Независимая оценка безопасности Psiphon 3

Команда Psiphon привержена разработке программного обеспечения с открытым исходным кодом. Мы рассказывали об этом в предыдущей записи блога, а ознакомиться с исходным кодом можно здесь.

Недавно нам выпала возможность сделать еще один шаг на пути к открытости — провести официальный аудит безопасности наших продуктов для Windows и Android, который выполнила компания iSEC Partners. Стремясь к прозрачности в своей работе, мы рады опубликовать полный текст этого отчета, с которым можно ознакомиться здесь.

В целом мы очень довольны результатами аудита безопасности и тем признанием, что мы «активно вкладываем силы и средства в обеспечение безопасности [наших] пользователей». Мы уже устранили единственную уязвимость высокой степени серьезности (High Severity), обнаруженную специалистами iSEC Partners, и со временем продолжим внедрять остальные рекомендации.

Основные выводы отчета:

• Psiphon следует большинству лучших отраслевых практик и принимает меры для снижения рисков атак там, где это невозможно реализовать напрямую.
• Большинство выводов представляют собой предложения по дальнейшему улучшению системы, особенно с учетом роста числа пользователей программного обеспечения.
• Неотъемлемых архитектурных недостатков обнаружено не было.
• Была обнаружена одна проблема высокой степени серьезности (High Severity), связанная с автоматической установкой исправлений на серверах. Мы уже внедрили автоматическую установку исправлений на серверах с помощью Ansible.
• Долгосрочные рекомендации сейчас рассматриваются и при необходимости будут включены в наши планы разработки.

Особый интерес представляет заключение iSEC Partners о потенциальной возможности возникновения проблем с безопасностью, связанных с браузером, который мы используем для режима «только браузер». Недавно мы писали об этом, когда в браузере была обнаружена новая уязвимость, и уже предприняли шаги для ее устранения.

Мы были очень рады возможности пройти эту проверку безопасности. Надеемся, что этот отчет покажется вам интересным и послужит подтверждением нашего стремления создавать первоклассное программное обеспечение, которое всегда будет открытым и безопасным.