Psiphon conclui mais uma avaliação de segurança por terceiros
16/02/2018 - 2 min de leitura
Atualizado: 04/06/2021
No final de junho de 2017, a Psiphon continuou a demonstrar o seu compromisso com o desenvolvimento de código aberto (pode aceder ao nosso repositório de código aqui), ao encarregar a Cure53 de realizar uma auditoria de segurança aos nossos serviços. A análise de segurança demorou 22 dias e envolveu um total de 9 avaliadores para concluir o que foi descrito como uma análise de “vasto âmbito”, tendo os avaliadores da Cure53 sido extremamente minuciosos. Esta é a nossa 2.ª auditoria de segurança deste género em 3 anos (pode consultar os resultados da 1.ª, realizada pela iSec aqui).
A descrição no relatório sobre o que foi incluído no âmbito refere:
“No âmbito estavam múltiplos componentes do conjunto de software da Psiphon, incluindo o cliente e servidor do núcleo de túnel, a integração de bibliotecas, a aplicação Psiphon para iOS e, por último mas não menos importante, o navegador Psiphon para iOS. Esta premissa e âmbito muito amplos explicam a necessidade de envolver um número considerável de avaliadores com competências adequadas em diferentes áreas. Em suma, os testes incluíram auditorias de código, testes de intrusão reais, revisões de protocolos e configurações, bem como uma auditoria criptográfica.”
Estamos muito satisfeitos com os resultados da auditoria de segurança e orgulhosos por comunicar que “não foram identificados riscos de segurança dignos de nota” (pág. 19). Em prol da transparência, pode ler o relatório detalhado completo em formato PDF aqui. Das duas vulnerabilidades encontradas, uma já foi corrigida (e confirmada pela Cure53) e foram tomadas medidas para resolver a outra nos próximos lançamentos.
Os avaliadores também assinalaram outros 7 problemas diversos que pode encontrar listados no relatório, quatro dos quais também já foram resolvidos.
“Os avaliadores partilharam a convicção de que o conjunto de software beneficiou largamente de várias auditorias de segurança de software no passado. Escusado será dizer que tal se reflete nas conclusões. Do total de nove problemas descobertos, apenas dois foram classificados como vulnerabilidades de segurança, tendo-lhes sido atribuída a classificação de gravidade mais baixa, «Informativa».”
Os avaliadores da Cure53 salientaram várias vezes ao longo do relatório como o código é limpo e orientado para a qualidade, chegando à seguinte conclusão:
“Apesar de investirem um tempo e recursos humanos consideráveis na tentativa de comprometer o sistema, os componentes da Psiphon no âmbito resistiram ao escrutínio e mostraram-se fortes e robustos face a iniciativas adversárias. O balanço final é que não foi possível desvendar riscos de segurança dignos de nota.”
Esperamos que considere este relatório interessante e que o mesmo lhe dê a certeza do nosso compromisso em fornecer software de excelência que será sempre seguro e de código aberto.