Uue stabiilse Tor 0.4.6 haru väljalaskmine.

Esitleti Tor 0.4.6.5 tööriistade väljaanne, mida kasutatakse anonüümse Tor võrgu korraldamiseks. Tor 0.4.6.5 versioon on tunnustatud esimeseks stabiilseks väljaandeks 0.4.6 harust, mis on arenenud viimase viie kuu jooksul. Haru 0.4.6 saab regulaarset tuge — värskenduste väljaandmine lõpetatakse 9 kuu pärast või 3 kuu jooksul pärast haru 0.4.7.x väljaandmist. Pikaajaline toetus (LTS) on tagatud 0.3.5 harule, mille värskendusi jagatakse kuni 1. veebruarini 2022. Samal ajal on välja antud Tor versioonid 0.3.5.15, 0.4.4.9 ja 0.4.5.9, milles on kõrvaldatud DoS-haavatavused, mis võimaldavad põhjustada tšilli teenuse katkestamist onion-teenustes ja releeides.

Peamised muudatused:

• On lisatud võimalus luua onion-teenuseid kolmanda versiooni protokolli põhjal, kusjuures klientide juurdepääsu autentimine toimub 'authorized_clients' katalooge failide abil.
• Relee jaoks on lisatud lipp, mis võimaldab sõlmepidajal mõista, et relee ei ole nii nimetatud konsensusprotsessis valikuprotsessis kaasatud. serveritega direktorite (näiteks, kui liiga palju releesid on ühe IP-aadressi all).
• On tagatud võimalus edastada koormuse kohta teavet extrainfo andmetes, mida saab kasutada koormuse tasakaalustamiseks võrgus. Allika metrika edastamist juhitakse torrc-is oleva OverloadStatistics seade abil.
• DoS-rünnakute kaitsesüsteemi on lisatud võimalus piirata klientide ühenduste intensiivsust releedele.
• Releeides on rakendatud statistika avaldamine kolmanda versiooni protokolli põhjal loodud onion-teenuste arvu ja nende liikluse mahu kohta.
• Relee koodist on eemaldatud DirPorts valiku tugi, mida ei kasutata selle tüüpi sõlmede jaoks.
• Koodi on refaktoreeritud. DoS-rünnakute kaitsesüsteem on viiudud subsys haldurisse.
• Toetamine vanadele onion-teenustele, mis põhinevad teisel versioonil protokollist, on lõpetatud, kuna see kuulutati ebaõnnestunuks aasta tagasi. Teise versiooni protokolli koodi täielik eemaldamine on oodata sügisel. Teine versioon protokollist loodi umbes 16 aastat tagasi ja tänapäeva tingimustes, vanade algoritmide kasutamise tõttu, ei saa seda pidada turvaliseks. Kaks ja pool aastat tagasi, versioonis 0.3.2.9, pakuti kasutajatele kolmandat versiooni onion-teenuste protokollist, mis on tuntud 56-märgiliste aadresside, parema kaitse andmete lekkimise eest kaudu. serverid katalooge, laiene modulaarse struktuuri ja SHA3, ed25519 ja curve25519 algoritmide kasutamisega SHA1, DH ja RSA-1024 asemel.
• Turbepuudused on kõrvaldatud:
  • CVE-2021-34550 — mälu ala kõnetamine väljaspool jaotatud puhvrit kolmandat versiooni onion-teenuste protokolli käsitlevas koodis. Ründaja võib spetsiaalselt vormindatud onion-teenuse deskriptorit paigutades põhjustada mis tahes kliendi krahhi, kes püüab sellele onion-teenusele juurde pääseda.
  • CVE-2021-34549 — võimalus teostada teenuste keelamise rünnakute järjestusi, mis põhjustavad hash-funktsioonis kollisioonide kutsumise. Ründaja saab luua identifikaatoritega ahelad, mille töötlemine põhjustab suurt koormust CPU-le.
  • CVE-2021-34548 — riga suutis RELAY_END ja RELAY_RESOLVED rakendamise spufi poolte suletud voogudes, mis võimaldas lõpetada voogu, mis loodi ilma käesoleva rige osaluseta.
  • TROVE-2021-004 — lisatud täiendavad kontrollid juhuslike arvu generaatorile OpenSSL juures ilmnevate tõrgete jaoks (default RNG rakenduse OpenSSL korral selliseid tõrkeid ei esine).

  Allikas: opennet.ru