Heartbleed va Psiphon
04/10/2014 - 2 daqiqalik mutolaa
Yangilangan: 26/09/2021
Heartbleed zaifligining Psiphon tizimiga ta'siri xulosasi:
- Ba'zi Psiphon serverlari OpenSSL'ning zararlangan versiyalaridan foydalanayotgan edi, bu esa Python veb-serverini Heartbleed hujumiga nisbatan zaif qoldirdi. Xavf ostida qolgan ma'lumotlar veb-server komponenti jarayoni doirasida veb-server kalit materiallaridan tashqari Psiphon tarmog'i topologiyasi ma'lumotlari va tarmoqdan foydalanish statistikasini o'z ichiga olgan edi.
- SSH/SSH+ Psiphon tunnellariga hech qanday xavf tug'ilmadi. Psiphon serverlari orqali o'tayotgan foydalanuvchi trafigi xavf ostida emas edi. VPN Psiphon tunnellari vositachi hujumlar (man-in-the-middle) xavfi ostida bo'lishi mumkin edi, chunki har bir seans uchun autentifikatsiya maxfiy kodi Python veb-serveri xotirasida joylashgan bo'ladi.
- 2014-yil 8-aprelda barcha zararlangan Psiphon serverlariga OpenSSL tuzatishlari tatbiq etildi. Bundan tashqari, barcha ta'sirlangan serverlarning SSH/SSH+ bo'lmagan imkoniyatlari bekor qilindi (barcha mijozlarga tarmoqdan tashqari yangilanishlar orqali), bu esa mijozlarning xavfsiz tunneldan tashqarida ehtimoliy xavf ostida bo'lgan veb-server kalit materiallaridan foydalanishga urinmasligini ta'minlaydi.
- Windows mijozi OpenSSL'dan foydalanmaydi va Heartbleed hujumidan ta'sirlanmagan.
- Android mijozi o'z tunneli uchun OpenSSL'dan foydalanmaydi, biroq Psiphon veb-serverlari va Amazon S3'ga bo'lgan veb-so'rovlari uchun Android Java SSL'dan foydalanadi. Android 4.1.1 versiyasi Heartbleed'dan zararlangani sababli, bizning ushbu muayyan Android versiyasidagi ilovamiz Amazon, Psiphon serverlari yoki vositachi hujumchining ilova xotirasini poylashiga nisbatan zaifligicha qolmoqda.
- E-pochta avtojavob beruvchi serverida OpenSSL'ning zararlangan versiyasi mavjud edi. Unga qarshi hujum masofaviy pochta serveriga SSL ulanishini amalga oshirishga majburlash (ushbu serverdan foydalanadigan manzildan e-pochta orqali so'rov yuborish orqali) bo'lishi mumkin edi, bu esa pochta serverining xotirasini ko'rish imkonini bergan bo'lardi. Bu e-pochta tarkibini, jumladan manzillarni ehtimoliy fosh qilishi mumkin edi. OpenSSL tuzatishlari 2014-yil 8-aprelda tatbiq etildi.
- Fikr-mulohazalarni qayta ishlash serverida OpenSSL'ning zararlangan versiyasi mavjud edi. U Amazon AWS xizmatlari va Google Gmail serveriga SSL ulanishlarini amalga oshirish uchun ushbu kutubxonadan (Python + Boto orqali) foydalangan bo'lishi mumkin. Bu shuni anglatadiki, Amazon yoki Google foydalanuvchilarning fikr-mulohazalari ma'lumotlariga kirish imkoniga ega bo'lgan bo'lishi mumkin. Biroq, shuni ta'kidlash kerakki, bu ma'lumotlar allaqachon Amazon EC2'da joylashtirilgan va ushbu ma'lumotlarning bir qismi bizga Gmail orqali yuboriladi. OpenSSL tuzatishlari 2014-yil 8-aprelda tatbiq etildi.
- Psiphon OpenSSL'ning zararlangan versiyasidan foydalanmayotgan edi.