Heartbleed і Psiphon
04.10.2014 - 2 хв читання
Оновлено: 26.09.2021
Підсумок впливу Heartbleed на Psiphon:
- Деякі сервери Psiphon використовували вразливі версії OpenSSL, що робило вебсервер Python вразливим до атаки Heartbleed. До даних під загрозою в процесі компонента вебсервера належали інформація про топологію мережі Psiphon та статистика використання мережі на додачу до ключових матеріалів вебсервера.
- Тунелі SSH/SSH+ Psiphon не були під загрозою. Користувацький трафік, що проходив через сервери Psiphon, не був під загрозою. Тунелі VPN Psiphon потенційно перебували під загрозою атак посередника (man-in-the-middle), оскільки секрет автентифікації сеансу зберігається в пам'яті вебсервера Python.
- 8 квітня 2014 року виправлення OpenSSL було застосовано до всіх уражених серверів Psiphon. Крім того, на всіх уражених серверах було відкликано можливості, відмінні від SSH/SSH+ (позасмугові оновлення для всіх клієнтів), що гарантує, що клієнти не намагатимуться використовувати потенційно скомпрометовані ключові матеріали вебсервера поза межами безпечного тунелю.
- Клієнт для Windows не використовує OpenSSL і не зазнав впливу атаки Heartbleed.
- Клієнт для Android не використовує OpenSSL для свого тунелю, але використовує Android Java SSL для своїх вебзапитів до вебсерверів Psiphon та Amazon S3. Оскільки версія Android 4.1.1 уражена Heartbleed, наш додаток на цій конкретній версії Android залишається вразливим до перегляду пам'яті додатка сервісами Amazon, серверами Psiphon або посередником (man-in-the-middle).
- Сервер автовідповідача електронної пошти мав уражену версію OpenSSL. Атака на нього полягала б у тому, щоб змусити його встановити з'єднання SSL з віддаленим поштовим сервером (шляхом надсилання запиту електронною поштою з адреси, яка використовує цей сервер), який міг би потім зазирнути в пам'ять поштового сервера. Це потенційно могло розкрити вміст електронної пошти, включно з адресами. Виправлення OpenSSL було застосовано 8 квітня 2014 року.
- Сервер обробки відгуків мав уражену версію OpenSSL. Можливо, він використовував цю бібліотеку (через Python + Boto для встановлення з'єднань SSL зі службами Amazon AWS і сервером Google Gmail. Це означає, що Amazon або Google могли отримати доступ до даних відгуків користувачів. Проте слід зазначити, що ці дані вже розміщені в Amazon EC2, а частина цих даних надсилається нам електронною поштою через Gmail. Виправлення OpenSSL було застосовано 8 квітня 2014 року.
- Psiphon не використовував уражену версію OpenSSL.