Psiphon Bir Başka Üçüncü Taraf Güvenlik İncelemesini Tamamladı
16.02.2018 - 2 dk okuma
Güncellendi: 04.06.2021
2017 yılının Haziran ayı sonlarında Psiphon, Cure53'ü hizmetlerimizin güvenlik denetimini gerçekleştirmekle görevlendirerek açık kaynaklı geliştirmeye olan bağlılığını kanıtlamayı sürdürdü (kod depomuza buradan erişebilirsiniz). Güvenlik incelemesi 22 gün sürdü ve "geniş kapsamlı" bir inceleme olarak tanımlanan süreci tamamlamak için toplam 9 test uzmanı görev aldı ve Cure53 test uzmanları son derece titiz davrandı. Bu, 3 yıl içinde bu türden gerçekleştirdiğimiz 2. güvenlik denetimimizdir (iSec tarafından gerçekleştirilen 1. denetimin sonuçlarını burada görebilirsiniz).
Raporun kapsama nelerin dâhil edildiğine dair açıklaması şu şekildedir:
“Kapsam dahilinde, tünel çekirdeği istemcisi ve sunucusu, arayüz kitaplığı (library glue), Psiphon iOS uygulaması ve son olarak da Psiphon iOS tarayıcısı da dahil olmak üzere Psiphon yazılım bileşiminin birden fazla bileşeni yer alıyordu. Bu oldukça geniş kapsam ve öncül, farklı alanlarda uygun şekilde eşleşen uzmanlıklara sahip çok sayıda test uzmanının dahil edilmesi gerekliliğini açıklamaktadır. Özetle testler, kod denetimlerini, fiili sızma testlerini, protokol ve yapılandırma incelemelerini ve bir şifreleme denetimini içeriyordu."
Güvenlik denetiminin sonuçlarından son derece memnunuz ve “kayda değer hiçbir güvenlik riskinin ortaya çıkarılamadığını” (sf.19) paylaşmaktan gurur duyuyoruz. Şeffaflık ilkemiz gereği, ayrıntılı raporun tamamını pdf formatında buradan okuyabilirsiniz. Bulunan iki güvenlik açığından biri giderildi bile (ve Cure53 tarafından onaylandı) ve diğerini gelecek sürümlerde ele almak için adımlar atıldı.
Test uzmanları raporda listelenmiş olarak bulabileceğiniz diğer 7 çeşitli sorunu da not etti; bunlardan dördü de şimdiden çözüme kavuşturuldu.
“Test uzmanları, yazılım bileşiminin geçmişte gerçekleştirilen çok sayıda yazılım güvenliği denetiminden büyük ölçüde fayda sağladığı konusunda hemfikirdi. Söylemeye gerek yok ki bu durum bulgulara da yansımıştır. Keşfedilen toplam dokuz sorun arasında yalnızca iki tanesi güvenlik açığı olarak işaretlendi ve bunlara da en düşük seviye olan “Bilgilendirme” önem derecesi verildi.”
Cure53 test uzmanları, rapor boyunca kodun ne kadar temiz ve kalite odaklı olduğunu birkaç kez belirtti ve şu sonuca vardı:
“Güvenliği ihlal etme girişimlerine önemli ölçüde zaman ve personel kaynağı ayrılmasına rağmen, kapsamdaki Psiphon bileşenleri incelemelere karşı direnç gösterdi ve saldırgan çabalara karşı güçlü ve sağlam bir duruş sergiledi. Özetle, kayda değer hiçbir güvenlik riski ortaya çıkarılamadı.”
Bu raporu ilginç bulacağınızı ve her zaman açık kaynaklı ve güvenli olacak birinci sınıf yazılımlar sunma konusundaki kararlılığımıza güven duymanızı sağlayacağını umuyoruz.