Heartbleed và Psiphon
4/10/2014 - 3 phút đọc
Đã cập nhật: 26/9/2021
Tóm tắt tác động của Heartbleed đối với Psiphon:
- Một số máy chủ Psiphon đã sử dụng các phiên bản OpenSSL bị ảnh hưởng, khiến máy chủ web Python dễ bị tấn công bởi Heartbleed. Dữ liệu có nguy cơ bị lộ, trong tiến trình thành phần máy chủ web, bao gồm thông tin cấu trúc liên kết mạng Psiphon và số liệu thống kê mức sử dụng mạng bên cạnh tài liệu khóa của máy chủ web.
- Các đường hầm Psiphon SSH/SSH+ không gặp nguy cơ. Lưu lượng truy cập của người dùng đi qua các máy chủ Psiphon không gặp nguy cơ. Các đường hầm Psiphon VPN có nguy cơ tiềm ẩn trước các cuộc tấn công xen giữa (man-in-the-middle) do chuỗi bí mật xác thực cho mỗi phiên nằm trong bộ nhớ máy chủ web Python.
- Vào ngày 8 tháng 4 năm 2014, các bản vá OpenSSL đã được áp dụng cho tất cả các máy chủ Psiphon bị ảnh hưởng. Ngoài ra, tất cả các máy chủ bị ảnh hưởng đã bị thu hồi các tính năng không phải SSH/SSH+ (cập nhật ngoài băng tần cho tất cả các máy khách), đảm bảo các máy khách sẽ không cố gắng sử dụng tài liệu khóa máy chủ web có khả năng đã bị xâm phạm bên ngoài đường hầm bảo mật.
- Máy khách Windows không sử dụng OpenSSL và không bị ảnh hưởng bởi cuộc tấn công Heartbleed.
- Máy khách Android không sử dụng OpenSSL cho đường hầm của mình, nhưng có sử dụng Android Java SSL cho các yêu cầu web đến máy chủ web Psiphon và Amazon S3. Do phiên bản Android 4.1.1 bị ảnh hưởng bởi Heartbleed, ứng dụng của chúng tôi trên phiên bản Android cụ thể này vẫn dễ bị Amazon, các máy chủ Psiphon hoặc kẻ tấn công xen giữa nhìn trộm vào bộ nhớ ứng dụng.
- Máy chủ tự động trả lời email đã có phiên bản OpenSSL bị ảnh hưởng. Cuộc tấn công nhằm vào máy chủ này sẽ là khiến nó thực hiện kết nối SSL tới một máy chủ thư từ xa (bằng cách gửi yêu cầu email từ một địa chỉ sử dụng máy chủ đó), sau đó kẻ tấn công có thể nhìn trộm vào bộ nhớ của máy chủ thư. Điều này có khả năng làm lộ nội dung email, bao gồm cả địa chỉ. Các bản vá OpenSSL đã được áp dụng vào ngày 8 tháng 4 năm 2014.
- Máy chủ xử lý phản hồi đã có phiên bản OpenSSL bị ảnh hưởng. Máy chủ này có thể đã sử dụng thư viện đó (thông qua Python + Boto để thực hiện các kết nối SSL tới các dịch vụ Amazon AWS và máy chủ Google Gmail. Điều này có nghĩa là Amazon hoặc Google có thể đã truy cập vào dữ liệu phản hồi của người dùng. Tuy nhiên, cần lưu ý rằng dữ liệu này vốn đã được lưu trữ trên Amazon EC2 và một tập hợp con của dữ liệu này được gửi qua email cho chúng tôi qua Gmail. Các bản vá OpenSSL đã được áp dụng vào ngày 8 tháng 4 năm 2014.
- Psiphon đã không sử dụng phiên bản OpenSSL bị ảnh hưởng.