{"id":111112,"date":"2023-10-26T21:10:14","date_gmt":"2023-10-26T19:10:15","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/rezultaty-audita-tor-browser-i-komponentov-infrastruktury-tor"},"modified":"2023-10-26T21:10:14","modified_gmt":"2023-10-26T19:10:15","slug":"rezultaty-audita-tor-browser-i-komponentov-infrastruktury-tor","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/rezultaty-audita-tor-browser-i-komponentov-infrastruktury-tor","title":{"rendered":"R\u00e9sultats de l'audit de Tor Browser et des composants de l'infrastructure Tor","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Les d\u00e9veloppeurs du r\u00e9seau anonyme Tor ont publi\u00e9 les r\u00e9sultats d'un audit du navigateur Tor Browser ainsi que des outils d\u00e9velopp\u00e9s par le projet OONI Probe, rdsys, BridgeDB et Conjure, utilis\u00e9s pour contourner la censure. Cet audit a \u00e9t\u00e9 r\u00e9alis\u00e9 par l'entreprise Cure53 de novembre 2022 \u00e0 avril 2023. <\/p>\n

Au cours de l'examen, 9 vuln\u00e9rabilit\u00e9s ont \u00e9t\u00e9 identifi\u00e9es, dont deux ont \u00e9t\u00e9 class\u00e9es comme critiques, une avec un niveau de gravit\u00e9 moyen, et 6 consid\u00e9r\u00e9es comme des probl\u00e8mes de faible gravit\u00e9. De plus, 10 probl\u00e8mes non li\u00e9s \u00e0 la s\u00e9curit\u00e9 ont \u00e9t\u00e9 trouv\u00e9s dans le code. En g\u00e9n\u00e9ral, le code du projet Tor a \u00e9t\u00e9 jug\u00e9 conforme aux pratiques de programmation s\u00e9curis\u00e9e. <\/p>\n

La premi\u00e8re vuln\u00e9rabilit\u00e9 critique se trouvait dans l'arri\u00e8re-plan du syst\u00e8me distribu\u00e9 rdsys, qui fournit aux utilisateurs soumis \u00e0 la censure des ressources comme des listes de proxies et des liens de t\u00e9l\u00e9chargement. Cette vuln\u00e9rabilit\u00e9 est due \u00e0 l'absence d'authentification lors de l'acc\u00e8s au gestionnaire d'enregistrement des ressources, permettant \u00e0 un attaquant d'enregistrer sa propre ressource malveillante \u00e0 livrer aux utilisateurs. L'exploitation consiste \u00e0 envoyer une requ\u00eate HTTP au gestionnaire rdsys.

\"R\u00e9sultats<\/center> <\/p>\n

La deuxi\u00e8me vuln\u00e9rabilit\u00e9 critique a \u00e9t\u00e9 d\u00e9couverte dans Tor Browser et \u00e9tait caus\u00e9e par l'absence de v\u00e9rification de la signature num\u00e9rique lors de la r\u00e9ception de la liste des n\u0153uds de pont via rdsys et BridgeDB. \u00c9tant donn\u00e9 que la liste est charg\u00e9e dans le navigateur avant la connexion au r\u00e9seau anonyme Tor, l'absence de v\u00e9rification de la signature num\u00e9rique permettait \u00e0 un attaquant de falsifier le contenu de la liste, par exemple, en interceptant la connexion ou en piratant de serveurs<\/a>, par lequel la liste est diffus\u00e9e. En cas d'attaque r\u00e9ussie, l'attaquant pouvait diriger les connexions des utilisateurs vers son propre n\u0153ud de pont compromis. <\/p>\n

Une vuln\u00e9rabilit\u00e9 de gravit\u00e9 moyenne se trouvait dans le sous-syst\u00e8me rdsys dans le script de d\u00e9ploiement des builds, permettant \u00e0 un attaquant d'\u00e9lever ses privil\u00e8ges de l'utilisateur nobody \u00e0 l'utilisateur rdsys, s'il avait acc\u00e8s \u00e0 serveur<\/a> et la capacit\u00e9 d'\u00e9crire dans le r\u00e9pertoire des fichiers temporaires. L'exploitation de cette vuln\u00e9rabilit\u00e9 consiste \u00e0 remplacer le fichier ex\u00e9cutable plac\u00e9 dans le r\u00e9pertoire \/tmp. Obtenir les droits de l'utilisateur rdsys permet \u00e0 l'attaquant de modifier les fichiers ex\u00e9cutables lanc\u00e9s via rdsys. <\/p>\n

Les vuln\u00e9rabilit\u00e9s de faible gravit\u00e9 \u00e9taient principalement li\u00e9es \u00e0 l'utilisation de d\u00e9pendances obsol\u00e8tes contenant des vuln\u00e9rabilit\u00e9s connues ou \u00e0 des possibilit\u00e9s de d\u00e9ni de service. Parmi les vuln\u00e9rabilit\u00e9s mineures dans Tor Browser, on note la possibilit\u00e9 de contourner l'interdiction d'ex\u00e9cution de JavaScript en fixant le niveau de protection le plus \u00e9lev\u00e9, l'absence de restrictions sur le t\u00e9l\u00e9chargement de fichiers et une potentielle fuite d'informations via la page d'accueil de l'utilisateur, ce qui permet de suivre les utilisateurs entre les red\u00e9marrages. <\/p>\n

