Heartbleed ve Psiphon
04.10.2014 - 2 dk okuma
Güncellendi: 26.09.2021
Heartbleed'in Psiphon üzerindeki etkisinin özeti:
- Bazı Psiphon sunucuları OpenSSL'in etkilenen sürümlerini kullanıyordu ve bu durum Python web sunucusunu Heartbleed saldırısına karşı savunmasız bırakıyordu. Web sunucusu bileşeni işlemi dahilinde risk altında olan veriler, web sunucusu anahtar materyalinin yanı sıra Psiphon ağ topolojisi bilgilerini ve ağ kullanım istatistiklerini içeriyordu.
- SSH/SSH+ Psiphon tünelleri risk altında değildi. Psiphon sunucuları üzerinden akan kullanıcı trafiği risk altında değildi. VPN Psiphon tünelleri, oturum başına kimlik doğrulama parolası Python web sunucusu belleğinde yer aldığından ortadaki adam (man-in-the-middle) saldırıları açısından potansiyel olarak risk altındaydı.
- 8 Nisan 2014 tarihinde, etkilenen tüm Psiphon sunucularına OpenSSL yamaları uygulandı. Ayrıca, etkilenen tüm sunucuların SSH/SSH+ harici yetenekleri iptal edildi (tüm istemcilere bant dışı güncellemeler yapıldı) ve istemcilerin güvenli tünel dışında güvenliği ihlal edilmiş olabilecek web sunucusu anahtar materyalini kullanmaya çalışmaması sağlandı.
- Windows istemcisi OpenSSL kullanmamaktadır ve Heartbleed saldırısından etkilenmemiştir.
- Android istemcisi tüneli için OpenSSL kullanmaz, ancak Psiphon web sunucularına ve Amazon S3'e yönelik web istekleri için Android Java SSL kullanır. Android 4.1.1 sürümü Heartbleed'den etkilendiğinden, Android'in bu özel sürümündeki uygulamamız Amazon'un, Psiphon sunucularının veya ortadaki adamın uygulama belleğine göz atmasına karşı savunmasız kalmaya devam etmektedir.
- E-posta otomatik yanıtlayıcı sunucusu OpenSSL'in etkilenen sürümüne sahipti. Buna karşı yapılabilecek saldırı, sunucunun uzak bir posta sunucusuna SSL bağlantısı kurmasını sağlamak (bu sunucuyu kullanan bir adresten e-posta isteği göndererek) ve ardından posta sunucusunun belleğine göz atmak olabilirdi. Bu durum, adresler dahil olmak üzere e-posta içeriğini potansiyel olarak açığa çıkarabilirdi. OpenSSL yamaları 8 Nisan 2014 tarihinde uygulandı.
- Geri bildirim işleme sunucusu OpenSSL'in etkilenen sürümüne sahipti. Amazon AWS hizmetlerine ve Google Gmail sunucusuna SSL bağlantıları kurmak için bu kitaplığı (Python + Boto aracılığıyla) kullanmış olabilir. Bu da Amazon veya Google'ın kullanıcı geri bildirim verilerine erişmiş olabileceği anlamına gelir. Ancak bu verilerin zaten Amazon EC2 üzerinde barındırıldığını ve bu verilerin bir alt kümesinin bize Gmail aracılığıyla e-posta ile gönderildiğini belirtmek gerekir. OpenSSL yamaları 8 Nisan 2014 tarihinde uygulandı.
- Psiphon OpenSSL'in etkilenen bir sürümünü kullanmıyordu.