De release van de Tor 0.4.6.5-toolkit, die wordt gebruikt om de werking van het anonieme Tor-netwerk te organiseren, is gepresenteerd. Tor-versie 0.4.6.5 wordt gezien als de eerste stabiele release van de 0.4.6-tak, die de afgelopen vijf maanden in ontwikkeling is geweest. De vertakking 0.4.6 zal worden onderhouden als onderdeel van de reguliere onderhoudscyclus - updates worden stopgezet na 9 maanden of 3 maanden na de release van de vertakking 0.4.7.x. Er wordt langetermijnondersteuning (LTS) geboden voor de vertakking 0.3.5, waarvan updates zullen worden uitgebracht tot 1 februari 2022. Tegelijkertijd werden Tor-releases 0.3.5.15, 0.4.4.9 en 0.4.5.9 gevormd, waardoor DoS-kwetsbaarheden werden geëlimineerd die een Denial of Service voor clients van uienservices en relays konden veroorzaken.
Grote veranderingen:
- De mogelijkheid toegevoegd om uienservices te creëren op basis van de derde versie van het protocol met authenticatie van clienttoegang via bestanden in de directory 'authorized_clients'.
- Voor relays is een vlag toegevoegd waarmee de knooppuntoperator kan begrijpen dat de relay niet is opgenomen in de consensus wanneer servers mappen selecteren (bijvoorbeeld wanneer er te veel relays zijn op één IP-adres).
- Het is mogelijk om congestie-informatie te verzenden in extrainfo-gegevens, die kunnen worden gebruikt voor taakverdeling in het netwerk. Metrische transmissie wordt bestuurd met behulp van de optie OverloadStatistics in torrc.
- De mogelijkheid om de intensiteit van clientverbindingen met relais te beperken is toegevoegd aan het DoS-aanvalsbeschermingssubsysteem.
- Relays implementeren de publicatie van statistieken over het aantal uiendiensten op basis van de derde versie van het protocol en het volume van hun verkeer.
- Ondersteuning voor de DirPorts-optie is verwijderd uit de relaiscode, die niet wordt gebruikt voor dit type knooppunt.
- De code is opnieuw bewerkt. Het DoS-aanvalsbeschermingssubsysteem is verplaatst naar de subsys-manager.
- Ondersteuning voor oude uiendiensten op basis van de tweede versie van het protocol, die een jaar geleden achterhaald werd verklaard, is stopgezet. De volledige verwijdering van de code die bij de tweede versie van het protocol hoort, wordt in het najaar verwacht. De tweede versie van het protocol is ongeveer 16 jaar geleden ontwikkeld en kan vanwege het gebruik van verouderde algoritmen onder moderne omstandigheden niet als veilig worden beschouwd. Twee en een half jaar geleden, in release 0.3.2.9, kregen gebruikers de derde versie van het protocol voor uienservices aangeboden, opmerkelijk vanwege de overgang naar adressen van 56 tekens, betrouwbaardere bescherming tegen datalekken via directoryservers, een uitbreidbare modulaire structuur en het gebruik van SHA3-, ed25519- en curve25519-algoritmen in plaats van SHA1, DH en RSA-1024.
- Kwetsbaarheden opgelost:
- CVE-2021-34550 – toegang tot een geheugengebied buiten de toegewezen buffer in de code voor het parseren van uienservicedescriptors op basis van de derde versie van het protocol. Een aanvaller kan, door een speciaal ontworpen uienservice-descriptor te plaatsen, elke client die probeert toegang te krijgen tot deze uienservice, laten crashen.
- CVE-2021-34549 - Een mogelijke denial-of-service-aanval op relais. Een aanvaller kan ketens vormen met identificatiegegevens die botsingen in hashfuncties veroorzaken, waarvan de verwerking resulteert in een zware belasting van de CPU.
- CVE-2021-34548 - Een relay kan RELAY_END- en RELAY_RESOLVED-cellen vervalsen in halfgesloten threads, waardoor een thread kan worden beëindigd die is gemaakt zonder de deelname van deze relay.
- TROVE-2021-004 - Extra controles toegevoegd op fouten bij het aanroepen van de OpenSSL willekeurige nummergenerator (met de standaard RNG-implementatie in OpenSSL treden dergelijke fouten niet op).
Bron: opennet.ru