עדכן את Tor 0.3.5.11, 0.4.2.8 ו-0.4.3.6 עם ביטול פגיעות DoS

הוצג מהדורות מתקנות של ערכת הכלים של Tor (0.3.5.11, 0.4.2.8, 0.4.3.6 ו-4.4.2-alpha), המשמשת לארגון הפעולה של הרשת האנונימית Tor. בוטל בגרסאות חדשות פגיעות (CVE-2020-15572), הנגרמת על ידי גישה לזיכרון מחוץ לגבולות המאגר המוקצה. הפגיעות מאפשרת לתוקף מרוחק לגרום לתהליך ה-tor לקרוס. הבעיה מופיעה רק בעת בנייה עם ספריית NSS (כברירת מחדל, Tor נבנה עם OpenSSL, ושימוש ב-NSS מחייב לציין את הדגל "-enable-nss").

בנוסף הציג מתכננים להפסיק את התמיכה בגרסה השנייה של פרוטוקול שירותי הבצל (שנקראו בעבר שירותים נסתרים). לפני שנה וחצי, במהדורה 0.3.2.9, היו למשתמשים מוּצָע הגרסה השלישית של הפרוטוקול לשירותי בצל, בולטת במעבר לכתובות של 56 תווים, הגנה אמינה יותר מפני דליפות נתונים דרך שרתי ספריות, מבנה מודולרי הניתן להרחבה ושימוש באלגוריתמים SHA3, ed25519 ו-curve25519 במקום SHA1, DH ו RSA-1024.

הגרסה השנייה של הפרוטוקול פותחה לפני כ-15 שנה, ובשל שימוש באלגוריתמים מיושנים, אינה יכולה להיחשב בטוחה בתנאים מודרניים. אם לוקחים בחשבון את פקיעת התמיכה בסניפים ישנים, נכון לעכשיו כל שער Tor נוכחי תומך בגרסה השלישית של הפרוטוקול, המוצעת כברירת מחדל בעת יצירת שירותי בצל חדשים.

ב-15 בספטמבר 2020, Tor יתחיל להזהיר מפעילים ולקוחות על הוצאה משימוש הגרסה השנייה של הפרוטוקול. ב-15 ביולי 2021 תוסר התמיכה בגרסה השנייה של הפרוטוקול מבסיס הקוד, וב-15 באוקטובר 2021 תשוחרר מהדורה יציבה חדשה של Tor ללא תמיכה בפרוטוקול הישן. כך, לבעלי שירותי בצל ישנים יש 16 חודשים לעבור לגרסה חדשה של הפרוטוקול, המחייבת הפקת כתובת חדשה של 56 תווים עבור השירות.

מקור: OpenNet.ru