Heartbleed we Psiphon
04.10.2014 - 2 min okamak
Täzelenen: 26.09.2021
Heartbleed-iň Psiphon-a ýetiren täsiriniň jemlemesi:
- Käbir Psiphon serwerleri OpenSSL-iň täsirlenen wersiýalaryny ulanýardy, bu bolsa Python web serwerini Heartbleed hüjümine garşy gowşak goýdy. Web serwer komponent prosesiniň çäginde howp astynda bolan maglumatlara web serweriniň açar maglumatlaryndan başga-da Psiphon tor topologiýasy maglumatlary we tor ulanylyş statistikasy degişlidir.
- SSH/SSH+ Psiphon tunnelleri howp astynda däldi. Psiphon serwerlerinden geçýän ulanyjy trafigi howp astynda däldi. Sessirleýin tassyklama gizlinligi Python web serweriniň ýadynda bolandygy sebäpli, VPN Psiphon tunnelleri aralyk hüjümler (man-in-the-middle) üçin howp astynda bolup bilerdi.
- 2014-nji ýylyň 8-nji aprelinde ähli täsirlenen Psiphon serwerlerine OpenSSL düzedişleri ornaşdyryldy. Mundan başga-da, täsirlenen serwerleriň ählisiniň SSH/SSH+ däl ukyplary ýatyryldy (ähli müşderilere zolakdan daşary täzelenmeler berildi), bu bolsa müşderileriň ygtybarly tunnelden daşarda howp astyna düşen bolmagy mümkin web serwer açar maglumatlaryny ulanmaga synanyşmazlygyny üpjün etdi.
- Windows müşderisi OpenSSL ulanmaýar we Heartbleed hüjüminden täsirlenmedi.
- Android müşderisi öz tunneli üçin OpenSSL ulanmaýar, ýöne Psiphon web serwerlerine we Amazon S3-e edýän web haýyşlary üçin Android Java SSL ulanýar. Belli bolşy ýaly, Android 4.1.1 wersiýasy Heartbleed-den täsirlendi, şonuň üçin hem biziň bu anyk Android wersiýasyndaky programmamyz Amazon-yň, Psiphon serwerleriniň ýa-da programma ýadyna ogrynça seredýän aralyk hüjümçiniň (man-in-the-middle) garşysynda gowşak bolmagynda galýar.
- E-poçtany awtomatik jogaplaýjy serwerde OpenSSL-iň täsirlenen wersiýasy bardy. Oňa garşy guraljak hüjüm, ony uzakdaky poçta serwerine SSL birikmesini gurmaga mejbur etmek bolup bilerdi (şol serweri ulanýan salgydan e-poçta haýyşyny ibermek arkaly), bu bolsa soňra poçta serweriniň ýadyna ogrynça seretmäge mümkinçilik bererdi. Bu, salgylar bilen birlikde e-poçta mazmunynyň açylmagyna getirip bilerdi. OpenSSL düzedişleri 2014-nji ýylyň 8-nji aprelinde ornaşdyryldy.
- Seslenme gaýtadan işleýän serwerde OpenSSL-iň täsirlenen wersiýasy bardy. Ol (Python + Boto arkaly) Amazon AWS hyzmatlaryna we Google Gmail serwerine SSL birikmelerini gurmak üçin şol kitaphanany ulanan bolup biler. Bu bolsa Amazon-yň ýa-da Google-yň ulanyjy seslenme maglumatlaryna el ýetiren bolup biljekdigini aňladýar. Emma bu maglumatlaryň eýýäm Amazon EC2-de ýerleşdirilendigini we bu maglumatlaryň bir böleginiň bize Gmail arkaly iberilýändigini bellemek gerek. OpenSSL düzedişleri 2014-nji ýylyň 8-nji aprelinde ornaşdyryldy.
- Psiphon OpenSSL-iň täsirlenen wersiýasyny ulanmaýardy.