Psiphon 3 独立安全评估

在 Psiphon，我们致力于开源开发。我们曾在之前的博文中谈到过这一点，您可以在此获取我们的源代码。

最近，我们有机会更进一步提升这种开放性，由 iSEC Partners 对我们的 Windows 和 Android 产品进行正式的安全审计。作为我们在运营方式上力求透明的一部分，我们很高兴能够全文发布这份报告，您可以在此查阅。

总体而言，我们对安全审计的结果非常满意，并且很高兴能获得认可，即我们“积极致力于确保 [我们] 用户的安全性”。我们已经解决了 iSEC Partners 发现的那项高危问题，并将随着时间的推移继续落实其他建议。

该报告的主要发现如下：

• Psiphon 遵循了大多数行业最佳实践，并在无法遵循之处采取了缓解攻击的措施。
• 大多数发现都是为了进一步改进系统的建议，特别是针对软件使用人数的增长方面。
• 未发现固有的架构缺陷。
• 发现了一项与自动化服务器补丁相关的高危问题。我们现已通过 Ansible 部署了自动化服务器补丁。
• 我们正在考虑长期的建议，并在合适的情况下将其纳入我们的开发计划中。

一个特别引人关注的发现是，iSEC Partners 意识到我们用于仅浏览器模式的浏览器可能存在安全隐患。最近在发现该浏览器存在新安全漏洞时，我们就此撰写了文章，并已采取措施加以缓解。

我们非常高兴能有机会参与此次安全审查。我们希望您会觉得这份报告很有价值，并且它能让您对我们的承诺感到放心：我们始终致力于提供始终开源且安全的一流软件。