Кілька тому анонсовано випуск нової версії Tor 0.4.6.5 який він розглядається як перша стабільна версія гілки 0.4.6, що склалося за останні п’ять місяців.
Відділення 0.4.6 буде підтримуватися як частина регулярного циклу технічного обслуговування; Оновлення буде припинено через 9 місяців або 3 місяці після випуску гілки 0.4.7.x, крім того, що продовжуватиме надавати тривалий цикл підтримки (LTS) для гілки 0.3.5, оновлення яких будуть випускатися до 1 Лютий 2022.
Одночасно були сформовані версії Tor 0.3.5.15, 0.4.4.9 та 0.4.5.9, які виправили уразливості DoS, які могли спричинити відмову в обслуговуванні клієнтам служби Onion та Relay.
Основні нові можливості Tor 0.4.6.5
У цій новій версії додана можливість створення "цибульних сервісів" на основі третьої версії протоколу з аутентифікацією доступу клієнта через файли в каталозі 'санкціоновані_клієнти'.
Крім того ще була надана можливість передавати інформацію про затори в додаткових даних які можна використовувати для збалансування навантаження на мережу. Передача метрики контролюється параметром OverloadStatistics у torrc.
Ми також можемо виявити, що для ретрансляторів додано прапор, який дозволяє оператору вузла зрозуміти, що реле не входить до консенсусу, коли сервери вибирають каталоги (наприклад, коли в одній IP-адресі занадто багато реле).
З іншого боку, це згадується підтримку старих послуг на основі цибулі було вилучено У другій версії протоколу, який був визнаний застарілим рік тому. Повне видалення коду, пов'язаного з другою версією протоколу, очікується восени. Друга версія протоколу була розроблена близько 16 років тому, і через використання застарілих алгоритмів його не можна вважати безпечним у сучасних умовах.
Два з половиною роки тому, у версії 0.3.2.9, третя версія протоколу була запропонована користувачам, примітна переходом на 56-символьні адреси, більш надійним захистом від витоків даних через сервери каталогів, розширюваною модульною структурою та використання алгоритмів SHA3, ed25519 та кривої25519 замість SHA1, DH та RSA-1024.
З уразливостей виправлено згадуються такі:
- CVE-2021-34550: доступ до області пам'яті поза буфером, виділеним у коді для синтаксичного аналізу дескрипторів служби цибулі на основі третьої версії протоколу. Зловмисник може, розмістивши спеціально створений дескриптор служби цибулі, ініціювати блокування будь-якого клієнта, який намагається отримати доступ до цієї служби цибулі.
- CVE-2021-34549 - Можливість здійснити атаку, яка спричиняє відмову в обслуговуванні реле. Зловмисник може формувати рядки з ідентифікаторами, що викликають зіткнення в хеш-функції, обробка яких призводить до великого навантаження на центральний процесор.
- CVE-2021-34548 - реле може підробляти клітини RELAY_END і RELAY_RESOLVED в напівзакритих потоках, дозволяючи припинити потік, створений без участі цього реле.
- TROVE-2021-004: Додані додаткові перевірки для виявлення збоїв при доступі до генератора випадкових чисел OpenSSL (при реалізації за замовчуванням RNG у OpenSSL такі помилки не відображаються).
З інших змін що виділяються:
- Можливість обмеження міцності підключень клієнтів до ретрансляторів додана до підсистеми захисту DoS.
- У ретрансляціях публікація статистичних даних про кількість цибульних послуг реалізується на основі третьої версії протоколу та обсягу їх трафіку.
- Вилучена підтримка параметра DirPorts із коду для реле, який не використовується для цього типу вузлів.
Рефакторинг коду. - Підсистему захисту DoS переміщено до менеджера підсистеми.
В кінці кінців якщо вам цікаво дізнатись більше про це про цю нову версію, ви можете перевірити деталі в за наступним посиланням.
Як отримати Tor 0.4.6.5?
Щоб отримати цю нову версію, просто перейдіть на офіційний веб-сайт проекту і в його розділі завантаження ми можемо отримати вихідний код для його компіляції. Ви можете отримати вихідний код з наступне посилання.
Хоча для особливого випадку користувачів Arch Linux ми можемо отримати його зі сховища AUR. Тільки на даний момент пакет не оновлений, ви можете відстежувати його за наступним посиланням і як тільки він стане доступним, ви зможете виконати установку, ввівши таку команду:
yay -S tor-git