בדיקת תוצאות של Tor Browser ורכיבי תשתית Tor

המפתחים של רשת Tor האנונימית פרסמו את תוצאות הביקורת של דפדפן Tor וכלי OONI Probe, rdsys, BridgeDB ו-Conjure שפותחו על ידי הפרויקט, המשמשים לעקוף צנזורה. הביקורת נערכה על ידי Cure53 מנובמבר 2022 עד אפריל 2023.

במהלך הביקורת אותרו 9 נקודות תורפה, שתיים מהן סווגו כמסוכנות, לאחת נקבעה רמת מסוכנות בינונית ו-6 סווגו כבעיות ברמת מסוכנות מינורית. כמו כן, בבסיס הקוד נמצאו 10 בעיות שסווגו כפגמים שאינם קשורים לאבטחה. באופן כללי, צוין כי הקוד של פרויקט Tor תואם לנוהלי תכנות מאובטחים.

הפגיעות המסוכנת הראשונה הייתה קיימת בקצה האחורי של המערכת המבוזרת rdsys, המבטיחה אספקת משאבים כגון רשימות פרוקסי וקישורי הורדה למשתמשים מצונזרים. הפגיעות נגרמת על ידי חוסר אימות בעת גישה למטפל ברישום המשאבים ואיפשרה לתוקף לרשום את המשאב הזדוני שלו למסירה למשתמשים. הפעולה מסתכמת בשליחת בקשת HTTP למטפל rdsys.

הפגיעות המסוכנת השנייה נמצאה בדפדפן Tor ונגרמה מהיעדר אימות חתימה דיגיטלית בעת שליפת רשימה של צמתי גשר דרך rdsys ו-BridgeDB. מכיוון שהרשימה נטענת לדפדפן בשלב שלפני ההתחברות לרשת Tor האנונימית, חוסר האימות של החתימה הדיגיטלית ההצפנה אפשר לתוקף להחליף את תוכן הרשימה, למשל על ידי יירוט החיבור או פריצה לשרת שדרכו מופצת הרשימה. במקרה של התקפה מוצלחת, התוקף יכול לארגן למשתמשים להתחבר דרך צומת הגשר שנפרץ משלהם.

פגיעות בדרגת חומרה בינונית הייתה קיימת בתת-המערכת של rdsys בסקריפט פריסת ה-assembly ואפשרה לתוקף להעלות את ההרשאות שלו ממשתמש אף אחד למשתמש rdsys, אם הייתה לו גישה לשרת ויכולת לכתוב לספרייה עם זמני קבצים. ניצול הפגיעות כרוך בהחלפת קובץ ההפעלה שנמצא בספריית /tmp. השגת זכויות משתמש של rdsys מאפשרת לתוקף לבצע שינויים בקבצי הפעלה שהושקו דרך rdsys.

פגיעויות בדרגת חומרה נמוכה נבעו בעיקר משימוש בתלות מיושנות שהכילו פגיעויות ידועות או פוטנציאל למניעת שירות. נקודות תורפה קלות בדפדפן Tor כוללות את היכולת לעקוף את JavaScript כאשר רמת האבטחה מוגדרת לרמה הגבוהה ביותר, היעדר הגבלות על הורדות קבצים ופוטנציאל דליפת מידע דרך דף הבית של המשתמש, המאפשר מעקב אחר משתמשים בין הפעלה מחדש.

נכון לעכשיו, כל הפגיעויות תוקנו; בין היתר, הוטמע אימות עבור כל המטפלים ב-rdsys ונוספה בדיקה של רשימות שנטענו לדפדפן Tor על ידי חתימה דיגיטלית.

בנוסף, אנו יכולים לציין את שחרורו של דפדפן Tor 13.0.1. המהדורה מסונכרנת עם בסיס הקוד של Firefox 115.4.0 ESR, אשר מתקן 19 נקודות תורפה (13 נחשבות למסוכנות). תיקוני פגיעות מסניף 13.0.1 של Firefox הועברו לדפדפן Tor 119 עבור אנדרואיד.

מקור: OpenNet.ru