การประเมินความปลอดภัยโดยอิสระของ Psiphon 3

ที่ Psiphon เรามุ่งมั่นในการพัฒนาซอฟต์แวร์โอเพนซอร์ส เราเคยพูดถึงเรื่องนี้ไว้ในโพสต์บล็อกก่อนหน้านี้ และคุณสามารถเข้าถึงซอร์สโค้ดของเราได้ที่นี่

เมื่อเร็วๆ นี้ เราได้รับโอกาสในการยกระดับความเปิดเผยนี้ไปอีกขั้นด้วยการตรวจสอบความปลอดภัยอย่างเป็นทางการสำหรับผลิตภัณฑ์ Windows และ Android ของเรา ซึ่งดำเนินการโดย iSEC Partners และเพื่อเป็นส่วนหนึ่งของความพยายามในการดำเนินงานอย่างโปร่งใส เรายินดีที่จะเผยแพร่รายงานฉบับสมบูรณ์นี้ ซึ่งคุณสามารถเข้าถึงได้ที่นี่

โดยรวมแล้ว เรามีความพึงพอใจเป็นอย่างมากกับผลการตรวจสอบความปลอดภัย และได้รับการยอมรับว่าเรา "ทุ่มเทอย่างจริงจังในการรับรองความปลอดภัยของผู้ใช้ [ของเรา]" เราได้จัดการกับประเด็นที่มีความรุนแรงระดับสูง (High Severity) หนึ่งรายการที่ค้นพบโดย iSEC Partners เรียบร้อยแล้ว และจะยังคงทยอยดำเนินการตามคำแนะนำอื่นๆ ต่อไป

ข้อค้นพบหลักของรายงานมีดังนี้:

• Psiphon ปฏิบัติตามแนวทางปฏิบัติที่ดีที่สุดในอุตสาหกรรมส่วนใหญ่ และใช้มาตรการเพื่อบรรเทาความเสี่ยงจากการโจมตีในจุดที่ไม่สามารถทำได้
• ข้อค้นพบส่วนใหญ่เป็นข้อเสนอแนะในการปรับปรุงระบบเพิ่มเติม โดยเฉพาะอย่างยิ่งที่เกี่ยวข้องกับการเติบโตของจำนวนผู้ใช้ซอฟต์แวร์
• ไม่พบข้อบกพร่องทางสถาปัตยกรรมที่เป็นปัญหาในตัวระบบ
• พบปัญหาความรุนแรงระดับสูงหนึ่งรายการ ซึ่งเกี่ยวข้องกับการแพตช์เซิร์ฟเวอร์โดยอัตโนมัติ ขณะนี้เราได้ปรับใช้การแพตช์เซิร์ฟเวอร์โดยอัตโนมัติโดยใช้ Ansible แล้ว
• คำแนะนำในระยะยาวกำลังอยู่ระหว่างการพิจารณา และจะรวมเข้ากับแผนการพัฒนาของเราตามความเหมาะสม

ข้อค้นพบหนึ่งที่น่าสนใจเป็นพิเศษคือการที่ iSEC Partners ระบุว่ามีความเป็นไปได้ที่จะเกิดปัญหาด้านความปลอดภัยที่เกี่ยวข้องกับเบราว์เซอร์ที่เราใช้สำหรับโหมดเบราว์เซอร์เท่านั้น เราได้เขียนเกี่ยวกับเรื่องนี้ไปเมื่อเร็วๆ นี้เมื่อมีการค้นพบข้อบกพร่องด้านความปลอดภัยใหม่ในเบราว์เซอร์ และได้ดำเนินมาตรการเพื่อบรรเทาความเสี่ยงดังกล่าวแล้ว

เรายินดีเป็นอย่างยิ่งที่ได้รับโอกาสในการเข้าร่วมการตรวจสอบความปลอดภัยนี้ เราหวังว่าคุณจะพบว่ารายงานนี้น่าสนใจ และช่วยสร้างความมั่นใจในความมุ่งมั่นของเราที่จะนำเสนอซอฟต์แวร์ชั้นยอดที่จะเป็นโอเพนซอร์สและปลอดภัยตลอดไป