Pochi fa è stato annunciato il rilascio della nuova versione Tor 0.4.6.5 che è considerata la prima versione stabile del ramo 0.4.6, che si è evoluto negli ultimi cinque mesi.
Ramo 0.4.6 saranno mantenuti come parte di un ciclo di manutenzione regolare; Gli aggiornamenti verranno interrotti 9 mesi o 3 mesi dopo il rilascio del ramo 0.4.7.x, oltre a continuare a fornire un lungo ciclo di supporto (LTS) per il ramo 0.3.5, i cui aggiornamenti verranno rilasciati fino al 1 febbraio 2022.
Allo stesso tempo, sono state create le versioni Tor 0.3.5.15, 0.4.4.9 e 0.4.5.9, che hanno risolto le vulnerabilità DoS che potevano causare il denial of service ai client dei servizi Onion e Relay.
Principali novità di Tor 0.4.6.5
In questa nuova versione aggiunta la possibilità di creare "servizi cipolla" basati sulla terza versione del protocollo con autenticazione dell'accesso client tramite file nella directory 'authorized_clients'.
Oltre a questo anche è stata fornita la possibilità di passare le informazioni sulla congestione nei dati extrainfo che può essere utilizzato per bilanciare il carico sulla rete. Il trasferimento della metrica è controllato dall'opzione OverloadStatistics in torrc.
Potremmo anche scoprire che è stato aggiunto un flag per i relè che consente all'operatore del nodo di capire che il relè non è incluso nel consenso quando i server selezionano le directory (ad esempio, quando ci sono troppi relè in un indirizzo IP).
D'altra parte si è detto che il supporto per i vecchi servizi basati su onion è stato rimosso Nella seconda versione del protocollo, dichiarato obsoleto un anno fa. La rimozione completa del codice associato alla seconda versione del protocollo è prevista in autunno. La seconda versione del protocollo è stata sviluppata circa 16 anni fa e, a causa dell'uso di algoritmi obsoleti, non può essere considerata sicura in condizioni moderne.
Due anni e mezzo fa, nella versione 0.3.2.9, è stata offerta agli utenti la terza versione del protocollo, che si distingue per il passaggio a indirizzi di 56 caratteri, una protezione più affidabile contro le fughe di dati attraverso i server di directory, una struttura modulare estensibile e il utilizzo degli algoritmi SHA3, ed25519 e curve25519 al posto di SHA1, DH e RSA-1024.
Delle vulnerabilità risolte sono menzionati i seguenti:
- CVE-2021-34550: accesso ad un'area di memoria esterna al buffer allocato nel codice per analizzare i descrittori di servizio onion basati sulla terza versione del protocollo. Un utente malintenzionato può, inserendo un descrittore di servizio onion appositamente predisposto, avviare il blocco di qualsiasi client che tenti di accedere a questo servizio onion.
- CVE-2021-34549 - Capacità di effettuare un attacco che provoca la negazione del servizio dei relè. Un utente malintenzionato può formare stringhe con identificatori che causano collisioni nella funzione hash, la cui elaborazione porta a un carico elevato sulla CPU.
- CVE-2021-34548 - Un relè potrebbe falsificare le celle RELAY_END e RELAY_RESOLVED in flussi semichiusi, consentendo di terminare un flusso creato senza il coinvolgimento di questo relè.
- TROVE-2021-004: Aggiunti controlli aggiuntivi per rilevare errori durante l'accesso al generatore di numeri casuali OpenSSL (con l'implementazione predefinita di RNG in OpenSSL, tali errori non vengono visualizzati).
Delle altre modifiche che risaltano:
- La capacità di limitare la forza delle connessioni client ai relè è stata aggiunta al sottosistema di protezione DoS.
- Nei relè, viene implementata la pubblicazione di statistiche sul numero di servizi onion in base alla terza versione del protocollo e al volume del loro traffico.
- Il supporto per l'opzione DirPorts è stato rimosso dal codice per i relè, che non viene utilizzato per questo tipo di nodo.
Refactoring del codice. - Il sottosistema di protezione DoS è stato spostato nel gestore del sottosistema.
Infine se sei interessato a saperne di più riguardo a questa nuova versione, puoi controllare i dettagli in il seguente collegamento.
Come ottenere Tor 0.4.6.5?
Per ottenere questa nuova versione, basta andare sul sito ufficiale del progetto e nella sua sezione download possiamo ottenere il codice sorgente per la sua compilazione. Puoi ottenere il codice sorgente da seguente link
Mentre per il caso speciale degli utenti di Arch Linux possiamo ottenerlo dal repository AUR. Solo al momento il pacchetto non è stato aggiornato, puoi monitorarlo dal seguente collegamento e appena disponibile è possibile eseguire l'installazione digitando il seguente comando:
yay -S tor-git