Tor 0.3.5.11, 0.4.2.8 ja 0.4.3.6 versioonide uuendus DoS-haavatavuse kõrvaldamisega

Esitatud Tor-i tööriistakomplekti (0.3.5.11, 0.4.2.8, 0.4.3.6 ja 4.4.2-alpha) parandavad väljaanded, mida kasutatakse anonyymse Tor-võrgu toimimise korraldamiseks. Uutes versioonides on kõrvaldatud haavatavus (CVE-2020-15572), mis on põhjustatud mälupiiri ületamise tõttu. Haavatavus võimaldab eemaldatud ründajal algatada tor-protsessi kokkuvarisemise. Probleem ilmneb ainult siis, kui see on koostatud NSS-raamatukoguga (vaikimisi on Tor koostatud OpenSSL-iga ja NSS-i kasutamine nõuab lipu „—enable-nss“ määramist).

Lisaks esitati kava lõpetada onion-teenuste protokolli teise versiooni tugi (varem tuntud kui varjatud teenused). Poolteist aastat tagasi versioonis 0.3.2.9 said kasutajad on pakutud kolmanda versiooni protokoll onion-teenustele, millel on 56-märgiselt aadressid, usaldusväärsem kaitse andmelekete eest katalogiseerimisteenuste kaudu, laiendatav moodulstruktuur ja SHA3, ed25519 ja curve25519 algoritmide kasutamine SHA1, DH ja RSA-1024 asemel.

Teine versiooni protokoll loodi umbes 15 aastat tagasi ja aegunud algoritmide kasutamise tõttu ei saa seda tänapäeva tingimustes pidada turvaliseks. Arvestades vanade harude toe lõppemist toetab iga kaasaegne Tor-i värav kolmanda versiooni protokolli, mis pakutakse vaikimisi uute onion-teenuste loomisel.

15. septembril 2020 annab Tor operaatoritele ja klientidele hoiatuse teise versiooni protokolli aegumise kohta. 15. juulil 2021 kustutatakse teise versiooni protokolli tugi koodibaasist ja 15. oktoobril 2021 väljastatakse uus stabiilne Tor-i väljaanne ilma vana protokolli toeta. Seega on vanade onion-teenuste omanikel teise versiooni protokollile ülemiseks 16 kuud, mis nõuab teenuse jaoks uue 56-märgilise aadressi genereerimist.

Allikas: opennet.ru