{"id":111112,"date":"2023-10-26T21:10:14","date_gmt":"2023-10-26T19:10:15","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/rezultaty-audita-tor-browser-i-komponentov-infrastruktury-tor"},"modified":"2023-10-26T21:10:14","modified_gmt":"2023-10-26T19:10:15","slug":"rezultaty-audita-tor-browser-i-komponentov-infrastruktury-tor","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/novosti-interneta\/rezultaty-audita-tor-browser-i-komponentov-infrastruktury-tor","title":{"rendered":"Risultati dell'audit del Tor Browser e dei componenti dell'infrastruttura Tor","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Gli sviluppatori della rete anonima Tor hanno pubblicato i risultati dell'audit del browser Tor Browser e degli strumenti sviluppati dal progetto OONI Probe, rdsys, BridgeDB e Conjure, utilizzati per bypassare la censura. L'audit \u00e8 stato condotto dall'azienda Cure53 da novembre 2022 ad aprile 2023. <\/p>\n
Durante il controllo sono state rilevate 9 vulnerabilit\u00e0, di cui due classificate come gravi, una con un livello di gravit\u00e0 medio e 6 classificate come problemi di insignificante gravit\u00e0. Inoltre, nel codice sono state trovate 10 problematiche classificate come carenze non legate alla sicurezza. In generale, il codice del progetto Tor \u00e8 stato valutato come conforme alle pratiche di programmazione sicura. <\/p>\n
La prima vulnerabilit\u00e0 pericolosa era presente nel backend del sistema distribuito rdsys, che fornisce risorse censurabili agli utenti, come elenchi di proxy e link per il download. La vulnerabilit\u00e0 era causata dall'assenza di autenticazione nell'accesso all'handler di registrazione delle risorse, consentendo all'attaccante di registrare una propria risorsa dannosa da consegnare agli utenti. L'exploit consisteva nell'invio di una richiesta HTTP all'handler rdsys.
<\/center> <\/p>\n
La seconda vulnerabilit\u00e0 pericolosa \u00e8 stata trovata in Tor Browser ed \u00e8 stata causata dall'assenza di verifica della firma digitale durante il recupero dell'elenco dei nodi di bridge tramite rdsys e BridgeDB. Poich\u00e9 l'elenco viene caricato nel browser in una fase precedente alla connessione alla rete anonima Tor, la mancanza di verifica della firma digitale crittografica permetteva all'attaccante di alterare il contenuto dell'elenco, ad esempio tramite l'intercettazione della connessione o la compromissione del sistema tramite cui viene distribuito l'elenco. In caso di attacco riuscito, l'aggressore poteva dirigere gli utenti attraverso il proprio nodo di bridge compromesso. server<\/a>, tramite il quale viene distribuita la lista. In caso di attacco riuscito, l'aggressore potrebbe organizzare la connessione degli utenti tramite un proprio nodo di ponte compromesso. <\/p>\n
![\"Risultati](\"\/wp-content\/uploads\/2023\/10\/59560b2962adcce743937eb500061be1.png\")
<\/center> <\/p>\n