Heartbleed e Psiphon
04/10/2014 - 2 min de leitura
Atualizado: 26/09/2021
Resumo do impacto do Heartbleed no Psiphon:
- Alguns servidores Psiphon estavam usando versões afetadas do OpenSSL, deixando o servidor web Python vulnerável ao ataque Heartbleed. Os dados em risco, dentro do processo do componente do servidor web, incluíam informações de topologia da rede Psiphon e estatísticas de uso da rede, além do material de chaves do servidor web.
- Os túneis SSH/SSH+ do Psiphon não estavam em risco. O tráfego dos usuários que passava pelos servidores Psiphon não estava em risco. Os túneis VPN do Psiphon estavam potencialmente em risco de ataques man-in-the-middle, já que o segredo de autenticação por sessão fica na memória do servidor web Python.
- Em 8 de abril de 2014, correções do OpenSSL foram aplicadas a todos os servidores Psiphon afetados. Além disso, todos os servidores afetados tiveram suas funcionalidades não SSH/SSH+ revogadas (atualizações fora de banda para todos os clientes), garantindo que os clientes não tentem usar material de chaves do servidor web potencialmente comprometido fora do túnel seguro.
- O cliente Windows não usa OpenSSL e não é afetado pelo ataque Heartbleed.
- O cliente Android não usa OpenSSL para seu túnel, mas usa o Android Java SSL para suas solicitações web aos servidores web Psiphon e ao Amazon S3. Como a versão 4.1.1 do Android é afetada pelo Heartbleed, nosso aplicativo nesta versão específica do Android permanece vulnerável à Amazon, a servidores Psiphon ou a um man-in-the-middle espiando a memória do aplicativo.
- O servidor de resposta automática de e-mail tinha a versão afetada do OpenSSL. O ataque contra ele consistiria em fazer com que ele estabelecesse uma conexão SSL com um servidor de e-mail remoto (enviando uma solicitação por e-mail a partir de um endereço que utiliza esse servidor), o qual poderia então espiar a memória do servidor de e-mail. Isso poderia potencialmente expor o conteúdo dos e-mails, incluindo endereços. As correções do OpenSSL foram aplicadas em 8 de abril de 2014.
- O servidor de processamento de feedback tinha a versão afetada do OpenSSL. Ele pode ter usado essa biblioteca (via Python + Boto para fazer conexões SSL com os serviços Amazon AWS e o servidor Google Gmail. Isso significa que a Amazon ou o Google poderiam ter acessado dados de feedback dos usuários. No entanto, deve-se notar que esses dados já estão hospedados no Amazon EC2 e um subconjunto desses dados nos é enviado por e-mail através do Gmail. As correções do OpenSSL foram aplicadas em 8 de abril de 2014.
- Psiphon não estava usando uma versão afetada do OpenSSL.