- news
- Auditoria de segurança de armazenamento persistente e integração Tor
Em março de 2023, Radically Open Security conduziu uma auditoria de segurança sobre as principais melhorias que lançamos em Tails 5.8 (dezembro de 2022) no Persistent Armazenamento, navegador inseguro e integração com Wayland.
Para melhor proteger nossos usuários, abordamos a maioria das vulnerabilidades de segurança assim que elas foram descobertas e relatadas para nós, sem esperar que a auditoria fosse completa e pública. Agora podemos compartilhar com vocês o relatório final.
Estamos orgulhosos da conclusão dos auditores:
No geral, o sistema operacional Tails deixou uma impressão sólida e abordou a maioria das preocupações de um usuário médio que precisa de anonimato.
Isto é particularmente evidente no isolamento de vários componentes pelo desenvolvedores. Por exemplo, as regras configuradas do AppArmor muitas vezes impediam um impacto significativo das vulnerabilidades encontradas. Mudar para Wayland foi um boa decisão, pois fornece mais segurança ao isolar GUI individual aplicativos.
Em suma, nenhuma vulnerabilidade grave foi encontrada através da integração em Wayland. Navegador inseguro e armazenamento persistente agora devem ser menores vulnerável a ataques, pois todas as vulnerabilidades foram corrigidas.
Os auditores encontraram 6 problemas de gravidade alta, 1 moderada e 3 de gravidade baixa. Outro problema foi corrigido antes que o impacto real fosse avaliado e marcado como de gravidade Desconhecida*.
Corrigimos todos esses problemas o mais rápido possível e antes de torná-los públicos em nosso GitLab. O último problema foi corrigido em 5.14, 3 semanas depois de ter sido relatado para nós.
Por melhores que sejam os resultados desta auditoria, eles também servem como um lembrete de que nenhum software é 100% seguro e que cada versão do Tails pode corrigir vulnerabilidades críticas de segurança. Sua melhor proteção contra todos os tipos de ataques é manter seu Tails atualizado.
Como na Tails acreditamos que a transparência é fundamental para construir confiança, todo o código do nosso software é público e os resultados desta auditoria também. Você pode encontrar abaixo um resumo de todos os problemas e suas soluções.