In December, Psiphon blogged about a previous blocking event in Brazil, available here.

Psiphon use surged again in Brazil in response to another nationwide suspension of WhatsApp messaging service. On May 2nd, Brazilian state judge Marcel Maia Montalvão issued an order to block WhatsApp for 72 hours. The judge is seeking user data from WhatsApp as part of a criminal investigation. The five main mobile operators were ordered to block the messaging service, beginning at Monday at 2 p.m. local time.

In response to the recent suspension of WhatsApp services, company CEO Jan Koum posted a message to Facebook stating, “Yet again millions of innocent Brazilians are being punished because a court wants WhatsApp to turn over information we repeatedly said we don’t have. Not only do we encrypt messages end-to-end on WhatsApp to keep people’s information safe and secure, we also don't keep your chat history on our servers. When you send an end-to-end encrypted message, no one else can read it – not even us.”

The suspension was overturned by another judge on Tuesday following an appeal from WhatsApp’s lawyers, allowing WhatsApp to resume services in Brazil.

In March, Judge Montalvão ordered the arrest of Facebook executive Diego Dzodan on charges of obstructing justice after WhatsApp failed to deliver messages subpoenaed in the criminal investigation. A day later, an appeals judge overturned that order and Dzodan was released. Although WhatsApp is owned by Facebook Inc, the two companies operate separately.

During a press conference that followed, Dzodan stated that WhatsApp is unable to turn over the data because it doesn’t store users’ messages after they’ve been delivered. In addition, the messaging service uses end-to-end encryption and messages cannot be intercepted.

Using Psiphon, Brazil’s WhatsApp users were able to retain or restore access to the application. The Psiphon user base in Brazil tripled within the first 24h of the ban. Brazil’s Globo news network recommended Psiphon to circumvent the blocking.

Psiphon in Brazil: bytes per hour, 29 April – 4 May 2016

This case demonstrates that in response to censorship, blocking, and other restrictions, internet users will turn to known tools that connect them to content and to each other.

You can stay in touch with Psiphon via Twitter and Facebook for ongoing updates.

On January 5th, Moroccans discovered [Voice over IP (VoIP) services were blocked](https://goo.gl/oO50vM) over 3G and 4G mobile networks. Popular free calling services over Viber, Skype, Facetime, and Whatsapp no longer worked. Upset Internet subscribers voiced their displeasure immediately through online campaigns. Days later, the regulating body for telecommunication in Morocco justified the blocking with claims that [the services violate Moroccan regulations](https://goo.gl/fDYihf), stating that telecom companies have the right to shut down any service they want, for financial or commercial reasons.

Dissatisfied Moroccans increased pressure, [protesting with a boycott](https://goo.gl/UNDiuM) against three major telecom companies responsible for the blocking. On other fronts, people shared circumvention tools which made the blocking nearly obsolete. Psiphon use tripled in Morocco during the first week of the block and user numbers doubled every week afterwards. Psiphon’s free, open source circumvention tool was advertised in Arabic and French on social media channels in Morocco by [ASL19](https://goo.gl/tohbZX), a human rights organization that localizes circumvention tools into Arabic and other languages. Word of Psiphon’s availability and resilience quickly spread throughout the country. After a month, the telecoms rescinded their decision due to ongoing pressure from unhappy subscribers and the ineffectiveness of the blocking due to circumvention tools.

Morocco’s telecom providers reinstated the ban on 26 February, prompting rapid response from Moroccan netizens including large-scale social media mobilization led by th3professional.com blogger Amine Raghib and an online petition urging Head of Government Abdelilah Benkirane to lift the ban on VoIP services. At the time of writing, VoIP services have been reinstated on wi-fi but remain blocked on 3G and 4G connections. The petition has received over 10,000 signatures.

A joint statement issued by the Moroccan telecom providers claimed the decision was made because of the “negative impact” free calls have on the telecommunications industry.

