Psiphon завершує черговий сторонній аудит безпеки
16.02.2018 - 2 хв читання
Оновлено: 04.06.2021
Наприкінці червня 2017 року Psiphon укотре підтвердив свою відданість розробці відкритого коду (ви можете переглянути наш репозиторій коду тут), замовивши в Cure53 проведення аудиту безпеки наших сервісів. Перевірка безпеки тривала 22 дні, і загалом 9 тестувальників виконували оцінювання з «величезним обсягом», до якого фахівці Cure53 підійшли дуже ретельно. Це наш 2-й аудит безпеки такого типу за 3 роки (ви можете ознайомитися з результатами 1-го аудиту, проведеного iSec, тут).
В описі звіту щодо того, що увійшло в обсяг перевірки, зазначається:
«В обсяг перевірки увійшли численні компоненти програмного комплексу Psiphon, зокрема клієнт і сервер ядра тунелювання, бібліотечний прошарок, застосунок Psiphon для iOS і, що не менш важливо, браузер Psiphon для iOS. Ці вельми широкі вихідні умови та масштаби пояснюють необхідність залучення досить великої кількості тестувальників із відповідним досвідом у різних сферах. Загалом тести включали аудит коду, безпосереднє тестування на проникнення, перевірку протоколів і конфігурацій, а також криптографічний аудит».
Ми дуже задоволені результатами аудиту безпеки та з гордістю повідомляємо, що «жодних істотних ризиків безпеки не було виявлено» (с. 19). Дотримуючись принципів прозорості, ви можете переглянути повний детальний звіт у форматі PDF тут. З двох виявлених уразливостей одна вже була виправлена (що підтверджено Cure53), а щодо іншої вжито заходів для її усунення в наступних випусках.
Тестувальники також відзначили 7 інших незначних зауважень, наведених у звіті; чотири з них також уже були усунені.
«Тестувальники зійшлися на думці, що програмному комплексу значно пішла на користь низка попередніх аудитів безпеки програмного забезпечення. Зайве казати, що це відобразилося на результатах. Із загалом дев’яти виявлених проблем лише дві були позначені як уразливості безпеки, ба більше — їм було присвоєно найнижчий рівень серйозності «Інформаційний».»
Тестувальники Cure53 кілька разів у звіті відзначили високу чистоту та якість коду й дійшли такого висновку:
«Попри значні витрати часу та людських ресурсів на спроби компрометації, охоплені аудитом компоненти Psiphon витримали ретельну перевірку та показали себе надійними й стійкими перед обличчям зловмисних дій. Головний підсумок полягає в тому, що жодних істотних ризиків безпеки не було виявлено».
Сподіваємося, що цей звіт буде для вас цікавим і переконає вас у нашій відданості розробці першокласного програмного забезпечення, яке завжди залишатиметься відкритим і безпечним.