Psiphon завершил очередной независимый аудит безопасности
16.02.2018 - 2 мин чтения
Обновлено: 04.06.2021
В конце июня 2017 года Psiphon продолжил подтверждать свою приверженность разработке с открытым исходным кодом (вы можете получить доступ к нашему репозиторию кода здесь), поручив компании Cure53 провести аудит безопасности наших сервисов. Проверка безопасности заняла 22 дня и потребовала участия в общей сложности 9 тестировщиков для выполнения того, что было охарактеризовано как проверка с «огромным объёмом работ», и тестировщики Cure53 подошли к делу очень тщательно. Это наш 2-й подобный аудит безопасности за 3 года (вы можете ознакомиться с результатами 1-го, проведённого iSec, здесь).
В отчёте описание того, что вошло в объём проверки, звучит следующим образом:
«В объём аудита вошли многочисленные компоненты программного комплекса Psiphon, включая клиент и сервер tunnel-core, связующие библиотеки, приложение Psiphon для iOS и, что не менее важно, браузер Psiphon для iOS. Эти очень широкие исходные рамки и объём объясняют необходимость привлечения достаточно большого числа тестировщиков с соответствующей квалификацией в различных областях. В совокупности проверки включали аудит кода, реальные тесты на проникновение, анализ протоколов и конфигураций, а также криптографический аудит».
Мы очень довольны результатами аудита безопасности и с гордостью сообщаем, что «не было выявлено каких-либо заслуживающих внимания рисков безопасности» (стр. 19). В духе прозрачности вы можете ознакомиться с полным подробным отчётом в формате PDF здесь. Из двух обнаруженных уязвимостей одна уже исправлена (что подтверждено Cure53), и приняты меры по устранению второй в ближайших релизах.
Тестировщики также отметили 7 других различных проблем, список которых можно найти в отчёте; четыре из них также уже устранены.
«Тестировщики сошлись во мнении, что программный комплекс значительно выиграл от ряда аудитов безопасности программного обеспечения в прошлом. Излишне говорить, что это отразилось на результатах. Из девяти обнаруженных проблем лишь две были классифицированы как уязвимости безопасности и получили наименьший уровень критичности — "Informational"».
Тестировщики Cure53 неоднократно отмечали в отчёте, насколько чистым и ориентированным на качество является код, и пришли к следующему выводу:
«Несмотря на значительные временные и кадровые ресурсы, затраченные на попытку компрометации, проверяемые компоненты Psiphon выдержали проверку и проявили себя надёжными и устойчивыми перед лицом действий злоумышленников. Главный вывод заключается в том, что никаких заслуживающих внимания рисков безопасности выявлено не было».
Мы надеемся, что этот отчёт покажется вам интересным и убедит вас в нашем стремлении предоставлять первоклассное программное обеспечение, которое всегда будет безопасным и с открытым исходным кодом.