Weinigen geleden de release van de nieuwe Tor-versie 0.4.6.5 werd aangekondigd welke het wordt beschouwd als de eerste stabiele versie van tak 0.4.6, dat is de afgelopen vijf maanden geëvolueerd.
Tak 0.4.6 het zal worden onderhouden als onderdeel van een regelmatige onderhoudscyclus; Updates worden 9 maanden of 3 maanden na de release van de 0.4.7.x-tak stopgezet, naast het blijven bieden van een lange ondersteuningscyclus (LTS) voor de 0.3.5-tak, waarvan de updates worden vrijgegeven tot 1 februari 2022.
Tegelijkertijd werden Tor-versies 0.3.5.15, 0.4.4.9 en 0.4.5.9 gevormd, die DoS-kwetsbaarheden oplosten die denial-of-service voor Onion- en Relay-serviceclients konden veroorzaken.
Belangrijkste nieuwe kenmerken van Tor 0.4.6.5
In deze nieuwe versie de mogelijkheid toegevoegd om "uienservices" te maken op basis van de derde versie van het protocol met authenticatie van clienttoegang via bestanden in de directory 'authorized_clients'.
Daarnaast ook de mogelijkheid om congestie-informatie door te geven in extrainfo-gegevens werd geboden die kan worden gebruikt om de belasting op het netwerk te verdelen. Metrische overdracht wordt beheerd door de optie OverloadStatistics in torrc.
We kunnen ook ontdekken dat er een vlag is toegevoegd voor de relais waarmee de knooppuntoperator kan begrijpen dat het relais niet is opgenomen in de consensus wanneer servers mappen selecteren (bijvoorbeeld wanneer er te veel relais in één IP-adres zijn).
Aan de andere kant wordt dat vermeld ondersteuning voor oudere uienservices op basis van: In de tweede versie van het protocol, dat een jaar geleden achterhaald werd verklaard. De volledige verwijdering van de code die bij de tweede versie van het protocol hoort, wordt in het najaar verwacht. De tweede versie van het protocol is ongeveer 16 jaar geleden ontwikkeld en door het gebruik van verouderde algoritmen kan het onder moderne omstandigheden niet als veilig worden beschouwd.
Tweeënhalf jaar geleden werd in versie 0.3.2.9 de derde versie van het protocol aan gebruikers aangeboden, opvallend door de overgang naar adressen van 56 tekens, betrouwbaardere bescherming tegen datalekken via directoryservers, een uitbreidbare modulaire opbouw en de gebruik van algoritmen SHA3, ed25519 en curve25519 in plaats van SHA1, DH en RSA-1024.
Van de opgeloste kwetsbaarheden worden genoemd:
- CVE-2021-34550: toegang tot een geheugengebied buiten de buffer die in de code is toegewezen om uienservicedescriptors te ontleden op basis van de derde versie van het protocol. Een aanvaller kan, door een speciaal vervaardigde uienservicedescriptor te plaatsen, de blokkering initiëren van elke client die toegang probeert te krijgen tot deze uienservice.
- CVE-2021-34549 - Mogelijkheid om een aanval uit te voeren die de denial of service van de relais veroorzaakt. Een aanvaller kan strings vormen met identifiers die botsingen veroorzaken in de hash-functie, waarvan de verwerking leidt tot een grote belasting van de CPU.
- CVE-2021-34548 - Een relais kan RELAY_END en RELAY_RESOLVED cellen in semi-gesloten stromen vervalsen, waardoor een stroom kan worden beëindigd die is gemaakt zonder tussenkomst van dit relais.
- TROVE-2021-004: Extra controles toegevoegd om fouten te detecteren bij toegang tot de OpenSSL-generator voor willekeurige getallen (met de standaardimplementatie van RNG in OpenSSL verschijnen dergelijke fouten niet).
Van de andere veranderingen die opvallen:
- De mogelijkheid om de sterkte van clientverbindingen te beperken tot relais is toegevoegd aan het DoS-beveiligingssubsysteem.
- In relais wordt de publicatie van statistieken over het aantal uienservices geïmplementeerd op basis van de derde versie van het protocol en het volume van hun verkeer.
- Ondersteuning voor de DirPorts-optie is verwijderd uit de code voor relais, die niet wordt gebruikt voor dit type knooppunt.
Code refactoring. - Het subsysteem DoS-beveiliging is verplaatst naar de subsysteembeheerder.
Eindelijk als u er meer over wilt weten over deze nieuwe versie kunt u de details inzien de volgende link.
Hoe Tor 0.4.6.5 te krijgen?
Om deze nieuwe versie te krijgen, ga gewoon naar de officiële website van het project en in de downloadsectie kunnen we de broncode voor de compilatie vinden. U kunt de broncode ophalen uit het volgende link.
In het speciale geval van Arch Linux-gebruikers kunnen we het echter verkrijgen uit de AUR-repository. Alleen op het moment dat het pakket niet is bijgewerkt, kunt u het controleren via de volgende link en zodra het beschikbaar is, kunt u de installatie uitvoeren door de volgende opdracht te typen:
yay -S tor-git