VoIP blocking is not particular to Morocco. Many MENA region countries block the services, often justifying censorship measures on national security grounds. Governments repeatedly argue that they cannot monitor and surveil these communication tools. VoIP services are blocked in Saudi Arabia, United Arab Emirates, Oman, Kuwait, Qatar, and Egypt. Like Morocco, blocking measures in these countries is often primarily for economic reasons. In many countries, telephone costs are prohibitively high and VoIP services offer some financial relief. Banning VoIP services creates a need amongst citizens to bypass blocking. The Moroccan VoIP ban is only one of the most recent examples of circumvention tool users created by the large-scale censorship of a relied-upon communications service.

[Edited 2016-03-10]

On February 18th, Ugandans went to the polls for national elections to contest the fifth consecutive term and 30-year reign of President Yoweri Museveni in what some observers predicted would be his most competitive election yet.

In the lead-up to the election, international media outlets raised concern about a consolidation of power by the ruling party and growing climate of intimidation. A report by Human Rights Watch documented myriad threats to free expression among journalists, media groups, and civil society organizations, and the Committee to Protect Journalists chronicled a series of repressive measures in the weeks preceding the election.

The morning of election day, widespread reports decried the full-scale blocking of popular social media (Facebook, Twitter), instant messaging (WhatsApp), and money transfer (Mobile Money) platforms. Mobile telecommunications provider MTN tweeted that the blocking had been ordered via directive from the Uganda Communications Commission, the national regulatory body due to threats posed to public order and safety.

The UCC has directed MTN to disable all SocialMedia & MobileMoney services due to a threat to Public Order & Safety. pic.twitter.com/BqPcUyW0QF

— MTN Uganda (@mtnug) February 18, 2016

President Museveni explained in a television interview “Some people misuse those pathways. You know how they misuse them – telling lies… if you want a right then use it properly.”

Ugandans rapidly turned to VPN software and other proxy tools in order to bypass the blocking, with an estimated 1.4 million downloads for Android. Psiphon use increased dramatically as netizens connected through the circumvention network to restore their right to communicate and access information.

Uganda netizens can trust Psiphon for access to the open internet, free DL at https://t.co/jq89FNFV2i #UgandaDecides pic.twitter.com/T9d3dqBnrI

— Psiphon Inc. (@PsiphonInc) February 18, 2016

Psiphon statistics indicate growth in hourly connections during the blocking period of up to 25 times baseline usage.

Psiphon’s involvement has received ongoing coverage including the online newspaper The Daily Dot. In an interview, CEO Karl Kathuria told Smartmonkey TV “before the shutdown we had a very low number of users in Uganda. After the shutdown, those who knew about our software started posting about it and there was a big jump on our network... it will go up again much faster next time.”

The case demonstrates that in response to censorship, blocking, and other restrictions, internet users will turn to known tools that connect them to content and to each other.

You can stay in touch with Psiphon via Twitter and Facebook for ongoing updates.

At 9PM ET on December 16th WhatsApp was blocked in Brazil. The ban came after a judge ordered that the messenger app be blocked for 48 hours when the company refused to hand over private user information related to a criminal case. For months, Brazilian telecommunications companies have been attempting to shut down WhatsApp because it provides free messaging and voice services. WhatsApp is the most popular messenger service in Brazil and telecoms blame it for luring millions away from paid cell phone use.

Internet users in Brazil reacted strongly to the ban, criticizing the decision to block WhatsApp widely on social media. Millions turned to alternate messenger services and shared circumvention techniques over social media. Psiphon was praised by people in Brazil for being free, open source, and able to keep them connected throughout the blocking event. Psiphon’s surge capacity was able to cope with the increased demand, with peak data use of more than 8x that of a normal day. Psiphon's unique users in Brazil went from 54,000 on December 16 to 946,000 on December 17.

Less than a day after the block was put in place, a second judge overturned the lower court’s decision and WhatsApp was unblocked. He stated that “it does not seem reasonable that millions of users be affected” because WhatsApp refused to disclose user information. While the surge use of Psiphon settled quickly, more than twice the expected amount of data was being served hours after the block was lifted.

