Đánh giá bảo mật độc lập của Psiphon 3

Tại Psiphon, chúng tôi luôn cam kết phát triển theo hướng mã nguồn mở. Chúng tôi đã chia sẻ về điều này trong một bài đăng blog trước đó, và bạn có thể truy cập mã nguồn của chúng tôi tại đây.

Gần đây, chúng tôi đã có cơ hội tiến xa hơn một bước với sự cởi mở này thông qua một cuộc kiểm tra bảo mật chính thức đối với các sản phẩm Windows và Android của mình, được thực hiện bởi iSEC Partners. Nằm trong nỗ lực minh bạch hóa cách thức vận hành của mình, chúng tôi rất vui mừng được công bố toàn bộ báo cáo này, bạn có thể truy cập tại đây.

Nhìn chung, chúng tôi rất hài lòng với kết quả của cuộc kiểm tra bảo mật này, cũng như việc được ghi nhận là "chủ động đầu tư vào việc đảm bảo an ninh cho người dùng [của mình]". Chúng tôi đã khắc phục một mục có Mức độ nghiêm trọng cao do iSEC Partners phát hiện, và sẽ tiếp tục giải quyết các khuyến nghị khác theo thời gian.

Các phát hiện chính của báo cáo bao gồm:

• Psiphon tuân thủ hầu hết các phương pháp thực hành tốt nhất trong ngành và áp dụng các biện pháp giảm thiểu rủi ro tấn công ở những nơi không thể tuân thủ.
• Hầu hết các phát hiện là những đề xuất nhằm cải thiện hệ thống hơn nữa, đặc biệt là liên quan đến sự gia tăng số lượng người sử dụng phần mềm.
• Không phát hiện bất kỳ lỗi kiến trúc cố hữu nào.
• Đã tìm thấy một vấn đề có Mức độ nghiêm trọng cao liên quan đến việc vá lỗi máy chủ tự động. Hiện chúng tôi đã triển khai quy trình vá lỗi máy chủ tự động bằng Ansible.
• Các khuyến nghị dài hạn hơn đang được xem xét, và sẽ được tích hợp vào kế hoạch phát triển của chúng tôi khi thích hợp.

Một phát hiện đáng chú ý là sự ghi nhận của iSEC Partners về nguy cơ tiềm ẩn liên quan đến các vấn đề bảo mật đối với trình duyệt mà chúng tôi sử dụng cho chế độ chỉ dùng trình duyệt. Gần đây chúng tôi đã viết về điều đó khi một lỗ hổng bảo mật mới trong trình duyệt được phát hiện, và chúng tôi cũng đã thực hiện các bước để giảm thiểu rủi ro từ lỗ hổng này.

Chúng tôi rất vui mừng khi có cơ hội tham gia vào đợt đánh giá bảo mật này. Chúng tôi hy vọng bạn sẽ thấy báo cáo này hữu ích, và nó sẽ củng cố niềm tin của bạn vào cam kết của chúng tôi trong việc cung cấp phần mềm hàng đầu luôn an toàn và là mã nguồn mở.