Se ha presentado el lanzamiento del kit de herramientas Tor 0.4.6.5, utilizado para organizar el funcionamiento de la red Tor anónima. La versión 0.4.6.5 de Tor es reconocida como la primera versión estable de la rama 0.4.6, que ha estado en desarrollo durante los últimos cinco meses. La rama 0.4.6 se mantendrá como parte del ciclo de mantenimiento regular; las actualizaciones se suspenderán después de 9 meses o 3 meses después del lanzamiento de la rama 0.4.7.x. Se proporciona soporte a largo plazo (LTS) para la rama 0.3.5, cuyas actualizaciones se publicarán hasta el 1 de febrero de 2022. Al mismo tiempo, se formaron las versiones de Tor 0.3.5.15, 0.4.4.9 y 0.4.5.9, que eliminaron las vulnerabilidades DoS que podían provocar una denegación de servicio a los clientes de servicios cebolla y retransmisiones.
Cambios importantes:
- Se agregó la capacidad de crear servicios cebolla basados en la tercera versión del protocolo con autenticación de acceso del cliente a través de archivos en el directorio 'authorized_clients'.
- Para los relés, se ha agregado una bandera que permite al operador del nodo comprender que el relé no está incluido en el consenso cuando los servidores seleccionan directorios (por ejemplo, cuando hay demasiados relés en una dirección IP).
- Es posible transmitir información de congestión en datos extrainfo, que pueden usarse para equilibrar la carga en la red. La transmisión métrica se controla mediante la opción OverloadStatistics en torrc.
- Se ha agregado al subsistema de protección contra ataques DoS la capacidad de limitar la intensidad de las conexiones de los clientes a los relés.
- Los retransmisores implementan la publicación de estadísticas sobre la cantidad de servicios de cebolla en función de la tercera versión del protocolo y el volumen de su tráfico.
- Se eliminó la compatibilidad con la opción DirPorts del código de retransmisión, que no se utiliza para este tipo de nodo.
- El código ha sido refactorizado. El subsistema de protección contra ataques DoS se ha trasladado al administrador del subsistema.
- Se ha suspendido el soporte para los antiguos servicios cebolla basados en la segunda versión del protocolo, que fue declarado obsoleto hace un año. Se espera la eliminación completa del código asociado con la segunda versión del protocolo en otoño. La segunda versión del protocolo se desarrolló hace unos 16 años y, debido al uso de algoritmos obsoletos, no puede considerarse segura en las condiciones modernas. Hace dos años y medio, en la versión 0.3.2.9, se ofreció a los usuarios la tercera versión del protocolo para servicios cebolla, que destaca por la transición a direcciones de 56 caracteres, una protección más confiable contra la fuga de datos a través de servidores de directorio y una estructura modular extensible. y el uso de los algoritmos SHA3, ed25519 y curve25519 en lugar de SHA1, DH y RSA-1024.
- Vulnerabilidades solucionadas:
- CVE-2021-34550: acceso a un área de memoria fuera del búfer asignado en el código para analizar descriptores de servicios cebolla basados en la tercera versión del protocolo. Un atacante puede, al colocar un descriptor de servicio cebolla especialmente diseñado, provocar el bloqueo de cualquier cliente que intente acceder a este servicio cebolla.
- CVE-2021-34549: Un posible ataque de denegación de servicio en relés. Un atacante puede formar cadenas con identificadores que provocan colisiones en funciones hash, cuyo procesamiento genera una gran carga en la CPU.
- CVE-2021-34548: un relé podría falsificar celdas RELAY_END y RELAY_RESOLVED en subprocesos medio cerrados, lo que permitió la terminación de un subproceso que se creó sin la participación de este relé.
- TROVE-2021-004: se agregaron comprobaciones adicionales para detectar fallas al llamar al generador de números aleatorios OpenSSL (con la implementación RNG predeterminada en OpenSSL, tales fallas no ocurren).
Fuente: opennet.ru