ટોર બ્રાઉઝર અને ટોર ઈન્ફ્રાસ્ટ્રક્ચર ઘટકોના ઓડિટ પરિણામો

અનામી ટોર નેટવર્કના વિકાસકર્તાઓએ સેન્સરશીપને બાયપાસ કરવા માટે ઉપયોગમાં લેવાતા પ્રોજેક્ટ દ્વારા વિકસાવવામાં આવેલા ટોર બ્રાઉઝર અને OONI પ્રોબ, rdsys, BridgeDB અને Conjure ટૂલ્સના ઓડિટના પરિણામો પ્રકાશિત કર્યા છે. નવેમ્બર 53 થી એપ્રિલ 2022 દરમિયાન Cure2023 દ્વારા ઓડિટ હાથ ધરવામાં આવ્યું હતું.

ઓડિટ દરમિયાન, 9 નબળાઈઓને ઓળખવામાં આવી હતી, જેમાંથી બેને ખતરનાક તરીકે વર્ગીકૃત કરવામાં આવી હતી, એકને જોખમનું મધ્યમ સ્તર સોંપવામાં આવ્યું હતું, અને 6ને જોખમના નાના સ્તરની સમસ્યાઓ તરીકે વર્ગીકૃત કરવામાં આવી હતી. કોડ બેઝમાં પણ, 10 સમસ્યાઓ મળી આવી હતી જેને બિન-સુરક્ષા સંબંધિત ખામીઓ તરીકે વર્ગીકૃત કરવામાં આવી હતી. સામાન્ય રીતે, ટોર પ્રોજેક્ટનો કોડ સુરક્ષિત પ્રોગ્રામિંગ પ્રેક્ટિસનું પાલન કરવા માટે નોંધવામાં આવે છે.

પ્રથમ ખતરનાક નબળાઈ rdsys ડિસ્ટ્રિબ્યુટેડ સિસ્ટમના બેકએન્ડમાં હાજર હતી, જે સંસાધનોની ડિલિવરી સુનિશ્ચિત કરે છે જેમ કે પ્રોક્સી યાદીઓ અને સેન્સર્ડ વપરાશકર્તાઓને ડાઉનલોડ લિંક્સ. સંસાધન નોંધણી હેન્ડલરને ઍક્સેસ કરતી વખતે પ્રમાણીકરણના અભાવને કારણે નબળાઈ સર્જાય છે અને હુમલાખોરને વપરાશકર્તાઓ સુધી પહોંચાડવા માટે તેમના પોતાના દૂષિત સંસાધનની નોંધણી કરવાની મંજૂરી આપે છે. ઑપરેશન rdsys હેન્ડલરને HTTP વિનંતી મોકલવા માટે ઉકળે છે.

બીજી ખતરનાક નબળાઈ ટોર બ્રાઉઝરમાં જોવા મળી હતી અને rdsys અને BridgeDB દ્વારા બ્રિજ નોડ્સની સૂચિ પુનઃપ્રાપ્ત કરતી વખતે ડિજિટલ હસ્તાક્ષર ચકાસણીના અભાવને કારણે થઈ હતી. અનામી ટોર નેટવર્ક સાથે કનેક્ટ થતા પહેલા બ્રાઉઝરમાં સૂચિ લોડ કરવામાં આવી હોવાથી, ક્રિપ્ટોગ્રાફિક ડિજિટલ હસ્તાક્ષરની ચકાસણીના અભાવે હુમલાખોરને સૂચિની સામગ્રીને બદલવાની મંજૂરી આપી, ઉદાહરણ તરીકે, કનેક્શનને અટકાવીને અથવા સર્વરને હેક કરીને. જેના દ્વારા યાદીનું વિતરણ કરવામાં આવે છે. સફળ હુમલાની ઘટનામાં, હુમલાખોર વપરાશકર્તાઓને તેમના પોતાના બ્રિજ નોડ દ્વારા કનેક્ટ કરવાની વ્યવસ્થા કરી શકે છે.

એસેમ્બલી ડિપ્લોયમેન્ટ સ્ક્રિપ્ટમાં rdsys સબસિસ્ટમમાં મધ્યમ-ગંભીરતાની નબળાઈ હાજર હતી અને હુમલાખોરને તેના વિશેષાધિકારોને કોઈ પણ વપરાશકર્તામાંથી rdsys વપરાશકર્તા સુધી વધારવાની મંજૂરી આપી હતી, જો તેની પાસે સર્વરની ઍક્સેસ હોય અને કામચલાઉ સાથે ડિરેક્ટરીમાં લખવાની ક્ષમતા હોય. ફાઈલો. નબળાઈનો ઉપયોગ કરવા માટે /tmp ડિરેક્ટરીમાં સ્થિત એક્ઝિક્યુટેબલ ફાઇલને બદલવાનો સમાવેશ થાય છે. rdsys વપરાશકર્તા અધિકારો મેળવવાથી હુમલાખોરને rdsys દ્વારા શરૂ કરાયેલ એક્ઝિક્યુટેબલ ફાઇલોમાં ફેરફારો કરવાની મંજૂરી મળે છે.

નીચી-તીવ્રતાની નબળાઈઓ મુખ્યત્વે જૂની નિર્ભરતાના ઉપયોગને કારણે હતી જેમાં જાણીતી નબળાઈઓ અથવા સેવાનો ઇનકાર કરવાની સંભાવના હતી. ટોર બ્રાઉઝરમાં નાની નબળાઈઓમાં જાવાસ્ક્રિપ્ટને બાયપાસ કરવાની ક્ષમતાનો સમાવેશ થાય છે જ્યારે સુરક્ષા સ્તર ઉચ્ચતમ સ્તર પર સેટ કરવામાં આવે છે, ફાઇલ ડાઉનલોડ્સ પર પ્રતિબંધોનો અભાવ અને વપરાશકર્તાના હોમ પેજ દ્વારા માહિતીના સંભવિત લીકનો સમાવેશ થાય છે, જે વપરાશકર્તાઓને પુનઃપ્રારંભ વચ્ચે ટ્રેક કરવાની મંજૂરી આપે છે.

હાલમાં, તમામ નબળાઈઓ નિશ્ચિત કરવામાં આવી છે; અન્ય બાબતોની સાથે, તમામ rdsys હેન્ડલર્સ માટે પ્રમાણીકરણ લાગુ કરવામાં આવ્યું છે અને ડિજિટલ હસ્તાક્ષર દ્વારા ટોર બ્રાઉઝરમાં લોડ કરાયેલી યાદીઓની ચકાસણી ઉમેરવામાં આવી છે.

વધુમાં, અમે ટોર બ્રાઉઝર 13.0.1 ના પ્રકાશનની નોંધ લઈ શકીએ છીએ. રીલીઝ ફાયરફોક્સ 115.4.0 ESR કોડબેઝ સાથે સમન્વયિત છે, જે 19 નબળાઈઓને સુધારે છે (13 ખતરનાક માનવામાં આવે છે). Firefox બ્રાન્ચ 13.0.1 માંથી નબળાઈ ફિક્સને Android માટે Tor Browser 119 માં ટ્રાન્સફર કરવામાં આવ્યા છે.

સોર્સ: opennet.ru