Avaliação Independente de Segurança do Psiphon 3

Na Psiphon, temos o compromisso com o desenvolvimento de código aberto. Falamos sobre isso em uma publicação anterior no blog, e você pode acessar nosso código-fonte aqui.

Recentemente, recebemos a oportunidade de levar essa transparência um passo adiante com uma auditoria formal de segurança dos nossos produtos para Windows e Android, realizada pela iSEC Partners. Como parte do nosso esforço para sermos transparentes na forma como operamos, temos o prazer de publicar este relatório na íntegra, o qual você pode acessar aqui.

No geral, estamos muito satisfeitos com os resultados da auditoria de segurança e pelo reconhecimento de que estamos "ativamente empenhados em garantir a segurança de [nossos] usuários". Já tratamos do único item de Alta Severidade descoberto pela iSEC Partners e continuaremos a implementar as outras recomendações ao longo do tempo.

As principais conclusões do relatório são:

• O Psiphon segue a maioria das melhores práticas do setor e toma medidas para mitigar ataques onde não é possível fazê-lo.
• A maioria das constatações consistiu em sugestões para aprimorar ainda mais o sistema, principalmente em relação ao aumento no número de pessoas que utilizam o software.
• Nenhuma falha inerente de arquitetura foi descoberta.
• Foi encontrado um problema de Alta Severidade, relacionado à aplicação automatizada de patches em servidores. Agora nós já implementamos a aplicação automatizada de patches em servidores usando o Ansible.
• Recomendações de longo prazo estão sendo consideradas e, onde apropriado, incorporadas aos nossos planos de desenvolvimento.

Uma constatação específica de interesse é o reconhecimento por parte da iSEC Partners de que há potencial para problemas de segurança relacionados ao navegador que usamos no modo somente navegador. Nós escrevemos sobre isso recentemente, quando uma nova falha de segurança no navegador foi descoberta, e já tomamos medidas para mitigá-la.

Ficamos muito contentes com a oportunidade de participar desta avaliação de segurança. Esperamos que você ache este relatório interessante e que ele reafirme nosso compromisso em fornecer um software de primeira linha que será sempre de código aberto e seguro.