Psiphon in Brazil: bytes per hour, 14-17 December 2015

Update: In May 2016 Brazil blocked WhatsApp again, and again users turned to Psiphon.

From March 25 - 31, Psiphon partnered with British Council to deploy the BFI Flare #FiveFilms4Freedom campaign, a global digital human rights initiative and history’s first global, digital LGBT cinematic event. A leader in contemporary LGBT cinema for 29 years, BFI Flare 2015 sought to encourage the world to watch a film together, and show that love is a basic human right.

Psiphon helped maximize the global impact of the campaign, connecting the festival’s LGBT filmmakers and their stories to audiences in 135 countries around the world, in some of the most heavily censored societies — places where freedom of expression is not a given, in particular for members of the LGBT community. According to #FiveFilms4Freedom Director Alan Gemmell, the initiative “was a truly ground-breaking way to support freedom and equality all over the world and showcase some of our finest short filmmakers… we’re incredibly proud that our campaign reached tens of millions of people and that we were able to show solidarity with people around the world who risk their lives everyday just to live and love.”

Through the Psiphon platform, more than 5 million viewers were made aware of the festival, and viewed the landing page 13 million times.

The partnership was a litmus test of Psiphon’s capabilities as a publishing platform, and demonstrated its power to connect diverse international audiences to culturally-relevant content, to each other, and to a global conversation on a massive scale.

Psiphon CEO Karl Kathuria was pleased with the outcome. “We are really excited to have helped raise awareness of this film festival,” he said. “Many people using our software are in countries where it can be difficult to access LGBT content, so this is a unique opportunity to connect them with #FiveFilms4Freedom and help them to join in with the conversation over social media.”

Kathuria confirmed that Psiphon will continue to pursue future initiatives in art, cinema, and other cultural activities. “As a content delivery tool, our technology holds substantial and untapped potential to engage a global audience, regardless of information controls that might be imposed on them. Psiphon will be pursuing several more opportunities to promote and distribute content for cinematic events over the remainder of 2015.”

#FiveFilms4Freedom will return in 2016 with an expanded international programme. Psiphon’s free and open source software continues to be available for Windows desktops and Android mobile devices, helping people all over the world connect with each other over the open internet.

To learn more about the #FiveFilms4Freedom project, visit: http://film.britishcouncil.org/our-projects/2015/fivefilms4freedom
To learn more about BFI Flare, visit: http://www.bfi.org.uk/flare
To learn more about the British Council, visit: http://www.britishcouncil.org/

You can also stay in touch with Psiphon via Twitter and Facebook.

At Psiphon, we’re committed to open source development. We talked about this in a previous blog post, and you can access our source code here.

We were recently offered the chance to take this openness a step further with a formal security audit of our Windows and Android products, to be carried out by iSEC Partners. As part of our effort to be transparent in the way we operate, we are pleased to publish this report in full, which you can access here.

Overall, we are very happy with the results of the security audit, and for it to be recognized that we are "actively invested in ensuring the security of [our] users". We have already addressed the one High Severity item uncovered by iSEC Partners, and will continue to address the other recommendations over time.

The main findings of the report are:

• Psiphon follows most industry best-practices and takes measures to mitigate against attacks where it cannot.
• Most findings were suggestions to further improve the system, particularly in relation to the growth in the number of people using the software.
• No inherent architecture flaws were discovered.
• One High Severity issue was found, related to automated server patching. We have now deployed automated server patching using Ansible.
• Longer-term recommendations are being considered, and where appropriate built in to our development plans.

One particular finding of interest is the recognition by iSEC Partners that there is a potential for security issues related to the browser that we use for browser-only mode. We wrote about that recently when a new security flaw in the browser was discovered, and have already taken steps to mitigate against it.

We were very pleased to be given the opportunity to engage with this security review. We hope that you will find this report interesting, and that it will reassure you of our commitment to providing first-class software that will always be open source and secure.

Edited 2021-05-19 to update defunct Bitbucket links.

