Uue stabiilse Tor versiooni 0.4.6 väljaandmine

Käes on Tor tööriistade versioon 0.4.6.5, mis on mõeldud Tor anonüümse võrgustiku töö korraldamiseks. Tor versioon 0.4.6.5 tunnistatakse esimese stabiilse väljaandena 0.4.6 harust, mis on viimase viie kuu jooksul arenenud. Haru 0.4.6 süstematiseeritakse tavapärase hooldustsükli raames — värskenduste väljaandmine lõpetatakse 9 kuu või 3 kuu pärast 0.4.7.x haru väljalaskmist. Pikendatud toe tsükkel (LTS) on tagatud harule 0.3.5, mille värskendused ilmuvad kuni 1. veebruarini 2022. Samuti on välja antud Tor versioonid 0.3.5.15, 0.4.4.9 ja 0.4.5.9, kus on kõrvaldatud DoS-haavatavused, mis võivad põhjustada klientide onion-teenuste ja relva teenuste teenindamise katkestusi.

Peamised muudatused:

• Lisatud on võimalus luua onion-teenuseid kolmanda versiooni protokolli põhjal, autentides klientide juurde pääsu 'authorized_clients' katalooge sisaldavate failide kaudu.
• Edastuspunktidele on lisatud tunnus, mis võimaldab sõlme operaatoril mõista, et edastuspunkt ei ole valimisel konsensusse kaasatud serveritega direktorit (näiteks juhul, kui sama IP-aadressi all on liiga palju edastuspunktide).
• Tagatud on võimalus edastada ülekoormuse andmeid extrainfo andmetes, mida saab kasutada võrgu koormuse tasakaalustamiseks. Metriikide edastamine toimub OverloadStatistics valiku kaudu torrc-s.
• DoS-rünnakute kaitsesüsteemi on lisatud võimalus piirata kliendi ühenduste intensiivsust edastuspunktide suhtes.
• Edastuspunktides on rakendatud statistika avaldamise võimalus kolmanda versiooni protokollil põhinevate onion-teenuste arvu ja nende liikluse mahu kohta.
• Edastuspunktide koodist eemaldati DirPorts valiku toimetamine, mida ei kasutata selle tüübi sõlmede jaoks.
• Koodi on refaktoreeritud. DoS-rünnakute kaitsesüsteem on viidud subsys-i haldurisse.
• Toetamine vana onion-teenuste jaoks, mis põhines teisel versioonil protokollist, on lõpetatud, kuna see kuulutati aasta tagasi aegunuks. Teise versiooni protokolli koodi täielik eemaldamine on eeldatavasti sügisel. Teine versioon protokollist loodi umbes 16 aastat tagasi ja vananenud algoritmide kasutamine ei võimalda seda tänapäevastes tingimustes ohutuks pidada. Kaks ja pool aastat tagasi pakuti välja kolmas versioon onion-teenuste protokollist väljaandes 0.3.2.9, mis oli märgitud 56-märgilistele aadressidele üleminekuga, usaldusväärsema andmelekke kaitsega. serveritesse direktorit, laieneva modulaarse struktuuriga ja SHA3, ed25519 ja curve25519 algoritmide kasutamisega SHA1, DH ja RSA-1024 asemel.
• Turbeteated:
  • CVE-2021-34550 — mälu eraldamispiiride ületamine kolmanda versiooni protokollile mõeldud onion-teenuste descriptorite parsimise koodis. Ründaja saab, kasutades spetsiaalselt koostatud onion-teenuse deskriptorit, vallandada mistahes kliendi krahhi, kes üritab sellele onion-teenusele ligi pääseda.
  • CVE-2021-34549 — võimalus ründetaotluse läbiviimiseks, et käivitada ründeviisil relvade teenuste peatamine. Ründaja suudab luua identifikaatoritega ahelad, mis põhjustavad hash-funktsiooni kokkupõrkeid, mille töötlemine toob kaasa suure CPU koormuse.
  • CVE-2021-34548 — relay suutis manipuleerida RELAY_END ja RELAY_RESOLVED rakkudega osaliselt suletud voogudes, mis võimaldas sulgeda voogu, mis loodi ilma selle relay osaluseta.
  • TROVE-2021-004 — lisatud on täiendavad kontrollid OpenSSL juhuslike arvude generaatori tõrgete kohta (Java rakendusega RNG OpenSSL, mis on vaikimisi sisse lülitatud, ei avaldu sellised vead).

  Allikas: opennet.ru