\u00c0 l'heure actuelle, toutes les vuln\u00e9rabilit\u00e9s ont \u00e9t\u00e9 corrig\u00e9es, comprenant notamment l'impl\u00e9mentation d'une authentification pour tous les gestionnaires rdsys et l'ajout d'une v\u00e9rification des listes t\u00e9l\u00e9charg\u00e9es dans Tor Browser par signature num\u00e9rique. <\/p>\n

De plus, on peut signaler la publication du navigateur Tor Browser 13.0.1. Cette version est synchronis\u00e9e avec la base de code de Firefox 115.4.0 ESR, dans laquelle 19 vuln\u00e9rabilit\u00e9s ont \u00e9t\u00e9 corrig\u00e9es (dont 13 consid\u00e9r\u00e9es comme critiques). Les corrections de vuln\u00e9rabilit\u00e9s de la branche Firefox 119 ont \u00e9t\u00e9 transf\u00e9r\u00e9es vers la version Tor Browser 13.0.1 pour Android.
\n
Source : opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0420\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a\u0438 \u0430\u043d\u043e\u043d\u0438\u043c\u043d\u043e\u0439 \u0441\u0435\u0442\u0438 Tor \u043e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043b\u0438 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u044b \u0430\u0443\u0434\u0438\u0442\u0430 \u0431\u0440\u0430\u0443\u0437\u0435\u0440\u0430 Tor Browser \u0438 \u0440\u0430\u0437\u0432\u0438\u0432\u0430\u0435\u043c\u044b\u0445 \u043f\u0440\u043e\u0435\u043a\u0442\u043e\u043c \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u0430\u0440\u0438\u0435\u0432 OONI Probe, rdsys, BridgeDB \u0438 Conjure, \u043f\u0440\u0438\u043c\u0435\u043d\u044f\u0435\u043c\u044b\u0445 \u0434\u043b\u044f \u043e\u0431\u0445\u043e\u0434\u0430 \u0446\u0435\u043d\u0437\u0443\u0440\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f. \u0410\u0443\u0434\u0438\u0442 \u043f\u0440\u043e\u0432\u043e\u0434\u0438\u043b\u0441\u044f \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0435\u0439 Cure53 \u0441 \u043d\u043e\u044f\u0431\u0440\u044f 2022 \u0433\u043e\u0434\u0430 \u043f\u043e \u0430\u043f\u0440\u0435\u043b\u044c 2023 \u0433\u043e\u0434\u0430. \u0412 \u0445\u043e\u0434\u0435 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438 \u0431\u044b\u043b\u0438 \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u044b 9 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0435\u0439, \u0434\u0432\u0435 \u0438\u0437 \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u043e\u0442\u043d\u0435\u0441\u0435\u043d\u044b \u043a \u043a\u0430\u0442\u0435\u0433\u043e\u0440\u0438\u0438 \u043e\u043f\u0430\u0441\u043d\u044b\u0445, \u043e\u0434\u043d\u043e\u0439 \u043f\u0440\u0438\u0441\u0432\u043e\u0435\u043d \u0441\u0440\u0435\u0434\u043d\u0438\u0439 \u0443\u0440\u043e\u0432\u0435\u043d\u044c \u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438, […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":111113,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-111112","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47R\u00e9sultats de l'audit de Tor Browser et des composants de l'infrastructure Tor | ProHoster","description":"Les d\u00e9veloppeurs du r\u00e9seau anonyme Tor ont publi\u00e9 les r\u00e9sultats de l'audit du navigateur Tor Browser et des outils d\u00e9velopp\u00e9s par le projet OONI Probe, rdsys, BridgeDB et Conjure, utilis\u00e9s pour contourner la censure.","canonical_url":"https:\/\/prohoster.info\/fr\/blog\/news\/rezultaty-audita-tor-browser-i-komponentov-infrastruktury-tor","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"fr_FR","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0420\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u044b \u0430\u0443\u0434\u0438\u0442\u0430 Tor Browser \u0438 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u043e\u0432 \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u044b Tor | ProHoster","og:description":"\u0420\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a\u0438 \u0430\u043d\u043e\u043d\u0438\u043c\u043d\u043e\u0439 \u0441\u0435\u0442\u0438 Tor \u043e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043b\u0438 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u044b \u0430\u0443\u0434\u0438\u0442\u0430 \u0431\u0440\u0430\u0443\u0437\u0435\u0440\u0430 Tor Browser \u0438 \u0440\u0430\u0437\u0432\u0438\u0432\u0430\u0435\u043c\u044b\u0445 \u043f\u0440\u043e\u0435\u043a\u0442\u043e\u043c \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u0430\u0440\u0438\u0435\u0432 OONI Probe, rdsys, BridgeDB \u0438 Conjure, \u043f\u0440\u0438\u043c\u0435\u043d\u044f\u0435\u043c\u044b\u0445 \u0434\u043b\u044f \u043e\u0431\u0445\u043e\u0434\u0430 \u0446\u0435\u043d\u0437\u0443\u0440\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f.","og:url":"https:\/\/prohoster.info\/fr\/blog\/news\/rezultaty-audita-tor-browser-i-komponentov-infrastruktury-tor","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2023-10-26T19:10:15+00:00","article:modified_time":"2023-10-26T19:10:15+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"111112","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":"default","schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2026-02-09 21:42:05","updated":"2026-02-22 15:31:12","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/111112","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/comments?post=111112"}],"version-history":[{"count":2,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/111112\/revisions"}],"predecessor-version":[{"id":162425,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/111112\/revisions\/162425"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/media\/111113"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/media?parent=111112"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/categories?post=111112"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/tags?post=111112"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}