Незалежна оцінка безпеки Psiphon 3

У Psiphon ми віддані розробці відкритого вихідного коду. Ми розповідали про це в попередньому дописі блогу, і ви можете отримати доступ до нашого вихідного коду тут.

Нещодавно нам випала нагода зробити ще один крок уперед на шляху до цієї відкритості завдяки офіційному аудиту безпеки наших продуктів для Windows та Android, який провела компанія iSEC Partners. У межах наших зусиль щодо забезпечення прозорості нашої діяльності ми раді опублікувати цей звіт у повному обсязі, з яким ви можете ознайомитися тут.

Загалом ми дуже задоволені результатами аудиту безпеки та тим, що було визнано нашу «активну зацікавленість у забезпеченні безпеки [наших] користувачів». Ми вже усунули одну проблему високого рівня серйозності (High Severity), виявлену iSEC Partners, і продовжуватимемо поступово впроваджувати інші рекомендації.

Основними висновками звіту є:

• Psiphon дотримується більшості найкращих галузевих практик і вживає заходів для пом'якшення наслідків атак там, де це неможливо.
• Більшість висновків були пропозиціями щодо подальшого вдосконалення системи, зокрема з огляду на зростання кількості людей, які використовують це програмне забезпечення.
• Жодних притаманних системі архітектурних недоліків виявлено не було.
• Було виявлено одну проблему високого рівня серйозності (High Severity), пов'язану з автоматичним оновленням серверів. Наразі ми вже розгорнули автоматичне виправлення серверів за допомогою Ansible.
• Довгострокові рекомендації наразі розглядаються та, де це доцільно, інтегруються в наші плани розробки.

Окремий інтерес становить визнання iSEC Partners потенційної наявності проблем із безпекою, пов'язаних із браузером, який ми використовуємо для режиму роботи «тільки браузер». Ми нещодавно писали про це, коли в браузері було виявлено нову вразливість, і вже вжили заходів для її усунення.

Ми були дуже раді можливості взяти участь у цій перевірці безпеки. Сподіваємося, цей звіт буде для вас цікавим і переконає вас у нашій відданості створенню першокласного програмного забезпечення, яке завжди буде відкритим і безпечним.