Πριν λίγα ανακοινώθηκε η κυκλοφορία της νέας έκδοσης Tor 0.4.6.5 οι οποίες θεωρείται ως η πρώτη σταθερή έκδοση του κλάδου 0.4.6, που έχει εξελιχθεί τους τελευταίους πέντε μήνες.
Υποκατάστημα 0.4.6 θα διατηρηθεί ως μέρος ενός τακτικού κύκλου συντήρησης· Οι ενημερώσεις θα διακοπούν 9 μήνες ή 3 μήνες μετά την κυκλοφορία του κλάδου 0.4.7.x, επιπλέον της συνέχισης της παροχής Long Cycle Support (LTS) για τον κλάδο 0.3.5, με ενημερώσεις να κυκλοφορούν έως την 1η Φεβρουαρίου 2022.
Ταυτόχρονα, δημιουργήθηκαν οι εκδόσεις Tor 0.3.5.15, 0.4.4.9 και 0.4.5.9, οι οποίες διόρθωσαν τις ευπάθειες DoS που θα μπορούσαν να προκαλέσουν άρνηση υπηρεσίας σε πελάτες υπηρεσιών onion και αναμετάδοσης.
Κύρια νέα χαρακτηριστικά του Tor 0.4.6.5
Σε αυτήν τη νέα έκδοση πρόσθεσε τη δυνατότητα δημιουργίας «υπηρεσιών onion» με βάση την τρίτη έκδοση του πρωτοκόλλου με έλεγχο ταυτότητας πρόσβασης πελάτη μέσω αρχείων στον κατάλογο «authorized_clients».
Εκτός αυτού επίσης παρείχε τη δυνατότητα μετάδοσης πληροφοριών συμφόρησης σε δεδομένα extrainfo που μπορεί να χρησιμοποιηθεί για την εξισορρόπηση του φορτίου στο δίκτυο. Η μέτρηση μεταφοράς ελέγχεται από την επιλογή OverloadStatistics στο torrc.
Μπορεί επίσης να διαπιστώσουμε ότι έχει προστεθεί μια σημαία για ρελέ που επιτρέπει στον χειριστή του κόμβου να κατανοήσει ότι ο αναμεταδότης δεν περιλαμβάνεται στη συναίνεση όταν οι διακομιστές επιλέγουν καταλόγους (για παράδειγμα, όταν υπάρχουν πάρα πολλοί αναμεταδότες σε μία διεύθυνση IP).
Από την άλλη πλευρά αναφέρεται ότι αφαίρεσε την υποστήριξη για παλαιότερες υπηρεσίες που βασίζονται σε κρεμμύδι στη δεύτερη έκδοση του πρωτοκόλλου, το οποίο κηρύχθηκε απαρχαιωμένο πριν από ένα χρόνο. Η πλήρης αφαίρεση του κώδικα που σχετίζεται με τη δεύτερη έκδοση του πρωτοκόλλου αναμένεται το φθινόπωρο. Η δεύτερη έκδοση του πρωτοκόλλου αναπτύχθηκε πριν από περίπου 16 χρόνια και λόγω της χρήσης απαρχαιωμένων αλγορίθμων, δεν μπορεί να θεωρηθεί ασφαλής υπό τις σύγχρονες συνθήκες.
Πριν από δυόμισι χρόνια, στην έκδοση 0.3.2.9, η τρίτη έκδοση του πρωτοκόλλου προσφέρθηκε στους χρήστες, αξιοσημείωτη για τη μετάβαση σε διευθύνσεις 56 χαρακτήρων, την πιο αξιόπιστη προστασία από διαρροές δεδομένων μέσω διακομιστών καταλόγου, μια επεκτάσιμη αρθρωτή δομή και τη χρήση των SHA3, ed25519, και curve25519hms1, και curve1024, S.
Από τα τρωτά σημεία που διορθώθηκαν αναφέρονται τα ακόλουθα:
- CVE-2021-34550: Πρόσβαση σε μια περιοχή μνήμης εκτός του buffer που έχει εκχωρηθεί σε κώδικα για την ανάλυση των περιγραφών των υπηρεσιών onion με βάση την τρίτη έκδοση του πρωτοκόλλου. Ένας εισβολέας μπορεί, τοποθετώντας μια ειδικά κατασκευασμένη περιγραφή υπηρεσίας onion, να ξεκινήσει τον αποκλεισμό οποιουδήποτε πελάτη επιχειρεί να αποκτήσει πρόσβαση σε αυτήν την υπηρεσία onion.
- CVE-2021-34549 – Δυνατότητα εκτέλεσης επίθεσης που προκαλεί άρνηση εξυπηρέτησης των ρελέ. Ένας εισβολέας μπορεί να σχηματίσει συμβολοσειρές με αναγνωριστικά που προκαλούν συγκρούσεις συναρτήσεων κατακερματισμού, η επεξεργασία των οποίων οδηγεί σε υψηλό φορτίο της CPU.
- CVE-2021-34548 – Ένα ρελέ θα μπορούσε να παραπλανήσει τα κελιά RELAY_END και RELAY_RESOLVED σε ημίκλειστες ροές, επιτρέποντας τον τερματισμό μιας ροής που δημιουργήθηκε χωρίς τη συμμετοχή αυτού του ρελέ.
- TROVE-2021-004 – Προστέθηκαν πρόσθετοι έλεγχοι για αστοχίες κατά την πρόσβαση στο OpenSSL RNG (με την προεπιλεγμένη υλοποίηση RNG στο OpenSSL, τέτοιες αποτυχίες δεν εμφανίζονται).
Από τις άλλες αλλαγές που ξεχωρίζουν:
- Η δυνατότητα περιορισμού της ισχύος των συνδέσεων πελάτη με ρελέ έχει προστεθεί στο υποσύστημα προστασίας DoS.
- Στα ρελέ υλοποιείται η δημοσίευση στατιστικών για τον αριθμό των υπηρεσιών onion με βάση την τρίτη έκδοση του πρωτοκόλλου και τον όγκο της κυκλοφορίας τους.
- Καταργήθηκε η υποστήριξη για την επιλογή DirPorts από τον κώδικα για ρελέ, ο οποίος δεν χρησιμοποιείται για αυτόν τον τύπο κόμβου.
Ανακατασκευή κώδικα. - Το υποσύστημα προστασίας DoS έχει μετακινηθεί στη διαχείριση υποσυστήματος.
Τελικά αν ενδιαφέρεστε να μάθετε περισσότερα γι 'αυτό σχετικά με αυτήν τη νέα έκδοση, μπορείτε να δείτε τις λεπτομέρειες στο τον ακόλουθο σύνδεσμο.
Πώς να αποκτήσετε το Tor 0.4.6.5;
Για να αποκτήσετε αυτήν τη νέα έκδοση, απλώς μεταβείτε στον επίσημο ιστότοπο του έργου και στην ενότητα λήψης μπορούμε να λάβουμε τον πηγαίο κώδικα για τη συλλογή του. Μπορείτε να λάβετε τον πηγαίο κώδικα από το παρακάτω σύνδεσμο.
Ενώ για την ειδική περίπτωση των χρηστών Arch Linux μπορούμε να το αποκτήσουμε από το αποθετήριο AUR. Μόνο τη στιγμή που το πακέτο δεν έχει ενημερωθεί, μπορείτε να το παρακολουθήσετε από τον παρακάτω σύνδεσμο και μόλις είναι διαθέσιμο μπορείτε να πραγματοποιήσετε την εγκατάσταση πληκτρολογώντας την ακόλουθη εντολή:
yay -S tor-git