{"id":111112,"date":"2023-10-26T21:10:14","date_gmt":"2023-10-26T19:10:15","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/rezultaty-audita-tor-browser-i-komponentov-infrastruktury-tor"},"modified":"2023-10-26T21:10:14","modified_gmt":"2023-10-26T19:10:15","slug":"rezultaty-audita-tor-browser-i-komponentov-infrastruktury-tor","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/rezultaty-audita-tor-browser-i-komponentov-infrastruktury-tor","title":{"rendered":"Ergebnisse des Audits des Tor Browsers und der Infrastrukturkomponenten von Tor","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Die Entwickler des anonymen Netzwerks Tor haben die Ergebnisse eines Audits des Tor Browsers sowie der im Rahmen des Projekts entwickelten Tools OONI Probe, rdsys, BridgeDB und Conjure, die zur Umgehung von Zensur eingesetzt werden, ver\u00f6ffentlicht. Das Audit wurde von der Firma Cure53 von November 2022 bis April 2023 durchgef\u00fchrt. <\/p>\n

Im Laufe der \u00dcberpr\u00fcfung wurden 9 Schwachstellen festgestellt, von denen zwei als kritisch, eine als mittel und sechs als geringf\u00fcgig gef\u00e4hrlich eingestuft wurden. Au\u00dferdem wurden im Code zehn Probleme identifiziert, die nicht sicherheitsrelevant sind. Insgesamt wurde der Code des Tor-Projekts als konform mit sicheren Programmierpraktiken bewertet. <\/p>\n

Die erste kritische Schwachstelle befand sich im Backend des verteilten Systems rdsys, das zensierbaren Benutzern den Zugang zu Ressourcen wie Proxy-Listen und Download-Links erm\u00f6glicht. Diese Schwachstelle entstand durch das Fehlen einer Authentifizierung beim Zugriff auf die Registrierungsstelle f\u00fcr Ressourcen, was es einem Angreifer erm\u00f6glichte, eine eigene sch\u00e4dliche Ressource zur Auslieferung an die Benutzer zu registrieren. Die Ausnutzung besteht darin, eine HTTP-Anfrage an den rdsys-Handler zu senden.

\"Ergebnisse<\/center> <\/p>\n

Die zweite gef\u00e4hrliche Schwachstelle wurde im Tor Browser entdeckt und resultierte aus dem Fehlen einer \u00dcberpr\u00fcfung der digitalen Signatur beim Empfang der Liste von Br\u00fccken-Knoten \u00fcber rdsys und BridgeDB. Da die Liste im Browser w\u00e4hrend der Phase vor der Verbindung mit dem anonymen Tor-Netzwerk geladen wird, erm\u00f6glichte das Fehlen einer kryptografischen digitalen Signatur, dass ein Angreifer den Inhalt der Liste manipulieren konnte, beispielsweise durch Abfangen der Verbindung oder durch einen Hack, \u00fcber den die Liste verbreitet wurde. Server<\/a>Im Falle eines erfolgreichen Angriffs konnte der Angreifer die Benutzer \u00fcber seinen eigenen kompromittierten Br\u00fccken-Knoten verbinden. <\/p>\n

Eine Sicherheitsanf\u00e4lligkeit mittlerer Gefahr war im rdsys-Subsystem im Bereitstellungsskript f\u00fcr Builds vorhanden und erm\u00f6glichte es einem Angreifer, seine Berechtigungen von dem Benutzer nobody auf den Benutzer rdsys anzuheben, sofern Zugang zu Server<\/a> und Schreibzugriff auf das Verzeichnis f\u00fcr tempor\u00e4re Dateien vorhanden war. Das Ausnutzen der Schwachstelle besteht darin, eine ausf\u00fchrbare Datei im Verzeichnis \/tmp zu ersetzen. Der Erwerb der Benutzerrechte von rdsys erlaubt es dem Angreifer, \u00c4nderungen an den \u00fcber rdsys ausgef\u00fchrten Dateien vorzunehmen. <\/p>\n