A severe security vulnerability in the Android AOSP browser has been disclosed: http://www.rafayhackingarticles.net/2014/08/android-browser-same-origin-policy.html

The Psiphon team has determined that the built-in browser ("browser-only mode") in our Psiphon app is affected, on Android versions 3.0 to 4.3, through its use of Android AOSP browser via the WebView component. There is no known mitigation for this security vulnerability other than to disable JavaScript in our built-in browser WebView components.

We are releasing Psiphon for Android version 62 which will disable JavaScript in the built-in browser on these versions of Android. We plan to leave this restriction in place until a less disruptive, effective mitigation becomes available; or the Android AOSP browser becomes widely patched.

خلاصه‌ای از تأثیر خونریزی قلبی در سایفون:

• برخی از سرورهای سایفون از نسخه‌های آسیب‌پذیر اوپن‌اس‌اس‌ال استفاده می‌کردند، که وب‌سرور پایتون را نسبت به حملۀ خونریزی قلبی آسیب پذیر می‌کرد. اطلاعات در معرض خطر در روند اجزاء وب سرور، شامل شبکۀ اطلاعات توپولوژی سایفون و آمار استفاده از شبکه و نیز مواد کلیدی وب سرور بوده است.

• تونل‌های +SSH/SSH سایفون در معرض خطر نیستند. ترافیک کاربر جاری از طریق سرور سایفون در معرض خطر نبوده است. تونل وی‌پی‌ان سایفون به طور بالقوه در معرض خطر حملۀ مرد میانی (man-in-the-middle attacks) بوده، از آنجا که رمز احراز هویت در هر جلسه در حافظۀ وب‌سرور پایتون نگهداری می‌شود.

• در تاریخ ۸ آوریل ۲۰۱۴، وصله‌های اوپن‌اس‌اس‌ال روی تمام سرورهای تحت تأثیر قرار گرفتۀ سایفون اعمال شد. علاوه بر این، توانایی‌های +SSH/SSH در تمام سرورهای تحت تأثیر قرار گرفته لغو شد (از طریق به روز رسانی‌های خارج از باند به تمام کارخواه‌ها)، تا تضمین کند که کارخواه‌ها (clients) نتوانند از مواد کلیدیِ بالقوه در معرض خطر وب‌سرورها، خارج از تونل امن استفاده کنند.

• کارخواه ویندوز از اوپن‌اس‌اس‌ال استفاده نکرده و تحت تأثیر حملۀ خونریزی قلبی قرار نمی‌گیرد.

• کارخواه اندروید از اوپن‌اس‌اس‌ال برای تونل خود استفاده نکرده، اما از آندروید جاوا اس‌اس‌ال برای درخواست‌های وب خود به وب‌سرورهای سایفون و آمازون S3 استفاده می‌کند. از آنجا که نسخۀ ۴.۱.۱ آندروید تحت تأثیر خونریزی قلبی قرار گرفته، برنامۀ ما در این نسخۀ خاص از آندروید، نسبت به آمازون، سرورهای سایفون، و یا حملۀ مرد میانی در سطح حافظۀ برنامه، آسیب‌پذیر باقی می‌ماند.

• سرور پاسخگوی خودکار ایمیلی از نسخه‌های آسیب‌دیدۀ اوپن‌اس‌اس‌ال استفاده می‌کرد. حمله در برابر آن به این شکل خواهد بود که آن را مجبور کند که یک اتصال اس‌اس‌ال به یک ایمیل سرورِ از راه دور ساخته (با ارسال درخواست ایمیل از یک آدرس که از آن سرور استفاده می‌کند)، که پس از آن بتواند به حافظۀ ایمیل سرور نفوذ کند. این به طور بالقوه می‌تواند محتوای ایمیل و نیز آدرسها را در معرض دید قرار دهد. وصله‌های اوپن‌اس‌اس‌ال در ۸ آوریل ۲۰۱۴ به کار گرفته شد.

