Heartbleed اور Psiphon
4/10/2014 - 2 منٹ کا مطالعہ
اپ ڈیٹ شدہ: 26/9/2021
Psiphon پر Heartbleed کے اثرات کا خلاصہ:
- کچھ Psiphon سرورز OpenSSL کے متاثرہ ورژنز استعمال کر رہے تھے، جس سے Python ویب سرور Heartbleed حملے کے خطرے کی زد میں آ گیا تھا۔ ویب سرور کے جزوی عمل کے اندر جس ڈیٹا کو خطرہ لاحق تھا، اس میں ویب سرور کے کلیدی مواد کے علاوہ Psiphon نیٹ ورک ٹوپولوجی کی معلومات اور نیٹ ورک کے استعمال کے اعداد و شمار شامل تھے۔
- SSH/SSH+ Psiphon ٹنلز کو کوئی خطرہ نہیں تھا۔ Psiphon سرورز کے ذریعے گزرنے والی صارف ٹریفک کو کوئی خطرہ نہیں تھا۔ VPN Psiphon ٹنلز کو ممکنہ طور پر مین-ان-دی-مڈل (man-in-the-middle) حملوں کا خطرہ تھا کیونکہ فی سیشن توثیق کا خفیہ کوڈ Python ویب سرور کی میموری میں ہوتا ہے۔
- 8 اپریل 2014 کو تمام متاثرہ Psiphon سرورز پر OpenSSL پیچز لاگو کر دیے گئے تھے۔ اس کے علاوہ، تمام متاثرہ سرورز کی غیر SSH/SSH+ صلاحیتیں منسوخ کر دی گئیں (تمام کلائنٹس کے لیے آؤٹ آف بینڈ اپ ڈیٹس)، جس سے یہ یقینی بنایا گیا کہ کلائنٹس محفوظ ٹنل سے باہر ممکنہ طور پر متاثرہ ویب سرور کلیدی مواد کو استعمال کرنے کی کوشش نہیں کریں گے۔
- Windows کلائنٹ OpenSSL استعمال نہیں کرتا ہے اور Heartbleed حملے سے متاثر نہیں ہے۔
- Android کلائنٹ اپنی ٹنل کے لیے OpenSSL کا استعمال نہیں کرتا، لیکن Psiphon ویب سرورز اور Amazon S3 کو بھیجی جانے والی ویب درخواستوں کے لیے Android Java SSL کا استعمال کرتا ہے۔ چونکہ Android ورژن 4.1.1 Heartbleed سے متاثر ہے، اس لیے Android کے اس مخصوص ورژن پر ہماری ایپ کے لیے Amazon، Psiphon سرورز، یا مین-ان-دی-مڈل کی طرف سے ایپ میموری میں جھانکنے کا خطرہ برقرار ہے۔
- ای میل آٹو ریسپانڈر سرور میں OpenSSL کا متاثرہ ورژن موجود تھا۔ اس کے خلاف حملہ اسے کسی ریموٹ میل سرور کے ساتھ SSL کنکشن قائم کرنے پر مجبور کرنا ہو سکتا تھا (کسی ایسے ایڈریس سے ای میل کی درخواست بھیج کر جو اس سرور کو استعمال کرتا ہو)، جو پھر میل سرور کی میموری میں جھانک سکتا تھا۔ یہ ممکنہ طور پر ای میل کے مواد بشمول ایڈریسز کو افشا کر سکتا تھا۔ 8 اپریل 2014 کو OpenSSL پیچز لاگو کر دیے گئے تھے۔
- فیڈ بیک پروسیسنگ سرور میں OpenSSL کا متاثرہ ورژن تھا۔ ہو سکتا ہے کہ اس نے Amazon AWS سروسز اور Google Gmail سرور کے ساتھ SSL کنکشن بنانے کے لیے یہ لائبریری (Python + Boto کے ذریعے) استعمال کی ہو۔ اس کا مطلب یہ ہے کہ Amazon یا Google صارف کے فیڈ بیک کا ڈیٹا حاصل کر سکتے تھے۔ تاہم، یہ بات ذہن نشین رہے کہ یہ ڈیٹا پہلے سے ہی Amazon EC2 میں ہوسٹ کیا گیا ہے اور اس ڈیٹا کا ایک ذیلی حصہ ہمیں Gmail کے ذریعے ای میل کیا جاتا ہے۔ 8 اپریل 2014 کو OpenSSL پیچز لاگو کر دیے گئے تھے۔
- Psiphon OpenSSL کا متاثرہ ورژن استعمال نہیں کر رہا تھا۔