| Автор |
Сообщение |
Maximus ®
Вольный стрелок
Uploader 100+
Стаж: 17 лет 7 мес.
Сообщений: 5119
Ratio: 25.179
Поблагодарили: 13238
100%
|
Разработчики анонимной сети Tor опубликовали результаты аудита браузера Tor Browser и развиваемых проектом инструментариев OONI Probe, rdsys, BridgeDB и Conjure, применяемых для анонимных сетевых соединений, защищённых от прослушивания и механизмов анализа трафика.
Проверке подверглись Tor Browser, OONI Probe, rdsys, BridgeDB и Conjure. Было выявлено 9 уязвимостей, две из которых носят критический характер.
Tor Project отмечает, что:
«Аудит безопасности важен: он выявляет «слепые пятна», устраняет предположительные недостатки и показывает нам способы улучшения общего состояния безопасности» .
Аудит проводился компанией Cure53 с ноября 2022 года по апрель 2023 года. В ходе проверки были выявлены 9 уязвимостей, две из которые отнесены к категории опасных, одной присвоен средний уровень опасности, а 6 отнесены к проблемам с незначительным уровнем опасности. Также в кодовой базе было найдено 10 проблем, отнесённых к категории не связанных с безопасностью недоработок.
| ! | В целом код проекта Tor отмечен как соответствующий практикам безопасного программирования. |
Были обнаружены следующие проблемы:
- Первая опасная уязвимость в rdsys: Уязвимость была обнаружена в бэкенде rdsys, который используется для доставки различных ресурсов пользователям, в том числе списков прокси и ссылок для загрузки. Проблема заключалась в отсутствии аутентификации при обращении к регистрационному обработчику ресурсов. Это давало возможность атакующему зарегистрировать свой вредоносный ресурс и предоставить его пользователям. Эксплуатировать уязвимость можно было, отправив HTTP-запрос к обработчику rdsys.
- Вторая опасная уязвимость в Tor Browser: Проблема была связана с отсутствием проверки цифровой подписи при загрузке списка мостов через rdsys и BridgeDB. Поскольку этот список загружается до подключения к анонимной сети Tor, возможна подмена содержимого списка атакующим, например, через перехват соединения. Это могло привести к тому, что пользователи подключались бы через компрометированные мостовые узлы, контролируемые злоумышленником.
- Уязвимость средней степени опасности в rdsys: Уязвимость была обнаружена в подсистеме rdsys в скрипте развёртывания сборок. Она позволяла атакующему повысить свои привилегии с уровня пользователя nobody до пользователя rdsys, при наличии доступа к серверу и возможности записи в каталог с временными файлами. Эксплуатация уязвимости сводится к замене размещаемого в каталоге /tmp исполняемого файла. Получение прав пользователя rdsys позволяет атакующему внести изменения в запускаемые через rdsys исполняемые файлы.
- Уязвимости низкой степени опасности: Большинство из них были связаны с использованием устаревших библиотек, содержащих известные уязвимости, или с возможностью совершения отказа в обслуживании. В Tor Browser, например, была возможность обойти запрет выполнения JavaScript при выставлении высшего уровня защиты, отсутствие ограничений по загрузке файлов и потенциальная утечка информации через пользовательскую домашнюю страницу, позволяющая отслеживать пользователей между перезапусками.
На текущий момент все уязвимости были исправлены. Кроме того, внедрены дополнительные меры безопасности, включая аутентификацию для всех компонентов rdsys и проверку цифровых подписей при загрузке списков в Tor Browser.
Дополнительно можно отметить выпуск браузера Tor Browser версии 13.0.1, которая основана на Firefox 115.4.0 ESR, и в ней было исправлено 19 уязвимостей . В Tor Browser 13.0.1 для Android перенесены исправления уязвимостей из ветки Firefox 119.
Источник |
|
|
 |
onacura
Только чтение
Стаж: 9 лет 1 мес.
Сообщений: 731
Ratio: 5.088
Раздал: 18.51 TB
100%
Откуда: САМОСТІЙНА УКРАЇНА
|
f_blaizer писал(а):  | Сам тор мне не понравился по этому быстро его удалил. А вот броузер BRAVE со встроенным TOR прижился, им хожу на российские сайты. Местные новости давно противно слушать , а евроньюс я прозвал новостной помойкой. |
а не лучше на родину вернуться и как говорят напрямую из источника черпать...... |
_________________
мы не просто живем во вселенной, это вселенная живет внутри нас.
|
|
|
|
vladnig
Стаж: 11 лет 4 мес.
Сообщений: 21
Ratio: 131.786
100%
|
| avb85 писал(а): | | NoNameUser2387 писал(а): | | admiking писал(а): | возникает вопрос сколько же людей по настоящему пользуется браузером не для каких либо незаконных действий? |
Возникает такой же вопрос - сколько же людей по настоящему пользуется ножом не для каких либо незаконных действий? По сабжу, обновил, работает кое как через мосты. |
У меня вот с этими мостами проблема. Запрашиваю их на почту гугловскую, но ничего не присылают. И хочу знать где их брать |
Tor Relay Scanner в помощь |
|
|
|
|
DrProducer
Стаж: 1 год 3 мес.
Сообщений: 9
Ratio: 10.566
Раздал: 2.38 TB
51.22%
|
| avb85 писал(а): | У меня вот с этими мостами проблема. Запрашиваю их на почту гугловскую, но ничего не присылают. И хочу знать где их брать |
Попробуй телеграм бот https://t.me/GetBridgesBot Если мост начинает тупить запрашиваю новый, работает лучше. |
|
|
|
|
TMFan
Стаж: 12 лет 3 мес.
Сообщений: 117
Ratio: 15.976
Поблагодарили: 557
100%
|
| f_blaizer писал(а): | Сам тор мне не понравился по этому быстро его удалил. А вот броузер BRAVE со встроенным TOR прижился, им хожу на российские сайты. Местные новости давно противно слушать , а евроньюс я прозвал новостной помойкой. |
Хех! BRAVE 🦁 тот ещё шпион: https://www.youtube.com/watch?v=-QX251nxG9c |
|
|
|
|
|
|
|
