{"id":113257,"date":"2024-01-31T01:41:06","date_gmt":"2024-01-30T23:41:06","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/rezultaty-vtorogo-audita-bezopasnosti-razrabotok-proekta-tor"},"modified":"2024-01-31T01:41:06","modified_gmt":"2024-01-30T23:41:06","slug":"rezultaty-vtorogo-audita-bezopasnosti-razrabotok-proekta-tor","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/rezultaty-vtorogo-audita-bezopasnosti-razrabotok-proekta-tor","title":{"rendered":"R\u00e9sultats du deuxi\u00e8me audit de s\u00e9curit\u00e9 des d\u00e9veloppements du projet Tor","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Les d\u00e9veloppeurs du r\u00e9seau anonyme Tor ont publi\u00e9 les r\u00e9sultats de leur second audit, men\u00e9 par la soci\u00e9t\u00e9 Radically Open Security d'avril \u00e0 ao\u00fbt 2023 (le premier audit avait \u00e9t\u00e9 r\u00e9alis\u00e9 par la soci\u00e9t\u00e9 Cure53 de novembre 2022 \u00e0 avril 2023). L'examen a port\u00e9 sur le code permettant le fonctionnement des n\u0153uds de sortie, le navigateur Tor Browser, les composants de l'infrastructure (collecte de m\u00e9triques, SWBS, API Onionoo) et les outils de test. L'objectif principal de la v\u00e9rification \u00e9tait d'\u00e9valuer les modifications apport\u00e9es pour am\u00e9liorer la vitesse et la fiabilit\u00e9 du r\u00e9seau Tor, telles que le protocole de s\u00e9paration de trafic Conflux ajout\u00e9 dans la version Tor 0.4.8 et les m\u00e9thodes de protection des services Onion contre les attaques par d\u00e9ni de service bas\u00e9es sur la preuve de travail. <\/p>\n
Au cours de l'audit, 17 vuln\u00e9rabilit\u00e9s ont \u00e9t\u00e9 d\u00e9tect\u00e9es, dont une seule a \u00e9t\u00e9 class\u00e9e comme dangereuse. Quatre vuln\u00e9rabilit\u00e9s ont \u00e9t\u00e9 jug\u00e9es de gravit\u00e9 moyenne, et 12 ont \u00e9t\u00e9 qualifi\u00e9es de probl\u00e8mes de faible gravit\u00e9. La vuln\u00e9rabilit\u00e9 la plus critique a \u00e9t\u00e9 trouv\u00e9e dans l'application onbasca (Onion Bandwidth Scanner), utilis\u00e9e pour scanner la bande passante des n\u0153uds du r\u00e9seau. <\/p>\n
La vuln\u00e9rabilit\u00e9 est caus\u00e9e par la possibilit\u00e9 d'envoyer des requ\u00eates via la m\u00e9thode HTTP GET, permettant d'effectuer des substitutions de requ\u00eates intersites au nom d'un autre utilisateur (CSRF, Cross-Site Request Forgery), ce qui donne \u00e0 l'attaquant la possibilit\u00e9 d'ajouter ses n\u0153uds de pont \u00e0 la base de donn\u00e9es en manipulant le param\u00e8tre \u00ab bridge_lines \u00bb. Par exemple, un attaquant peut h\u00e9berger une page Web avec le code JavaScript fetch(\u00ab http:\/\/127.0.0.1:8000\/bridge-state\/?bridge_lines=obfs4+0.0.0.000000+AAA+cert0+iat-mode0 \u00bb), et si un utilisateur avec une session active sur Onion Bandwidth Scanner ouvre cette page, l'IP \u00ab 0.0.0.0 \u00bb sera ajout\u00e9e \u00e0 la base de donn\u00e9es en son nom. <\/p>\n
Probl\u00e8mes de gravit\u00e9 moyenne : <\/p>\n
\n
D\u00e9ni de service dans metrics-lib via l'envoi d'un gros fichier compress\u00e9 \u2014 \u00e9tant donn\u00e9 que le fichier est d\u00e9compress\u00e9 en m\u00e9moire vive, il est possible d'envoyer une sorte de bombe zip (par exemple, il est possible d'emballer 600 Mo de z\u00e9ros dans 0,0006 Mo) et provoquer une exhaustion de la m\u00e9moire disponible.\n
Utilisation dans tor-android-service (utilis\u00e9 dans le navigateur Tor pour Android) d'un module tiers tun2socks, dont le support a \u00e9t\u00e9 abandonn\u00e9.\n
\u00c9criture d'un octet nul en dehors du tampon allou\u00e9 dans le client Tor en raison de l'utilisation de la fonction read_file_to_str_until_eof, qui retourne la taille sans tenir compte du caract\u00e8re nul.\n
Une vuln\u00e9rabilit\u00e9 dans sbws (Simple Bandwidth Scanner) permettant de r\u00e9trograder une connexion HTTPS \u00e0 HTTP en utilisant une redirection vers HTTP. Un n\u0153ud de sortie Tor contr\u00f4l\u00e9 par l'attaquant peut potentiellement exploiter cette vuln\u00e9rabilit\u00e9 pour faciliter la fuite de jetons API. <\/ul>\n