Регистрация17.12 // Софт // Серьезная уязвимость в клиентах Tor младше 0.1.1.26
В клиентах Tor до версии 0.1.1.26 обнаружена опасная ошибка: если пользователь находится за прокси-сервером и использует команду HttpProxyAuthenticator для авторизации транслируемого трафика, Tor пересылает параметры авторизации (логин) на корневые узлы, запрашивая статус сети непосредственно через саму сеть (что способно полностью подорвать анонимность соединений). В частности, так происходит при запуске скрытых сервисов или при доступе к ним, а также при использовании команд FascistFirewall или ReachableAddresses, когда корневые узлы не доступны напрямую.
Исправление ошибки доступно в версии 0.1.1.26, в предстоящей 0.1.2.5-alpha, а также в ветке 0.1.0.x с помощью данного патча.
Источник: http://archives.seul.org/or/announce/Dec-2006/msg00000.html
Если после Tor стоит прокси/сокс с авторизацией (логином-паролем), то эти логин-пароль идут в обход Tor, я правильно понял?
А причем тут FascistFirewall, как это связано с авторизацией?
И к сожалению не знаю что за опция ReachableAddresses.
Если не сложно, можно поподробнее обо всем этом?
P. S. Как узнать свою версию Tor?
комментариев: 9796 документов: 488 редакций: 5664
1) Тому кто получает статистику tor через саму сеть tor, а не напрямую (для чего это нужно – отдельная тема для размышления, чтобы допорлнительно скрыть паттерны траффика, например, или для поднятия своего скрытого сервиса внутри сети тор, при посещении таких сервисов).
2) Кто использует опцию FascistFirewall или её более новый аналог
ReachableAddresses ADDR[/MASK][:PORT]
Например, Вы находитесь за файрволом с опцией 'ReachableAddresses 99.0.0.0/8, reject 18.0.0.0/8:80, accept *:80', значит он пропускает всех из 99 сетки, непропускает по 80-му порту из 18-ой и разрешает коннектится по восьмидесятому порту всем остальным.
Если при этом Вам приходится использовать HttpProxyAuthenticator username:password, то происходит утечка этих данных.
комментариев: 11558 документов: 1036 редакций: 4118
Нет. Ещё раз: если после Tor стоит прокси и Вы используете команду HttpProxyAuthenticator для авторизации на прокси именно через Tor, то сам Tor будет пересылать Ваш логин (насчёт пароля не сомневаюсь) серверу-директории при запросе статистики сети.
Запустите клиент. Первая строчка в логе будет содержать номер версии. Если пользуетесь каким-то GUI вроде Vidalia, то там есть пункт меню About.