Psiphon 3 獨立安全評估

在 Psiphon，我們致力於開放原始碼開發。我們在先前的部落格文章中討論過這一點，您可以在這裡取得我們的原始碼。

最近我們獲得了一個機會，由 iSEC Partners 對我們的 Windows 和 Android 產品進行正式的安全稽核，讓這份開放性更進一步。為了貫徹我們在運作方式上保持透明的努力，我們很高興能完整發布這份報告，您可以在這裡查閱。

總體而言，我們對安全稽核的結果非常滿意，也很高興這份報告認可我們「積極投入確保［我們］使用者的安全」。我們已經解決了 iSEC Partners 發現的一項高嚴重性（High Severity）問題，並將隨著時間推移繼續處理其他建議事項。

該報告的主要發現如下：

• Psiphon 遵循大多數業界最佳實踐，並在無法遵循的情況下採取措施來緩解攻擊風險。
• 大多數發現都是進一步改進系統的建議，特別是與軟體使用者數量的增長相關的層面。
• 未發現任何固有的架構缺陷。
• 發現了一項與伺服器自動修補相關的高嚴重性問題。我們現在已經使用 Ansible 部署了伺服器自動修補功能。
• 長期建議正在評估中，並會在適當的情況下納入我們的開發計畫。

值得特別關注的一項發現是，iSEC Partners 指出我們在僅限瀏覽器模式下所使用的瀏覽器存在潛在的安全問題。在最近發現該瀏覽器的新安全漏洞時，我們已撰文討論，並且已經採取措施來加以緩解。

我們非常高興有機會參與這次的安全審查。希望您會對這份報告感興趣，也希望它能讓您對我們的承諾感到放心：我們將一如既往地提供永遠開源且安全的一流軟體。