Anonimlik, xavfsizlik va maxfiylikni ta'minlashga qaratilgan Tor Browser 11.0.2 ixtisoslashtirilgan brauzerining chiqarilishi taqdim etildi. Tor brauzeridan foydalanganda barcha trafik faqat Tor tarmog'i orqali yo'naltiriladi va joriy tizimning standart tarmoq ulanishi orqali to'g'ridan-to'g'ri kirish mumkin emas, bu foydalanuvchining haqiqiy IP-manzilini kuzatishga imkon bermaydi (agar brauzer buzilgan bo'lsa, tajovuzkorlar). tizim tarmog'i parametrlariga kirish imkoniyatiga ega bo'lishi mumkin, shuning uchun to'liq uchun Mumkin bo'lgan oqishlarni blokirovka qilish uchun Whonix kabi mahsulotlardan foydalanishingiz kerak). Tor brauzeri tuzilmalari Linux, Windows va macOS uchun tayyorlangan.
Qo'shimcha xavfsizlikni ta'minlash uchun Tor brauzeri HTTPS Everywhere plaginini o'z ichiga oladi, bu sizga iloji boricha barcha saytlarda trafikni shifrlashdan foydalanish imkonini beradi. JavaScript hujumlari xavfini kamaytirish va plaginlarni sukut bo'yicha bloklash uchun NoScript qo'shimchasi kiritilgan. Yo'l harakati blokirovkasi va tekshiruviga qarshi kurashish uchun muqobil transportdan foydalaniladi. Mehmonlarga xos xususiyatlarni ajratib ko‘rsatishdan himoya qilish uchun WebGL, WebGL2, WebAudio, Social, SpeechSynthesis, Touch, AudioContext, HTMLMediaElement, Mediastream, Canvas, SharedWorker, WebAudio, Permissions, MediaDevices.enumerateDevices va displey.orientation API’lari yoki displey.orientation cheklangan. . telemetriya yuborish vositalari, Pocket, Reader View, HTTP Alternativ-Xizmatlar, MozTCPSocket, "link rel=preconnect", libmdns tomonidan o'zgartirilgan.
Yangi versiya Firefox 91.4.0 versiyasining kod bazasi bilan sinxronlashtiriladi, u 15 ta zaiflikni tuzatdi, ulardan 10 tasi xavfli deb belgilangan. 7 zaifliklar xotira bilan bog'liq muammolar, masalan, buferning to'lib ketishi va allaqachon bo'shatilgan xotira maydonlariga kirish tufayli yuzaga keladi va maxsus mo'ljallangan sahifalarni ochishda tajovuzkor kodining bajarilishiga olib kelishi mumkin. Ba'zi ttf shriftlari Linux platformasi uchun tuzilishdan chiqarib tashlandi, ulardan foydalanish Fedora Linux-da interfeys elementlarida matnni ko'rsatishning buzilishiga olib keldi. “Network.proxy.allow_bypass” sozlamasi o‘chirib qo‘yilgan, u qo‘shimcha dasturlarda Proksi API-dan noto‘g‘ri foydalanishdan himoya qilish faoliyatini nazorat qiladi. Obfs4 transporti uchun yangi "deusexmachina" shlyuzi sukut bo'yicha yoqilgan.
Ayni paytda Rossiya Federatsiyasida Torni blokirovka qilish hikoyasi davom etmoqda. Roskomnadzor taqiqlangan saytlar reestridagi bloklangan domenlar niqobini “www.torproject.org” dan “*.torproject.org” ga o‘zgartirdi va bloklanishi mumkin bo‘lgan IP manzillar ro‘yxatini kengaytirdi. O'zgartirish Tor loyihasining ko'pgina subdomenlari, jumladan blog.torproject.org, gettor.torproject.org va support.torproject.org bloklanishiga olib keldi. Discourse infratuzilmasida joylashgan forum.torproject.net mavjud bo'lib qoladi. Qisman kirish mumkin bo'lgan gitlab.torproject.org va lists.torproject.org ga kirish dastlab yo'qolgan, lekin keyinchalik IP manzillarini o'zgartirgandan keyin tiklangan (gitlab endi gitlab-02.torproject.org xostiga yo'naltirilgan).