• سرور پردازش بازخورد از نسخۀ آسیب‌دیدۀ اوپن‌اس‌اس‌ال استفاده می‌کرد. ممکن است که از آن کتابخانه (از طریق پایتون + Boto) استفاده کرده تا با خدمات آمازون AWS و سرور گوگل جی‌میل، ارتباطات اس‌اس‌ال برقرار کند. این بدین معنی است که آمازون یا گوگل می‌توانسته‌اند تا به اطلاعات بازخورد کاربر دسترسی داشته باشند. با این حال، باید توجه داشت که این اطلاعات در حال حاضر در آمازون EC2 میزبانی شده و زیرمجموعه‌ای از این داده‌ها از طریق جیمیل به ما ایمیل می‌شود. وصله‌های اوپن‌اس‌اس‌ال در تاریخ ۸ آوریل ۲۰۱۴ به کار گرفته شد.

• https://psiphon.ca از نسخه‌های آسیب‌دیدۀ اوپن‌اس‌اس‌ال استفاده نمی‌کرده است.

در اینجا ما سعی می کنیم به دو سوالی که اخیرا کاربران زیادی از ما پرسیده‌اند، پاسخ دهیم: سایفون چیست و چه تفاوتی با یک سرویس وی‌پی‌ان دارد. همچنین تغیراتی که این مقاله نسبت به نسخه قبل کرده‌ است را توضیح می‌دهیم.

سایفون ۳ یک شبکه از هزاران سرور پروکسی با موقعیت جغرافیایی متفاوت است که به صورت مرکزی مدیریت می‌شود. بسیاری از سرورهای ما بر روی سرورهای شرکت‌هایی که فضای ابری ارائه می‌کنند، وجود دارد. سایفون ۳ معماری بدون واسطه با اتصال رمزنگاری شده بین کاربر و سرور بر قرار می‌کند. ما به کاربران بسیاری از پلتفرم های معروف مانند ویندوز و اندروید و آی‌او‌اس (نسخه‌ی آلفا) سرویس می‌دهیم.

سایفون یک برنامه متن باز است. سرویس ما قوانین حفظ حریم خصوصی محکمی دارد، و همچنین هیچ حساب کاربری و یا آدرس شبکه از رایانه کاربران ذخیره نمی‌شود.

سایفون با سرویس های رایج وی‌پی‌ان به خاطر چند ویژگی، تفاوت دارد. ما استراتژی های مختلفی دنبال می کنیم تا که سرورهایمان را پخش کنیم و هر کاربر به تعداد قابل توجهی سرور دسترسی داشته باشد، در حالی که تمامی سرورهای موجود سایفون از دید یک کاربر پنهان می‌ماند. برای رسید به این هدف، تعداد سرورها در شبکه و به خصوص توزیع آنها نمی‌تواند به سادگی تنها وابسته میزان ترافیک ما باشد و نیاز به عملیات بسیار پیچیده تری دارد. همچنین ما از پروتکل مبهم سازی استفاده می کنیم تا فیلتر کردن با DPI را دور بزنیم.

سند فنی سایفون کهنه شده است و ما در لیست پایین توضیح می دهیم که چه تغییری نسبت به زمانی که پروژه در سال ۲۰۱۱ ایجاد شده است.

