टोर 0.4.6 की एक नई स्थिर शाखा का विमोचन

अनाम टोर नेटवर्क के संचालन को व्यवस्थित करने के लिए उपयोग किए जाने वाले टोर 0.4.6.5 टूलकिट का विमोचन प्रस्तुत किया गया है। टोर संस्करण 0.4.6.5 को 0.4.6 शाखा की पहली स्थिर रिलीज़ के रूप में मान्यता प्राप्त है, जो पिछले पांच महीनों से विकास में है। 0.4.6 शाखा को नियमित रखरखाव चक्र के हिस्से के रूप में बनाए रखा जाएगा - 9.x शाखा के जारी होने के 3 महीने या 0.4.7 महीने बाद अपडेट बंद कर दिए जाएंगे। 0.3.5 शाखा के लिए दीर्घकालिक समर्थन (एलटीएस) प्रदान किया जाता है, जिसके लिए अपडेट 1 फरवरी, 2022 तक जारी किए जाएंगे। उसी समय, टोर रिलीज़ 0.3.5.15, 0.4.4.9 और 0.4.5.9 का गठन किया गया, जिसने DoS कमजोरियों को समाप्त कर दिया जो प्याज सेवाओं और रिले के ग्राहकों को सेवा से वंचित कर सकता था।

मुख्य परिवर्तन:

• 'अधिकृत_क्लाइंट' निर्देशिका में फ़ाइलों के माध्यम से क्लाइंट पहुंच के प्रमाणीकरण के साथ प्रोटोकॉल के तीसरे संस्करण के आधार पर प्याज सेवाएं बनाने की क्षमता जोड़ी गई।
• रिले के लिए, एक ध्वज जोड़ा गया है जो नोड ऑपरेटर को यह समझने की अनुमति देता है कि जब सर्वर निर्देशिकाओं का चयन करते हैं तो रिले सर्वसम्मति में शामिल नहीं है (उदाहरण के लिए, जब एक आईपी पते पर बहुत अधिक रिले होते हैं)।
• एक्स्ट्राइन्फो डेटा में कंजेशन जानकारी प्रसारित करना संभव है, जिसका उपयोग नेटवर्क में लोड संतुलन के लिए किया जा सकता है। टोरआरसी में ओवरलोडस्टैटिस्टिक्स विकल्प का उपयोग करके मीट्रिक ट्रांसमिशन को नियंत्रित किया जाता है।
• क्लाइंट कनेक्शन की तीव्रता को रिले तक सीमित करने की क्षमता को DoS अटैक प्रोटेक्शन सबसिस्टम में जोड़ा गया है।
• रिले प्रोटोकॉल के तीसरे संस्करण और उनके ट्रैफ़िक की मात्रा के आधार पर प्याज सेवाओं की संख्या पर आंकड़ों के प्रकाशन को लागू करते हैं।
• रिले कोड से डिरपोर्ट्स विकल्प के लिए समर्थन हटा दिया गया है, जिसका उपयोग इस प्रकार के नोड के लिए नहीं किया जाता है।
• कोड को पुनः क्रियान्वित किया गया है। DoS अटैक प्रोटेक्शन सबसिस्टम को सबसिस मैनेजर में ले जाया गया है।
• प्रोटोकॉल के दूसरे संस्करण पर आधारित पुरानी प्याज सेवाओं के लिए समर्थन, जिसे एक साल पहले अप्रचलित घोषित कर दिया गया था, बंद कर दिया गया है। प्रोटोकॉल के दूसरे संस्करण से जुड़े कोड को पूरी तरह हटाने की उम्मीद शरद ऋतु में है। प्रोटोकॉल का दूसरा संस्करण लगभग 16 साल पहले विकसित किया गया था और पुराने एल्गोरिदम के उपयोग के कारण इसे आधुनिक परिस्थितियों में सुरक्षित नहीं माना जा सकता है। ढाई साल पहले, रिलीज़ 0.3.2.9 में, उपयोगकर्ताओं को प्याज सेवाओं के लिए प्रोटोकॉल के तीसरे संस्करण की पेशकश की गई थी, जो 56-वर्ण पते पर संक्रमण के लिए उल्लेखनीय था, निर्देशिका सर्वर के माध्यम से डेटा लीक के खिलाफ अधिक विश्वसनीय सुरक्षा, एक एक्स्टेंसिबल मॉड्यूलर संरचना और SHA3, DH और RSA-25519 के बजाय SHA25519, ed1 और कर्व1024 एल्गोरिदम का उपयोग।
• कमजोरियाँ ठीक की गईं:
  • सीवीई-2021-34550 - प्रोटोकॉल के तीसरे संस्करण के आधार पर प्याज सेवा डिस्क्रिप्टर को पार्स करने के लिए कोड में आवंटित बफर के बाहर मेमोरी क्षेत्र तक पहुंच। एक हमलावर, विशेष रूप से डिज़ाइन किए गए प्याज सेवा विवरणक को रखकर, इस प्याज सेवा तक पहुंचने का प्रयास करने वाले किसी भी ग्राहक की दुर्घटना का कारण बन सकता है।
  • सीवीई-2021-34549 - रिले पर सेवा हमले का संभावित खंडन। एक हमलावर पहचानकर्ताओं के साथ श्रृंखला बना सकता है जो हैश फ़ंक्शन में टकराव का कारण बनता है, जिसके प्रसंस्करण के परिणामस्वरूप सीपीयू पर भारी भार पड़ता है।
  • सीवीई-2021-34548 - एक रिले आधे-बंद थ्रेड में RELAY_END और RELAY_RESOLVED कोशिकाओं को खराब कर सकता है, जो इस रिले की भागीदारी के बिना बनाए गए थ्रेड को समाप्त करने की अनुमति देता है।
  • TROVE-2021-004 - ओपनएसएसएल यादृच्छिक संख्या जनरेटर को कॉल करते समय विफलताओं के लिए अतिरिक्त जांच जोड़ी गई (ओपनएसएसएल में डिफ़ॉल्ट आरएनजी कार्यान्वयन के साथ, ऐसी विफलताएं नहीं होती हैं)।

  स्रोत: opennet.ru