Sicherheitsanf\u00e4lligkeiten geringer Gefahr waren haupts\u00e4chlich mit der Verwendung veralteter Abh\u00e4ngigkeiten verbunden, die bekannte Schwachstellen aufwiesen, oder mit der M\u00f6glichkeit, einen Denial-of-Service-Angriff durchzuf\u00fchren. Unter den geringf\u00fcgigen Schwachstellen im Tor-Browser ist die M\u00f6glichkeit zu erw\u00e4hnen, das Ausf\u00fchren von JavaScript beim h\u00f6chsten Schutzniveau zu umgehen, fehlende Einschr\u00e4nkungen beim Hochladen von Dateien und potenzielle Informationslecks \u00fcber die Benutzer-Homepage, die es erm\u00f6glichen, Benutzer zwischen Neustarts zu verfolgen. <\/p>\n

Derzeit wurden alle Sicherheitsanf\u00e4lligkeiten behoben. Unter anderem wurde eine Authentifizierung f\u00fcr alle rdsys-Handler implementiert und eine \u00dcberpr\u00fcfung der in den Tor Browser geladenen Listen auf digitale Signaturen hinzugef\u00fcgt. <\/p>\n

Zus\u00e4tzlich ist die Ver\u00f6ffentlichung des Tor Browsers 13.0.1 zu erw\u00e4hnen. Diese Version ist mit dem Code von Firefox 115.4.0 ESR synchronisiert, in dem 19 Sicherheitsanf\u00e4lligkeiten behoben wurden (davon 13 als kritisch eingestuft). Die Sicherheitskorrekturen aus der Firefox 119-Version wurden in die Android-Version des Tor Browsers 13.0.1 \u00fcbernommen.
\n
Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0420\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a\u0438 \u0430\u043d\u043e\u043d\u0438\u043c\u043d\u043e\u0439 \u0441\u0435\u0442\u0438 Tor \u043e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043b\u0438 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u044b \u0430\u0443\u0434\u0438\u0442\u0430 \u0431\u0440\u0430\u0443\u0437\u0435\u0440\u0430 Tor Browser \u0438 \u0440\u0430\u0437\u0432\u0438\u0432\u0430\u0435\u043c\u044b\u0445 \u043f\u0440\u043e\u0435\u043a\u0442\u043e\u043c \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u0430\u0440\u0438\u0435\u0432 OONI Probe, rdsys, BridgeDB \u0438 Conjure, \u043f\u0440\u0438\u043c\u0435\u043d\u044f\u0435\u043c\u044b\u0445 \u0434\u043b\u044f \u043e\u0431\u0445\u043e\u0434\u0430 \u0446\u0435\u043d\u0437\u0443\u0440\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f. \u0410\u0443\u0434\u0438\u0442 \u043f\u0440\u043e\u0432\u043e\u0434\u0438\u043b\u0441\u044f \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0435\u0439 Cure53 \u0441 \u043d\u043e\u044f\u0431\u0440\u044f 2022 \u0433\u043e\u0434\u0430 \u043f\u043e \u0430\u043f\u0440\u0435\u043b\u044c 2023 \u0433\u043e\u0434\u0430. \u0412 \u0445\u043e\u0434\u0435 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438 \u0431\u044b\u043b\u0438 \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u044b 9 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0435\u0439, \u0434\u0432\u0435 \u0438\u0437 \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u043e\u0442\u043d\u0435\u0441\u0435\u043d\u044b \u043a \u043a\u0430\u0442\u0435\u0433\u043e\u0440\u0438\u0438 \u043e\u043f\u0430\u0441\u043d\u044b\u0445, \u043e\u0434\u043d\u043e\u0439 \u043f\u0440\u0438\u0441\u0432\u043e\u0435\u043d \u0441\u0440\u0435\u0434\u043d\u0438\u0439 \u0443\u0440\u043e\u0432\u0435\u043d\u044c \u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438, […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":111113,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-111112","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-novosti-interneta"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47 Ergebnisse des Audits des Tor Browsers und der Infrastrukturkomponenten von Tor | ProHoster","description":"Die Entwickler des anonymen Tor-Netzwerks haben die Ergebnisse des Audits des Tor Browsers und der Projekte, die mit OONI Probe, rdsys, BridgeDB und Conjure zur Umgehung von Zensur entwickelt wurden, ver\u00f6ffentlicht. Das Audit wurde von Cure53 von