Heartbleed และ Psiphon
4/10/2014 - 1 นาทีในการอ่าน
อัปเดต: 26/9/2021
สรุปผลกระทบจาก Heartbleed ต่อ Psiphon:
- เซิร์ฟเวอร์ Psiphon บางเครื่องใช้ OpenSSL เวอร์ชันที่ได้รับผลกระทบ ซึ่งทำให้เว็บเซิร์ฟเวอร์ Python มีช่องโหว่ต่อการโจมตีด้วย Heartbleed ข้อมูลที่มีความเสี่ยงภายในกระบวนการส่วนประกอบของเว็บเซิร์ฟเวอร์ รวมถึงข้อมูลโครงสร้างเครือข่าย Psiphon และสถิติการใช้งานเครือข่าย นอกเหนือจากข้อมูลคีย์ของเว็บเซิร์ฟเวอร์
- อุโมงค์เชื่อมต่อ Psiphon แบบ SSH/SSH+ ไม่มีความเสี่ยง ปริมาณการใช้งานของผู้ใช้ที่ส่งผ่านเซิร์ฟเวอร์ Psiphon ไม่มีความเสี่ยง อุโมงค์เชื่อมต่อ Psiphon แบบ VPN อาจมีความเสี่ยงต่อการโจมตีแบบคนกลาง (man-in-the-middle) เนื่องจากข้อมูลลับสำหรับการยืนยันตัวตนในแต่ละเซสชันจะอยู่ในหน่วยความจำของเว็บเซิร์ฟเวอร์ Python
- เมื่อวันที่ 8 เมษายน 2014 มีการนำแพตช์ OpenSSL ไปใช้กับเซิร์ฟเวอร์ Psiphon ทั้งหมดที่ได้รับผลกระทบ นอกจากนี้ เซิร์ฟเวอร์ที่ได้รับผลกระทบทั้งหมดยังถูกเพิกถอนความสามารถที่ไม่ใช่ SSH/SSH+ (การอัปเดตนอกช่องทางปกติไปยังไคลเอนต์ทั้งหมด) เพื่อให้แน่ใจว่าไคลเอนต์จะไม่พยายามใช้ข้อมูลคีย์ของเว็บเซิร์ฟเวอร์ที่อาจถูกบุกรุกนอกอุโมงค์เชื่อมต่อที่ปลอดภัย
- ไคลเอนต์ Windows ไม่ได้ใช้ OpenSSL และไม่ได้รับผลกระทบจากการโจมตีด้วย Heartbleed
- ไคลเอนต์ Android ไม่ได้ใช้ OpenSSL สำหรับอุโมงค์เชื่อมต่อ แต่ใช้ Android Java SSL สำหรับคำขอเว็บไปยังเว็บเซิร์ฟเวอร์ Psiphon และ Amazon S3 เนื่องจาก Android เวอร์ชัน 4.1.1 ได้รับผลกระทบจาก Heartbleed, แอปของเราบน Android เวอร์ชันดังกล่าวจึงยังคงมีความเสี่ยงต่อการที่ Amazon, เซิร์ฟเวอร์ Psiphon หรือผู้โจมตีแบบคนกลางจะแอบดูหน่วยความจำของแอป
- เซิร์ฟเวอร์ตอบกลับอีเมลอัตโนมัติใช้ OpenSSL เวอร์ชันที่ได้รับผลกระทบ การโจมตีเซิร์ฟเวอร์ดังกล่าวคือการทำให้เซิร์ฟเวอร์สร้างการเชื่อมต่อ SSL ไปยังเมลเซิร์ฟเวอร์ระยะไกล (โดยการส่งคำขอทางอีเมลจากที่อยู่ที่ใช้เซิร์ฟเวอร์นั้น) ซึ่งอาจแอบดูหน่วยความจำของเมลเซิร์ฟเวอร์ได้ สิ่งนี้อาจเปิดเผยเนื้อหาของอีเมล รวมถึงที่อยู่อีเมล ทั้งนี้ มีการนำแพตช์ OpenSSL ไปใช้เมื่อวันที่ 8 เมษายน 2014
- เซิร์ฟเวอร์ประมวลผลความคิดเห็นใช้ OpenSSL เวอร์ชันที่ได้รับผลกระทบ เซิร์ฟเวอร์ดังกล่าวอาจใช้ไลบรารีนั้น (ผ่าน Python + Boto ในการสร้างการเชื่อมต่อ SSL ไปยังบริการ Amazon AWS และเซิร์ฟเวอร์ Google Gmail ซึ่งหมายความว่า Amazon หรือ Google อาจเข้าถึง ข้อมูลความคิดเห็นของผู้ใช้ ได้ อย่างไรก็ตาม ควรระบุไว้ด้วยว่าข้อมูลนี้โฮสต์อยู่ใน Amazon EC2 อยู่แล้ว และข้อมูลย่อยชุดหนึ่งได้รับการส่งอีเมลมาถึงเราผ่าน Gmail ทั้งนี้ มีการนำแพตช์ OpenSSL ไปใช้เมื่อวันที่ 8 เมษายน 2014
- Psiphon ไม่ได้ใช้ OpenSSL เวอร์ชันที่ได้รับผลกระทบ