Heartbleed 與 Psiphon
2014/10/4 - 1 分鐘閱讀
更新： 2021/9/26
Heartbleed 對 Psiphon 的影響摘要：
- 部分 Psiphon 伺服器使用了受影響的 OpenSSL 版本，導致 Python 網頁伺服器容易受到 Heartbleed 攻擊。網頁伺服器元件程序中面臨風險的資料除了網頁伺服器金鑰資料外，還包括 Psiphon 網路拓撲資訊和網路使用情況統計資料。
- SSH/SSH+ Psiphon 通道並無風險。流經 Psiphon 伺服器的使用者流量並無風險。VPN Psiphon 通道可能面臨中間人攻擊的潛在風險，因為每個工作階段的驗證密鑰皆儲存在 Python 網頁伺服器的記憶體中。
- 2014 年 4 月 8 日，所有受影響的 Psiphon 伺服器均已套用 OpenSSL 修補程式。此外，所有受影響伺服器的非 SSH/SSH+ 功能皆已被撤銷（對所有用戶端進行頻外更新），確保用戶端不會嘗試在安全通道之外使用可能已遭洩露的網頁伺服器金鑰資料。
- Windows 用戶端未使用 OpenSSL，不受 Heartbleed 攻擊影響。
- Android 用戶端的通道未使用 OpenSSL，但在對 Psiphon 網頁伺服器和 Amazon S3 發送網頁請求時使用了 Android Java SSL。由於 Android 4.1.1 版受到 Heartbleed 影響，我們在此特定 Android 版本上的應用程式仍可能面臨 Amazon、Psiphon 伺服器或中間人窺探應用程式記憶體的風險。
- 電子郵件自動回覆伺服器使用了受影響的 OpenSSL 版本。針對它的攻擊手法是促使它與遠端郵件伺服器建立 SSL 連線（透過使用該伺服器的地址發送電子郵件請求），進而得以窺探該郵件伺服器的記憶體。這可能會洩露包含電子郵件地址在內的郵件內容。OpenSSL 修補程式已於 2014 年 4 月 8 日套用。
- Psiphon 並未使用受影響的 OpenSSL 版本。