Heartbleed na Psiphon
4/10/2014 - 2 dakika za kusoma
Imesasishwa: 26/9/2021
Muhtasari wa athari za Heartbleed kwenye Psiphon:
- Baadhi ya seva za Psiphon zilikuwa zikitumia matoleo yaliyoathiriwa ya OpenSSL, na kuacha seva ya wavuti ya Python ikiwa katika hatari ya shambulio la Heartbleed. Data iliyokuwa hatarini, ndani ya mchakato wa kijenzi cha seva ya wavuti, ilijumuisha taarifa za topolojia ya mtandao wa Psiphon na takwimu za matumizi ya mtandao pamoja na nyenzo za ufunguo wa seva ya wavuti.
- Mahandaki ya SSH/SSH+ ya Psiphon hayakuwa hatarini. Trafiki ya watumiaji inayopita kwenye seva za Psiphon haikuwa hatarini. Mahandaki ya VPN ya Psiphon yalikuwa katika hatari inayowezekana ya mashambulizi ya man-in-the-middle kwa kuwa siri ya uthibitishaji ya kila kipindi ipo kwenye kumbukumbu ya seva ya wavuti ya Python.
- Mnamo Aprili 8, 2014, viraka vya OpenSSL viliwekwa kwenye seva zote za Psiphon zilizoathiriwa. Zaidi ya hayo, seva zote zilizoathiriwa zilibatilishwa uwezo wake usio wa SSH/SSH+ (sasisho za nje ya bendi kwa wateja wote), kuhakikisha wateja hawatajaribu kutumia nyenzo za ufunguo wa seva ya wavuti zinazoweza kuwa zimeathiriwa nje ya handaki salama.
- Mteja wa Windows hatumii OpenSSL na hajaathiriwa na shambulio la Heartbleed.
- Mteja wa Android hatumii OpenSSL kwa ajili ya handaki lake, lakini anatumia Android Java SSL kwa maombi yake ya wavuti kwenye seva za wavuti za Psiphon na Amazon S3. Kwa kuwa toleo la 4.1.1 la Android limeathiriwa na Heartbleed, programu yetu kwenye toleo hili mahususi la Android inasalia hatarini kwa Amazon, seva za Psiphon, au mtu aliye katikati kuchungulia kumbukumbu ya programu.
- Seva ya majibu ya kiotomatiki ya barua pepe ilikuwa na toleo lililoathiriwa la OpenSSL. Shambulio dhidi yake lingekuwa kuifanya ianzishe muunganisho wa SSL kwenye seva ya mbali ya barua pepe (kwa kutuma ombi la barua pepe kutoka kwa anwani inayotumia seva hiyo), ambayo ingeweza kisha kuchungulia kwenye kumbukumbu ya seva ya barua pepe. Hili lingeweza kufichua maudhui ya barua pepe, ikiwa ni pamoja na anwani. Viraka vya OpenSSL viliwekwa Aprili 8, 2014.
- Seva ya kuchakata maoni ilikuwa na toleo lililoathiriwa la OpenSSL. Huenda ilitumia maktaba hiyo (kupitia Python + Boto kufanya miunganisho ya SSL kwenye huduma za Amazon AWS na seva ya Google Gmail. Hii ina maana kwamba Amazon au Google ingeweza kufikia data ya maoni ya mtumiaji. Hata hivyo, inapaswa kuzingatiwa kuwa data hii tayari imepangishwa katika Amazon EC2 na sehemu ya data hii hutumwa kwetu kwa barua pepe kupitia Gmail. Viraka vya OpenSSL viliwekwa Aprili 8, 2014.
- Psiphon haikuwa ikitumia toleo lililoathiriwa la OpenSSL.