{"id":111112,"date":"2023-10-26T21:10:14","date_gmt":"2023-10-26T19:10:15","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/rezultaty-audita-tor-browser-i-komponentov-infrastruktury-tor"},"modified":"2023-10-26T21:10:14","modified_gmt":"2023-10-26T19:10:15","slug":"rezultaty-audita-tor-browser-i-komponentov-infrastruktury-tor","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/news\/rezultaty-audita-tor-browser-i-komponentov-infrastruktury-tor","title":{"rendered":"Wyniki audytu przegl\u0105darki Tor i komponent\u00f3w infrastruktury Tor","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Deweloperzy anonimowej sieci Tor opublikowali wyniki audytu przegl\u0105darki Tor Browser oraz rozwijanych narz\u0119dzi OONI Probe, rdsys, BridgeDB i Conjure, kt\u00f3re s\u0105 u\u017cywane do omijania cenzury. Audyt zosta\u0142 przeprowadzony przez firm\u0119 Cure53 od listopada 2022 roku do kwietnia 2023 roku. <\/p>\n

W trakcie kontroli zidentyfikowano 9 luk, z kt\u00f3rych dwie zosta\u0142y uznane za niebezpieczne, jedna mia\u0142a \u015bredni poziom zagro\u017cenia, a 6 zosta\u0142o sklasyfikowanych jako problemy o nieznacznym poziomie zagro\u017cenia. W kodzie \u017ar\u00f3d\u0142owym znaleziono tak\u017ce 10 problem\u00f3w, kt\u00f3re nie by\u0142y zwi\u0105zane z bezpiecze\u0144stwem. Og\u00f3lnie kod projektu Tor zosta\u0142 oceniony jako zgodny z praktykami bezpiecznego programowania. <\/p>\n

Pierwsza niebezpieczna luka wyst\u0119powa\u0142a w backendzie rozproszonego systemu rdsys, kt\u00f3ry zapewnia dostarczanie zasob\u00f3w u\u017cytkownikom podlegaj\u0105cym cenzurze, takich jak listy proxy i linki do pobrania. Luka ta by\u0142a spowodowana brakiem uwierzytelnienia przy dost\u0119pie do obs\u0142ugi rejestracji zasob\u00f3w, co pozwala\u0142o atakuj\u0105cemu zarejestrowa\u0107 w\u0142asny z\u0142o\u015bliwy zas\u00f3b do dostarczenia u\u017cytkownikom. Eksploatacja polega\u0142a na wys\u0142aniu \u017c\u0105dania HTTP do obs\u0142ugi rdsys.

\"Wyniki<\/center> <\/p>\n

Druga niebezpieczna luka zosta\u0142a znaleziona w Tor Browser i by\u0142a spowodowana brakiem weryfikacji podpisu cyfrowego podczas pobierania listy w\u0119z\u0142\u00f3w mostowych przez rdsys i BridgeDB. Poniewa\u017c lista jest \u0142adowana do przegl\u0105darki na etapie przed po\u0142\u0105czeniem z anonimow\u0105 sieci\u0105 Tor, brak weryfikacji podpisu cyfrowego pozwala\u0142 atakuj\u0105cemu na podmienienie zawarto\u015bci listy, na przyk\u0142ad poprzez przechwycenie po\u0142\u0105czenia lub w\u0142amanie, serwera<\/a>, przez kt\u00f3re rozprzestrzeniana jest lista. W przypadku udanego ataku, przest\u0119pca m\u00f3g\u0142 zorganizowa\u0107 po\u0142\u0105czenie u\u017cytkownik\u00f3w przez w\u0142asny skompromitowany w\u0119ze\u0142 mostowy. <\/p>\n

Luka \u015bredniego zagro\u017cenia wyst\u0119powa\u0142a w podsystemie rdsys w skrypcie wdra\u017cania kompilacji i pozwala\u0142a atakuj\u0105cemu na podniesienie swoich uprawnie\u0144 z u\u017cytkownika nobody do u\u017cytkownika rdsys, je\u015bli mia\u0142 dost\u0119p do serwera<\/a> i mo\u017cliwo\u015b\u0107 zapisu w katalogu z plikami tymczasowymi. Eksploatacja luki polega\u0142a na zast\u0105pieniu umieszczonego w katalogu \/tmp pliku wykonywalnego. Uzyskanie praw u\u017cytkownika rdsys pozwala atakuj\u0105cemu na wprowadzenie zmian w uruchamianych przez rdsys plikach wykonywalnych. <\/p>\n

Wra\u017cliwo\u015bci o niskim stopniu ryzyka by\u0142y g\u0142\u00f3wnie zwi\u0105zane z u\u017cywaniem przestarza\u0142ych zale\u017cno\u015bci, w kt\u00f3rych wyst\u0119powa\u0142y znane luki lub mo\u017cliwo\u015bci\u0105 wyst\u0105pienia odmowy us\u0142ugi. W\u015br\u00f3d nieznacz\u0105cych luk w Tor Browser zauwa\u017cono mo\u017cliwo\u015b\u0107 obej\u015bcia zakazu uruchamiania JavaScript przy najwy\u017cszym poziomie ochrony, brak ogranicze\u0144 dotycz\u0105cych przesy\u0142ania plik\u00f3w oraz potencjalny wyciek informacji przez stron\u0119 domow\u0105 u\u017cytkownika, co pozwala na \u015bledzenie u\u017cytkownik\u00f3w pomi\u0119dzy restarami. <\/p>\n

