Psiphon Hoàn Thành Thêm Một Đợt Đánh Giá Bảo Mật Từ Bên Thứ Ba
16/2/2018 - 3 phút đọc
Đã cập nhật: 4/6/2021
Vào cuối tháng 6 năm 2017, Psiphon tiếp tục khẳng định cam kết của mình đối với việc phát triển mã nguồn mở (bạn có thể truy cập kho lưu trữ mã nguồn của chúng tôi tại đây), bằng cách ủy thác cho Cure53 thực hiện kiểm tra bảo mật các dịch vụ của chúng tôi. Đợt đánh giá bảo mật kéo dài 22 ngày với tổng cộng 9 chuyên viên kiểm thử để hoàn thành một nhiệm vụ được mô tả là có “phạm vi rộng lớn”, và các chuyên viên kiểm thử của Cure53 đã làm việc rất kỹ lưỡng. Đây là đợt kiểm tra bảo mật thứ 2 thuộc loại này của chúng tôi trong 3 năm (bạn có thể xem kết quả của đợt thứ 1 do iSec thực hiện tại đây).
Phần mô tả của báo cáo về những gì nằm trong phạm vi kiểm tra như sau:
“Nằm trong phạm vi đánh giá gồm nhiều thành phần của tổ hợp phần mềm Psiphon, bao gồm máy khách và máy chủ lõi đường hầm, mã liên kết thư viện, ứng dụng Psiphon cho iOS và cuối cùng nhưng không kém phần quan trọng là trình duyệt Psiphon cho iOS. Tiền đề và phạm vi rất rộng này lý giải cho sự cần thiết phải có sự tham gia của một lượng kiểm thử viên khá lớn với chuyên môn phù hợp trong các lĩnh vực khác nhau. Tóm lại, các bài kiểm thử bao gồm kiểm tra mã nguồn, kiểm thử xâm nhập thực tế, đánh giá giao thức và cấu hình, cùng một cuộc kiểm tra mật mã."
Chúng tôi rất hài lòng với kết quả kiểm tra bảo mật và tự hào thông báo rằng “không phát hiện thấy rủi ro bảo mật đáng chú ý nào” (trang 19). Trên tinh thần minh bạch, bạn có thể đọc báo cáo chi tiết đầy đủ dưới dạng PDF tại đây. Trong số hai lỗ hổng được phát hiện, một lỗ hổng đã được khắc phục (và được Cure53 xác nhận) và các bước xử lý lỗ hổng còn lại đang được tiến hành cho các bản phát hành sắp tới.
Các kiểm thử viên cũng ghi nhận 7 vấn đề hỗn hợp khác mà bạn có thể thấy được liệt kê trong báo cáo, bốn trong số này cũng đã được giải quyết.
“Các kiểm thử viên có chung nhận định rằng tổ hợp phần mềm đã được hưởng lợi rất nhiều từ một số cuộc kiểm tra bảo mật phần mềm trong quá khứ. Hiển nhiên điều này đã được phản ánh trong các phát hiện. Trong tổng số chín vấn đề được phát hiện, chỉ có hai vấn đề được đánh dấu là lỗ hổng bảo mật và tiếp tục được xếp vào mức độ nghiêm trọng thấp nhất là “Thông tin”.”
Các kiểm thử viên của Cure53 đã nhiều lần ghi nhận trong toàn bộ báo cáo về độ sạch sẽ và định hướng chất lượng của mã nguồn, đồng thời đi đến kết luận sau:
“Dù đã đầu tư đáng kể thời gian và nhân lực để tìm cách xâm nhập, các thành phần Psiphon nằm trong phạm vi đánh giá vẫn đứng vững trước sự xem xét kỹ lưỡng và chứng tỏ được sự mạnh mẽ, vững chắc trước các nỗ lực tấn công. Điểm mấu chốt là không có rủi ro bảo mật đáng chú ý nào bị phát hiện.”
Chúng tôi hy vọng bạn sẽ thấy báo cáo này hữu ích, và nó sẽ củng cố niềm tin của bạn vào cam kết của chúng tôi trong việc cung cấp phần mềm hàng đầu, luôn là mã nguồn mở và an toàn.