Heartbleed ва Psiphon
4.10.2014 - 2 дақиқаи мутолиа
Навсозишуда: 26.9.2021
Хулосаи таъсири Heartbleed ба Psiphon:
- Баъзе серверҳои Psiphon версияҳои осебдидаи OpenSSL-ро истифода мебурданд, ки веби сервери Python-ро ба ҳамлаи Heartbleed осебпазир мекард. Маълумоти дар хатар қарордошта дар раванди ҷузъи веби сервер маълумоти топологияи шабакаи Psiphon ва омори истифодаи шабака, инчунин маводи калидии веби серверро дар бар мегирифт.
- Нақбҳои SSH/SSH+ Psiphon дар зери хатар набуданд. Трафики корбарон, ки тавассути серверҳои Psiphon мегузашт, дар зери хатар набуд. Нақбҳои VPN Psiphon эҳтимолан дар зери хатари ҳамлаҳои «man-in-the-middle» (миёнрав) қарор доштанд, зеро сирри аутентификатсия барои ҳар як сессия дар хотираи веби сервери Python ҷойгир аст.
- 8 апрели соли 2014 ба ҳамаи серверҳои осебдидаи Psiphon часбҳои OpenSSL татбиқ карда шуданд. Илова бар ин, имкониятҳои ғайри SSH/SSH+-и ҳамаи серверҳои осебдида бекор карда шуданд (навсозиҳои берун аз шабака барои ҳамаи муштариён), ки ин кафолат медиҳад, ки муштариён кӯшиши истифодаи маводи калидии веби сервери эҳтимолан фошшударо берун аз нақби амн нахоҳанд кард.
- Муштарии Windows аз OpenSSL истифода намебарад ва ба ҳамлаи Heartbleed дучор нашудааст.
- Муштарии Android барои нақби худ аз OpenSSL истифода намебарад, аммо барои дархостҳои веби худ ба серверҳои веби Psiphon ва Amazon S3 аз Android Java SSL истифода мекунад. Азбаски версияи Android 4.1.1 аз ҷониби Heartbleed осеб дидааст, барномаи мо дар ин версияи мушаххаси Android ба Amazon, серверҳои Psiphon ё ба ҳамлакунандаи миёнрав, ки ба хотираи барнома назар мекунад, осебпазир боқӣ мемонад.
- Сервери посухдиҳандаи худкори почтаи электронӣ дорои версияи осебдидаи OpenSSL буд. Ҳамла ба муқобили он метавонист водор кардани он ба барқарор кардани пайвасти SSL бо сервери дурдасти почта бошад (тавассути ирсоли дархости почтаи электронӣ аз суроғае, ки ин серверро истифода мебарад), ки он гоҳ метавонист ба хотираи сервери почта ворид шавад. Ин метавонист мундариҷаи почтаи электронӣ, аз ҷумла суроғаҳоро ошкор созад. Часбҳои OpenSSL 8 апрели соли 2014 татбиқ карда шуданд.
- Сервери коркарди фикру мулоҳизаҳо дорои версияи осебдидаи OpenSSL буд. Он метавонист ин китобхонаро (тавассути Python + Boto барои пайвастҳои SSL ба хидматҳои Amazon AWS ва сервери Google Gmail истифода бурда бошад. Ин маънои онро дорад, ки Amazon ё Google метавонистанд ба маълумоти фикру мулоҳизаҳои корбарон дастрасӣ пайдо кунанд. Аммо бояд қайд кард, ки ин маълумот аллакай дар Amazon EC2 ҷойгир аст ва қисме аз ин маълумот тавассути Gmail ба мо бо почтаи электронӣ фиристода мешавад. Часбҳои OpenSSL 8 апрели соли 2014 татбиқ карда шуданд.
- Psiphon версияи осебдидаи OpenSSL-ро истифода намебурд.