心脏出血与 Psiphon
2014/10/4 - 1 分钟阅读
更新： 2021/9/26
Heartbleed 对 Psiphon 的影响总结：
- 部分 Psiphon 服务器使用了受影响的 OpenSSL 版本，导致 Python 网页服务器容易受到 Heartbleed 攻击。在网页服务器组件进程内面临风险的数据，除了网页服务器密钥材料外，还包括 Psiphon 网络拓扑信息和网络使用统计数据。
- SSH/SSH+ Psiphon 隧道不受风险影响。流经 Psiphon 服务器的用户流量不受风险影响。VPN Psiphon 隧道可能面临中间人攻击的风险，因为每个会话的身份验证机密均存储在 Python 网页服务器内存中。
- 2014 年 4 月 8 日，所有受影响的 Psiphon 服务器均已应用 OpenSSL 补丁。此外，所有受影响服务器的非 SSH/SSH+ 功能均已被撤销（通过对所有客户端进行带外更新），以确保客户端不会尝试在安全隧道之外使用可能已泄露的网页服务器密钥材料。
- Windows 客户端不使用 OpenSSL，且不受 Heartbleed 攻击的影响。
- Android 客户端未在其隧道中使用 OpenSSL，但在向 Psiphon 网页服务器和 Amazon S3 发送网页请求时使用了 Android Java SSL。由于 Android 4.1.1 版本受 Heartbleed 影响，我们在此特定 Android 版本上的应用程序仍容易受到 Amazon、Psiphon 服务器或中间人窥视应用程序内存的攻击。
- 电子邮件自动回复服务器使用了受影响的 OpenSSL 版本。针对它的攻击方式是诱使其与远程邮件服务器建立 SSL 连接（通过从使用该服务器的地址发送电子邮件请求），从而窥探该邮件服务器的内存。这可能会暴露电子邮件内容（包括地址）。OpenSSL 补丁已于 2014 年 4 月 8 日应用。
- Psiphon 未使用受影响的 OpenSSL 版本。