• ما اس اس اچ مبهم شده را به سیستم اضافه کردیم تا فیلترینگ را دور بزنیم. این پروتوکل رندم توسط یک کلید یکتا در هر سرور سایفون پیاده سازی می شود.
• ما یک تکه کوچک اختیاری HTTP در پروتکل خود پیاده کردیم که بتوانیم سیستم فیلترینگ DPI بر مبانی یک لیست مشخص، را دور بزنیم. این پیشوند HTTP در حالی که بسیار ساده است باعث می شود که (regex-based DPI -nDPI and l7-filter) سایفون را به عنوان یک ترافیک معمولی HTTP قلمداد کند. این خود در زمانی که محدویت های شدیدی بر روی HTTPS برقرار بود بسیار سود‌مند بود و کمک کرد کاربران به اینترنت از طریق سایفون دسترسی پیدا کنند.
• ما دسترسی به لیست سرورها از راه دور را پیاده سازی کردیم. بدین معنی که اگر دیده باشید فرایند جستجوی سرورها تنها وقتی به یک سرور وصل شده باشید اتفاقل می‌افتاد اما ویژگی لیست از راه دور این است که اگر همه‌ی سرورها نیز مسدود شده باشد شما همچنان می‌توانید لیست سرورهای دیگر را بیابید. این لیست سرورها بر روی سرورهای امازون قرار می گیرد و توسط لینک https://s3.amazonaws.com قابل دسترسی است. همچنین هیچ اسم خاص یکتایی به این آدرس وصل نشده است و این باعث می شود که برای مسدود کردن این لیست یا باید کل سرورهای آمازون مسدود شود و یا باید آنالیز روی پروتکل HTTPS انجام شود.
• در حال حاضر سیستم پخش سایفون بیشتر بر اساس ایمیل است. ما یک سرویس پاسخ ایمیل اتوماتیک داریم که سایفون هایی را که توسط شرکت های مختلف اسپانسر شده‌اند را به کاربران می فرستیم.
• ما در سال ۲۰۱۲ اولین برنامه اندروید را منتشر کردیم. نسخه ابتدایی شامل یک مرو گر اینترنت بر پایه خود اندروید نیز بود. در حوالی ۲۰۱۲ -۲۰۱۳ ویژگی تونل کرده کل تلفن همراه را پیاده سازی کردیم که حتی به برنامه‌های تلفن همراه این امکان را می‌داد که از طریق سایفون فیلترینگ را دور بزنند. برای این کار،  ما  از شیوه iptables برای تونل کردن گوشی های اندروید ۲.۲ به بالا روت شده استفاده می کنیم و برای اندروید ۴ به بلا از سرویس  vpnService با  tun2socks استفاده می کنیم. همچنین امکانات وصل شدن به سرور در موقیعت جغرافیایی مختلف و پروکسی کردن زنجیره ای را نیز اضافه کردیم.
• ما یک برنامه برای آی‌او‌اس داریم که در فاز آلفا هست. این برنامه به همراه یک مرورگر داخلی است.
• بازخورد درون برنامه سایفون به کاربران این امکان را می دهد که مستقیما اطلاعات مشکلات برنامه را به ما ایمیل بزنند. ما با این روش به خیلی از کاربران که مشکلات نرم‌افزاری و یا فیلتر شدن داشتند کمک کردیم.
• الگوریتم کشف سرورهای جدیدمان نیز تحول زیادی پیدا کرده است. این الگوریتم با رشد شبکه ی ما بهینه می‌شود. چندی از تغییرات اصلی شامل به اشتراک گذشتن لیست سرورها در اختیار توزیع کننده های سایفون و همچنین اضافه کردن بعد زمان وصل شدن در روز به این الگورتیم است
• الگوریتم اتصال نیز بهینه شده است. در حال حاضر برنامه سایفون به تمامی سرورهایی که به آن دسترسی دارد متثل می شود و {بهترین} اتصال را نگه می‌دارد. این کمک می کند که بار شبکه بر روی سرورها تنظیم شود و همچنین سرورهای مسدود شده باعث تاخیر در فرایند اتصال نشوند.
• سیستم به روز رسانی خودکار نیز بهتر شده است تا بتواند به صورت ذره ذره عملیات به روز رسانی را انجام دهد. این مشکل کاربرانی را که قطعی زیاد داشتند را حل کرد. همچنین برای به روز رسانی مجبور شدیم که فایل ها را به سیستم آمازون انتقال دهیم و برای این کار مجبور بودیم که امضاهای الکترونیکی بیشتری صادر کنیم چون شبکه آمازون خارج از شبکه سایفون بود.

We feel that it's important that you (and everyone who uses our software) know that Psiphon is a team of actual people working hard to give you access to the open Internet. So we've updated our About page to help you get to know us better.