Psiphon conclui outra revisão de segurança de terceiros
16/02/2018 - 2 min de leitura
Atualizado: 04/06/2021
No final de junho de 2017, o Psiphon continuou a demonstrar seu compromisso com o desenvolvimento de código aberto (você pode acessar nosso repositório de código aqui), ao contratar a Cure53 para realizar uma auditoria de segurança de nossos serviços. A avaliação de segurança durou 22 dias e contou com um total de 9 avaliadores para concluir o que foi descrito como uma análise de “vasto escopo”, e os avaliadores da Cure53 foram extremamente minuciosos. Esta é a nossa 2ª auditoria de segurança desse tipo em 3 anos (você pode conferir os resultados da 1ª, realizada pela iSec aqui).
A descrição do relatório sobre o que foi incluído no escopo diz:
“No escopo estavam múltiplos componentes do composto de software Psiphon, incluindo o cliente e servidor do núcleo do túnel, a camada de ligação da biblioteca, o aplicativo Psiphon para iOS e, por último mas não menos importante, o navegador Psiphon para iOS. Esta premissa e escopo bastante amplos explicam a necessidade de envolver um número considerável de avaliadores com conhecimentos técnicos devidamente correspondentes em diferentes áreas. Em suma, os testes incluíram auditorias de código, testes de penetração reais, revisões de protocolos e configurações, e uma auditoria criptográfica."
Estamos muito satisfeitos com os resultados da auditoria de segurança e orgulhosos em informar que “nenhum risco de segurança digno de nota pôde ser revelado” (pág. 19). Em espírito de transparência, você pode ler o relatório detalhado completo em formato PDF aqui. Das duas vulnerabilidades encontradas, uma já foi corrigida (e confirmada pela Cure53) e medidas foram tomadas para solucionar a outra nas próximas versões.
Os avaliadores também observaram outros 7 problemas diversos que você pode encontrar listados no relatório; quatro deles também já foram solucionados.
“Os avaliadores compartilharam a convicção de que o conjunto de software se beneficiou amplamente de uma série de auditorias de segurança de software no passado. Escusado será dizer que isso se reflete nas descobertas. Entre o total de nove problemas descobertos, apenas dois foram classificados como vulnerabilidades de segurança e receberam a classificação de gravidade mais baixa, ‘Informativa’.”
Os avaliadores da Cure53 observaram várias vezes ao longo do relatório o quanto o código é limpo e orientado à qualidade, e chegaram à seguinte conclusão:
“Apesar de despenderem considerável tempo e recursos humanos na tentativa de um comprometimento, os componentes do Psiphon no escopo resistiram ao escrutínio e se apresentaram fortes e robustos diante de esforços adversários. A conclusão é que nenhum risco de segurança digno de nota pôde ser revelado.”
Esperamos que você ache este relatório interessante e que ele assegure o nosso compromisso em fornecer um software de primeira linha que sempre será de código aberto e seguro.