modo exclusivo de navegador. Escrevemos sobre isso recentemente, quando foi descoberta uma nova falha de segurança no navegador, e já tomámos medidas para mitigar a mesma.

Ficámos muito satisfeitos por termos a oportunidade de participar nesta revisão de segurança. Esperamos que este relatório seja do seu interesse e que reafirme o nosso compromisso em fornecer software de primeira classe que será sempre de código aberto e seguro.