November 2022 bis April 2023 durchgef\u00fchrt. W\u00e4hrend der \u00dcberpr\u00fcfung wurden 9 Sicherheitsanf\u00e4lligkeiten entdeckt, von denen zwei als kritisch eingestuft werden, eine hat ein mittleres Gefahrenniveau.","canonical_url":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/rezultaty-audita-tor-browser-i-komponentov-infrastruktury-tor","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"de_DE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0420\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u044b \u0430\u0443\u0434\u0438\u0442\u0430 Tor Browser \u0438 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u043e\u0432 \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u044b Tor | ProHoster","og:description":"\u0420\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a\u0438 \u0430\u043d\u043e\u043d\u0438\u043c\u043d\u043e\u0439 \u0441\u0435\u0442\u0438 Tor \u043e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043b\u0438 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u044b \u0430\u0443\u0434\u0438\u0442\u0430 \u0431\u0440\u0430\u0443\u0437\u0435\u0440\u0430 Tor Browser \u0438 \u0440\u0430\u0437\u0432\u0438\u0432\u0430\u0435\u043c\u044b\u0445 \u043f\u0440\u043e\u0435\u043a\u0442\u043e\u043c \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u0430\u0440\u0438\u0435\u0432 OONI Probe, rdsys, BridgeDB \u0438 Conjure, \u043f\u0440\u0438\u043c\u0435\u043d\u044f\u0435\u043c\u044b\u0445 \u0434\u043b\u044f \u043e\u0431\u0445\u043e\u0434\u0430 \u0446\u0435\u043d\u0437\u0443\u0440\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f. \u0410\u0443\u0434\u0438\u0442 \u043f\u0440\u043e\u0432\u043e\u0434\u0438\u043b\u0441\u044f \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0435\u0439 Cure53 \u0441 \u043d\u043e\u044f\u0431\u0440\u044f 2022 \u0433\u043e\u0434\u0430 \u043f\u043e \u0430\u043f\u0440\u0435\u043b\u044c 2023 \u0433\u043e\u0434\u0430. \u0412 \u0445\u043e\u0434\u0435 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438 \u0431\u044b\u043b\u0438 \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u044b 9 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0435\u0439, \u0434\u0432\u0435 \u0438\u0437 \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u043e\u0442\u043d\u0435\u0441\u0435\u043d\u044b \u043a \u043a\u0430\u0442\u0435\u0433\u043e\u0440\u0438\u0438 \u043e\u043f\u0430\u0441\u043d\u044b\u0445, \u043e\u0434\u043d\u043e\u0439 \u043f\u0440\u0438\u0441\u0432\u043e\u0435\u043d \u0441\u0440\u0435\u0434\u043d\u0438\u0439 \u0443\u0440\u043e\u0432\u0435\u043d\u044c \u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438,","og:url":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/rezultaty-audita-tor-browser-i-komponentov-infrastruktury-tor","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2023-10-26T19:10:15+00:00","article:modified_time":"2023-10-26T19:10:15+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"111112","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":"default","schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2026-02-09 21:42:05","updated":"2026-02-22 15:31:12"},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/111112","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/comments?post=111112"}],"version-history":[{"count":2,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/111112\/revisions"}],"predecessor-version":[{"id":162425,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/111112\/revisions\/162425"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media\/111113"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media?parent=111112"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/categories?post=111112"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/tags?post=111112"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}