Heartbleed и Psiphon
04.10.2014 - 2 мин чтения
Обновлено: 26.09.2021
Краткий обзор влияния Heartbleed на Psiphon:
- Некоторые серверы Psiphon использовали затронутые версии OpenSSL, что делало веб-сервер Python уязвимым для атаки Heartbleed. Данные под угрозой в процессе компонента веб-сервера включали информацию о топологии сети Psiphon и статистику использования сети, а также ключевой материал веб-сервера.
- SSH/SSH+ туннели Psiphon не подвергались риску. Пользовательский трафик, проходящий через серверы Psiphon, не подвергался риску. VPN-туннели Psiphon потенциально подвергались риску атак типа «человек посередине» (man-in-the-middle), так как секрет аутентификации для каждой сессии находится в памяти веб-сервера Python.
- 8 апреля 2014 года исправления OpenSSL были применены ко всем затронутым серверам Psiphon. Кроме того, у всех затронутых серверов были отозваны возможности, не связанные с SSH/SSH+ (внеполосные обновления для всех клиентов), что гарантирует, что клиенты не попытаются использовать потенциально скомпрометированный ключевой материал веб-сервера за пределами защищенного туннеля.
- Клиент для Windows не использует OpenSSL и не затронут атакой Heartbleed.
- Клиент для Android не использует OpenSSL для своего туннеля, но использует Android Java SSL для веб-запросов к веб-серверам Psiphon и Amazon S3. Поскольку версия Android 4.1.1 затронута уязвимостью Heartbleed, наше приложение на этой конкретной версии Android остается уязвимым для серверов Amazon, серверов Psiphon или посредника при атаке «человек посередине», способных просматривать память приложения.
- Сервер почтового автоответчика использовал затронутую версию OpenSSL. Атака на него могла заключаться в том, чтобы заставить его установить SSL-соединение с удаленным почтовым сервером (путем отправки запроса по электронной почте с адреса, использующего этот сервер), который затем мог получить доступ к памяти почтового сервера. Это потенциально могло раскрыть содержимое электронных писем, включая адреса. Исправления OpenSSL были применены 8 апреля 2014 года.
- Сервер обработки обратной связи использовал затронутую версию OpenSSL. Он мог использовать эту библиотеку (через Python + Boto для установки SSL-соединений со службами Amazon AWS и сервером Google Gmail. Это означает, что Amazon или Google могли получить доступ к данным отзывов пользователей. Однако следует отметить, что эти данные уже размещены в Amazon EC2, а часть этих данных отправляется нам по электронной почте через Gmail. Исправления OpenSSL были применены 8 апреля 2014 года.
- Psiphon не использовал затронутую версию OpenSSL.