លទ្ធផលសវនកម្មនៃ Tor Browser និងសមាសធាតុហេដ្ឋារចនាសម្ព័ន្ធ Tor

អ្នកអភិវឌ្ឍន៍នៃបណ្តាញ Tor អនាមិកបានបោះពុម្ពផ្សាយលទ្ធផលនៃការធ្វើសវនកម្មនៃកម្មវិធីរុករក Tor និងឧបករណ៍ OONI Probe, rdsys, BridgeDB និង Conjure ដែលបង្កើតឡើងដោយគម្រោងដែលប្រើដើម្បីឆ្លងកាត់ការត្រួតពិនិត្យ។ សវនកម្មនេះត្រូវបានធ្វើឡើងដោយ Cure53 ចាប់ពីខែវិច្ឆិកា ឆ្នាំ 2022 ដល់ខែមេសា ឆ្នាំ 2023។

ក្នុងអំឡុងពេលធ្វើសវនកម្ម ភាពងាយរងគ្រោះចំនួន 9 ត្រូវបានកំណត់អត្តសញ្ញាណ ដែល 6 ត្រូវបានចាត់ថ្នាក់ថាមានគ្រោះថ្នាក់ មួយត្រូវបានចាត់ថ្នាក់ជាកម្រិតគ្រោះថ្នាក់មធ្យម និង 10 ត្រូវបានចាត់ថ្នាក់ជាបញ្ហាដែលមានកម្រិតគ្រោះថ្នាក់តិចតួច។ ផងដែរនៅក្នុងមូលដ្ឋានកូដបញ្ហា XNUMX ត្រូវបានរកឃើញដែលត្រូវបានចាត់ថ្នាក់ថាជាគុណវិបត្តិដែលទាក់ទងនឹងសុវត្ថិភាព។ ជាទូទៅ កូដរបស់ Tor Project ត្រូវបានគេកត់សម្គាល់ថា អនុលោមតាមការអនុវត្តកម្មវិធីដែលមានសុវត្ថិភាព។

ភាពងាយរងគ្រោះគ្រោះថ្នាក់ដំបូងគឺមានវត្តមាននៅក្នុងផ្នែកខាងក្រោយនៃប្រព័ន្ធចែកចាយ rdsys ដែលធានានូវការចែកចាយធនធានដូចជាបញ្ជីប្រូកស៊ី និងតំណទាញយកទៅកាន់អ្នកប្រើប្រាស់ដែលត្រូវបានត្រួតពិនិត្យ។ ភាពងាយរងគ្រោះគឺបណ្តាលមកពីកង្វះការផ្ទៀងផ្ទាត់នៅពេលចូលទៅកាន់កម្មវិធីគ្រប់គ្រងការចុះឈ្មោះធនធាន ហើយបានអនុញ្ញាតឱ្យអ្នកវាយប្រហារចុះឈ្មោះធនធានព្យាបាទផ្ទាល់ខ្លួនរបស់ពួកគេសម្រាប់ចែកចាយដល់អ្នកប្រើប្រាស់។ ប្រតិបត្តិការធ្លាក់ចុះដល់ការផ្ញើសំណើ HTTP ទៅឧបករណ៍ដោះស្រាយ rdsys ។

ភាពងាយរងគ្រោះគ្រោះថ្នាក់ទីពីរត្រូវបានរកឃើញនៅក្នុង Tor Browser ហើយបណ្តាលមកពីកង្វះការផ្ទៀងផ្ទាត់ហត្ថលេខាឌីជីថលនៅពេលទាញយកបញ្ជីថ្នាំងស្ពានតាមរយៈ rdsys និង BridgeDB ។ ចាប់តាំងពីបញ្ជីត្រូវបានផ្ទុកទៅក្នុងកម្មវិធីរុករកនៅដំណាក់កាលមុនពេលភ្ជាប់ទៅបណ្តាញ Tor អនាមិក កង្វះការផ្ទៀងផ្ទាត់ហត្ថលេខាឌីជីថលគ្រីបគ្រីបបានអនុញ្ញាតឱ្យអ្នកវាយប្រហារជំនួសមាតិកានៃបញ្ជីឧទាហរណ៍ដោយការស្ទាក់ចាប់ការតភ្ជាប់ ឬការលួចចូលម៉ាស៊ីនមេ។ តាមរយៈការដែលបញ្ជីត្រូវបានចែកចាយ។ នៅក្នុងព្រឹត្តិការណ៍នៃការវាយប្រហារជោគជ័យ អ្នកវាយប្រហារអាចរៀបចំឱ្យអ្នកប្រើប្រាស់ភ្ជាប់តាមរយៈថ្នាំងស្ពានដែលសម្របសម្រួលរបស់ពួកគេ។