Shu bilan birga, Tor tarmog'ining shlyuzlari va tugunlari, shuningdek meek-asure transportida foydalaniladigan ajax.aspnetcdn.com (Microsoft CDN) xosti endi bloklanmadi. Ko'rinishidan, Tor veb-saytini bloklagandan keyin Tor tarmoq tugunlarini blokirovka qilish bo'yicha tajribalar to'xtatildi. Ishlashda davom etayotgan tor.eff.org oynasi bilan qiyin vaziyat yuzaga keladi. Gap shundaki, tor.eff.org oynasi EFF (Elektron chegara jamg'armasi) ning eff.org domeni uchun ishlatiladigan IP-manzilga bog'langan, shuning uchun tor.eff.org ni blokirovka qilish qisman blokirovka qilishga olib keladi. taniqli inson huquqlari tashkilotining sayti.
Bundan tashqari, KAX17 guruhi bilan bog'liq bo'lgan Tor foydalanuvchilarini anonimlashtirishga qaratilgan hujumlarni amalga oshirish bo'yicha mumkin bo'lgan urinishlar to'g'risida yangi hisobot e'lon qilinishini qayd etishimiz mumkin, ular tugun parametrlarida o'ziga xos uydirma aloqa elektron pochta xabarlari bilan aniqlangan. Sentyabr va oktyabr oylarida Tor loyihasi 570 ta potentsial zararli tugunlarni blokladi. O'zining eng yuqori cho'qqisida KAX17 guruhi Tor tarmog'idagi boshqariladigan tugunlar sonini 900 tagacha ko'paytirishga muvaffaq bo'ldi, ular 50 xil provayder tomonidan joylashtirilgan, bu umumiy releylar sonining taxminan 14% ga to'g'ri keladi (taqqoslash uchun, 2014 yilda tajovuzkorlar Tor relelarining deyarli yarmi ustidan nazoratni qo'lga kiriting va 2020 yilda chiqish tugunlarining 23.95% dan yuqori).
Bitta operator tomonidan boshqariladigan ko'p sonli tugunlarni joylashtirish Sybil sinfidagi hujum yordamida foydalanuvchilarni anonimlashtirish imkonini beradi, bu hujumchilar anonimlashtirish zanjiridagi birinchi va oxirgi tugunlar ustidan nazoratga ega bo'lsa, amalga oshirilishi mumkin. Tor zanjiridagi birinchi tugun foydalanuvchining IP-manzilini biladi va oxirgisi so'ralgan manbaning IP-manzilini biladi, bu esa paketdagi paket sarlavhalariga ma'lum bir yashirin yorliq qo'shish orqali so'rovni anonimlashtirishga imkon beradi. kirish tugunining butun anonimlashtirish zanjiri bo'ylab o'zgarishsiz qoladigan tomoni va bu yorliqni chiqish tugunining yon tomonida tahlil qilish. Boshqariladigan chiqish tugunlari yordamida tajovuzkorlar shifrlanmagan trafikka ham o‘zgartirishlar kiritishlari mumkin, masalan, saytlarning HTTPS versiyalariga yo‘naltirishni olib tashlash va shifrlanmagan kontentni tutib olish.
Tor tarmog'i vakillarining so'zlariga ko'ra, kuzda olib tashlangan tugunlarning aksariyati kiruvchi va chiquvchi so'rovlarni qayta ishlash uchun ishlatilmagan, faqat oraliq tugunlar sifatida ishlatilgan. Ba'zi tadqiqotchilarning ta'kidlashicha, tugunlar barcha toifalarga tegishli edi va KAX17 guruhi tomonidan boshqariladigan kirish tuguniga kirish ehtimoli 16% va chiqish tuguniga - 5%. Ammo shunday bo'lsa ham, foydalanuvchining KAX900 tomonidan boshqariladigan 17 ta tugun guruhining kirish va chiqish tugunlariga bir vaqtning o'zida urilishining umumiy ehtimoli 0.8% deb baholanadi. Hujumlarni amalga oshirish uchun KAX17 tugunlaridan foydalanilganligi haqida to'g'ridan-to'g'ri dalil yo'q, ammo potentsial shunga o'xshash hujumlarni inkor etib bo'lmaydi.
Manba: opennet.ru