Tor anonim tarmog'ining ishlashini tashkil qilish uchun foydalaniladigan Tor asboblar to'plamining (0.3.5.11, 0.4.2.8, 0.4.3.6 va 4.4.2-alfa) tuzatuvchi versiyalari. Yangi versiyalarda o'chirildi (CVE-2020-15572), ajratilgan bufer chegarasidan tashqarida xotiraga kirish natijasida yuzaga kelgan. Zaiflik masofaviy tajovuzkorga tor jarayonining ishdan chiqishiga olib kelishiga imkon beradi. Muammo faqat NSS kutubxonasi bilan qurishda paydo bo'ladi (sukut bo'yicha Tor OpenSSL bilan qurilgan va NSS-dan foydalanish “-enable-nss” bayrog'ini ko'rsatishni talab qiladi).
Qo'shimcha ravishda piyoz xizmatlari protokolining ikkinchi versiyasini qo'llab-quvvatlashni to'xtatishni rejalashtirish (ilgari yashirin xizmatlar deb ataladi). Bir yarim yil oldin, 0.3.2.9 versiyasida foydalanuvchilar bor edi 56 belgili manzillarga o'tish, katalog serverlari orqali ma'lumotlar sizib chiqishidan ishonchli himoya, kengaytiriladigan modulli tuzilma va SHA3, DH va o'rniga SHA25519, ed25519 va curve1 algoritmlaridan foydalanish bilan ajralib turadigan piyoz xizmatlari uchun protokolning uchinchi versiyasi. RSA-1024.
Protokolning ikkinchi versiyasi taxminan 15 yil oldin ishlab chiqilgan va eskirgan algoritmlardan foydalanish tufayli zamonaviy sharoitda xavfsiz deb hisoblanmaydi. Eski filiallarni qo'llab-quvvatlash muddati tugashini hisobga olgan holda, hozirgi vaqtda har qanday Tor shlyuzi yangi piyoz xizmatlarini yaratishda sukut bo'yicha taklif qilinadigan protokolning uchinchi versiyasini qo'llab-quvvatlaydi.
15-yil 2020-sentabrda Tor operatorlar va mijozlarni protokolning ikkinchi versiyasi eskirganligi haqida ogohlantirishni boshlaydi. 15-yil 2021-iyulda protokolning ikkinchi versiyasini qo‘llab-quvvatlash kodlar bazasidan olib tashlanadi va 15-yil 2021-oktabrda Torning yangi barqaror versiyasi eski protokolni qo‘llab-quvvatlamasdan chiqariladi. Shunday qilib, eski piyoz xizmatlarining egalari protokolning yangi versiyasiga o'tish uchun 16 oyga ega, bu esa xizmat uchun 56 belgidan iborat yangi manzilni yaratishni talab qiladi.
Manba: opennet.ru