ភាពងាយរងគ្រោះកម្រិតមធ្យមមានវត្តមាននៅក្នុងប្រព័ន្ធរង rdsys នៅក្នុងស្គ្រីបនៃការដំឡើងការជួបប្រជុំគ្នា ហើយបានអនុញ្ញាតឱ្យអ្នកវាយប្រហារបង្កើនសិទ្ធិរបស់គាត់ពីអ្នកប្រើប្រាស់គ្មាននរណាម្នាក់ទៅអ្នកប្រើប្រាស់ rdsys ប្រសិនបើគាត់មានសិទ្ធិចូលប្រើម៉ាស៊ីនមេ និងសមត្ថភាពក្នុងការសរសេរទៅកាន់ថតបណ្តោះអាសន្ន។ ឯកសារ។ ការទាញយកភាពងាយរងគ្រោះពាក់ព័ន្ធនឹងការជំនួសឯកសារដែលអាចប្រតិបត្តិបានដែលមាននៅក្នុងថត /tmp ។ ការទទួលបានសិទ្ធិអ្នកប្រើប្រាស់ rdsys អនុញ្ញាតឱ្យអ្នកវាយប្រហារធ្វើការផ្លាស់ប្តូរឯកសារដែលអាចប្រតិបត្តិបានតាមរយៈ rdsys ។

ភាពងាយរងគ្រោះកម្រិតទាបគឺចម្បងដោយសារតែការប្រើប្រាស់ភាពអាស្រ័យហួសសម័យដែលមានភាពងាយរងគ្រោះដែលគេស្គាល់ ឬសក្តានុពលសម្រាប់ការបដិសេធសេវាកម្ម។ ភាពងាយរងគ្រោះតិចតួចនៅក្នុង Tor Browser រួមមានសមត្ថភាពក្នុងការឆ្លងកាត់ JavaScript នៅពេលដែលកម្រិតសុវត្ថិភាពត្រូវបានកំណត់ទៅកម្រិតខ្ពស់បំផុត កង្វះការរឹតបន្តឹងលើការទាញយកឯកសារ និងការលេចធ្លាយព័ត៌មានដែលអាចកើតមានតាមរយៈទំព័រដើមរបស់អ្នកប្រើប្រាស់ ដែលអនុញ្ញាតឱ្យអ្នកប្រើប្រាស់ត្រូវបានតាមដានរវាងការចាប់ផ្តើមឡើងវិញ។

បច្ចុប្បន្ននេះ ភាពងាយរងគ្រោះទាំងអស់ត្រូវបានជួសជុល ហើយក្នុងចំណោមរបស់ផ្សេងទៀត ការផ្ទៀងផ្ទាត់ត្រូវបានអនុវត្តសម្រាប់អ្នកដោះស្រាយ rdsys ទាំងអស់ ហើយការត្រួតពិនិត្យបញ្ជីដែលបានផ្ទុកទៅក្នុងកម្មវិធីរុករក Tor ដោយហត្ថលេខាឌីជីថលត្រូវបានបន្ថែម។

លើសពីនេះ យើងអាចកត់សម្គាល់ការចេញផ្សាយ Tor Browser 13.0.1 ។ ការចេញផ្សាយនេះត្រូវបានធ្វើសមកាលកម្មជាមួយនឹងមូលដ្ឋានកូដរបស់ Firefox 115.4.0 ESR ដែលជួសជុលភាពងាយរងគ្រោះចំនួន 19 (13 ត្រូវបានចាត់ទុកថាមានគ្រោះថ្នាក់)។ ការជួសជុលភាពងាយរងគ្រោះពីសាខា Firefox 13.0.1 ត្រូវបានផ្ទេរទៅ Tor Browser 119 សម្រាប់ Android ។

ប្រភព: opennet.ru