Obecnie wszystkie luki zosta\u0142y usuni\u0119te, mi\u0119dzy innymi wprowadzono autoryzacj\u0119 dla wszystkich obs\u0142ugiwaczy rdsys oraz dodano weryfikacj\u0119 przesy\u0142anych do Tor Browser list za pomoc\u0105 cyfrowego podpisu. <\/p>\n

Dodatkowo warto wspomnie\u0107 o wydaniu przegl\u0105darki Tor Browser 13.0.1. Wydanie to jest zsynchronizowane z kodem \u017ar\u00f3d\u0142owym Firefox 115.4.0 ESR, w kt\u00f3rym naprawiono 19 luk (13 uznano za niebezpieczne). Poprawki luk z ga\u0142\u0119zi Firefox 119 zosta\u0142y przeniesione do wersji Tor Browser 13.0.1 na Androida.
\n
\u0179r\u00f3d\u0142o: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0420\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a\u0438 \u0430\u043d\u043e\u043d\u0438\u043c\u043d\u043e\u0439 \u0441\u0435\u0442\u0438 Tor \u043e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043b\u0438 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u044b \u0430\u0443\u0434\u0438\u0442\u0430 \u0431\u0440\u0430\u0443\u0437\u0435\u0440\u0430 Tor Browser \u0438 \u0440\u0430\u0437\u0432\u0438\u0432\u0430\u0435\u043c\u044b\u0445 \u043f\u0440\u043e\u0435\u043a\u0442\u043e\u043c \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u0430\u0440\u0438\u0435\u0432 OONI Probe, rdsys, BridgeDB \u0438 Conjure, \u043f\u0440\u0438\u043c\u0435\u043d\u044f\u0435\u043c\u044b\u0445 \u0434\u043b\u044f \u043e\u0431\u0445\u043e\u0434\u0430 \u0446\u0435\u043d\u0437\u0443\u0440\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f. \u0410\u0443\u0434\u0438\u0442 \u043f\u0440\u043e\u0432\u043e\u0434\u0438\u043b\u0441\u044f \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0435\u0439 Cure53 \u0441 \u043d\u043e\u044f\u0431\u0440\u044f 2022 \u0433\u043e\u0434\u0430 \u043f\u043e \u0430\u043f\u0440\u0435\u043b\u044c 2023 \u0433\u043e\u0434\u0430. \u0412 \u0445\u043e\u0434\u0435 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438 \u0431\u044b\u043b\u0438 \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u044b 9 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0435\u0439, \u0434\u0432\u0435 \u0438\u0437 \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u043e\u0442\u043d\u0435\u0441\u0435\u043d\u044b \u043a \u043a\u0430\u0442\u0435\u0433\u043e\u0440\u0438\u0438 \u043e\u043f\u0430\u0441\u043d\u044b\u0445, \u043e\u0434\u043d\u043e\u0439 \u043f\u0440\u0438\u0441\u0432\u043e\u0435\u043d \u0441\u0440\u0435\u0434\u043d\u0438\u0439 \u0443\u0440\u043e\u0432\u0435\u043d\u044c \u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438, […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":111113,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-111112","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Wyniki audytu Tor Browser i komponent\u00f3w infrastruktury Tor | ProHoster","description":"Programi\u015bci anonimowej sieci Tor opublikowali wyniki audytu przegl\u0105darki Tor Browser oraz rozwijanych przez projekt narz\u0119dzi OONI Probe, rdsys, BridgeDB i Conjure, u\u017cywanych do omijania cenzury.","canonical_url":"https:\/\/prohoster.info\/pl\/blog\/news\/rezultaty-audita-tor-browser-i-komponentov-infrastruktury-tor","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"pl_PL","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0420\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u044b \u0430\u0443\u0434\u0438\u0442\u0430 Tor Browser \u0438 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u043e\u0432 \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u044b Tor | ProHoster","og:description":"\u0420\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a\u0438 \u0430\u043d\u043e\u043d\u0438\u043c\u043d\u043e\u0439 \u0441\u0435\u0442\u0438 Tor \u043e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043b\u0438 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u044b \u0430\u0443\u0434\u0438\u0442\u0430 \u0431\u0440\u0430\u0443\u0437\u0435\u0440\u0430 Tor Browser \u0438 \u0440\u0430\u0437\u0432\u0438\u0432\u0430\u0435\u043c\u044b\u0445 \u043f\u0440\u043e\u0435\u043a\u0442\u043e\u043c \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u0430\u0440\u0438\u0435\u0432 OONI Probe, rdsys, BridgeDB \u0438 Conjure, \u043f\u0440\u0438\u043c\u0435\u043d\u044f\u0435\u043c\u044b\u0445 \u0434\u043b\u044f \u043e\u0431\u0445\u043e\u0434\u0430 \u0446\u0435\u043d\u0437\u0443\u0440\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f.","og:url":"https:\/\/prohoster.info\/pl\/blog\/news\/rezultaty-audita-tor-browser-i-komponentov-infrastruktury-tor","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2023-10-26T19:10:15+00:00","article:modified_time":"2023-10-26T19:10:15+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"111112","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":"default","schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2026-02-09 21:42:05","updated":"2026-02-22 15:31:12","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/posts\/111112","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/comments?post=111112"}],"version-history":[{"count":2,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/posts\/111112\/revisions"}],"predecessor-version":[{"id":162425,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/posts\/111112\/revisions\/162425"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/media\/111113"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/media?parent=111112"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/categories?post=111112"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/tags?post=111112"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}