אנשים המשתמשים בדפדפן האנונימיות של טור במחשבי מק או לינוקס מוזהרים לעדכן את דפדפן ה- Tor שלהם. קיימת פגיעות בדפדפן. זה מאפשר לתוקפים לגלות את כתובות ה- IP האמיתיות של משתמשי טור כביכול אנונימיים. הפגיעות התגלתה על ידי חוקר אבטחה איטלקי בשם פיליפו קוואלרין.


TorMoil ניתנת לניצול רק במחשבי לינוקס ומאק. הניצול נגרם בגלל פגיעות של Firefox שהועברה לדפדפן Tor (שמבוסס על Firefox).

איך עובד טור?

כשאתה מתחבר לרשת טור, התנועה שלך מתחברת למספר מחשבים מתנדבים ברחבי העולם. התנועה נכנסת דרך "משמר כניסה", נוסעת ל"צמתים "שונים ואז יוצאת דרך" צומת יציאה ". בסך הכל ישנם כ -7,000 מחשבים מתנדבים המפעילים את רשת האנונימיות של טור..

בשל האופן בו טור עובד, רק צומת שמירת הכניסה יודע את כתובת ה- IP האמיתית של המשתמש. בנוסף, רק צומת היציאה יודע לאן התנועה הולכת. בגלל מעגל הצמתים שהתעבורה עוברת עליהם (בין צמתי הכניסה והיציאה), כמעט בלתי אפשרי עבור מישהו להתחקות אחר מנות של טור ולברר מי עושה מה באינטרנט.

למרבה הצער עבור משתמשי Tor במחשבי לינוקס ומאק, TorMoil פירושו שניתן לתקוף מערכת זו ולגלות את כתובות ה- IP האמיתיות שלהם. עבור אותם משתמשים, הפגיעות קשורה מאוד משום שכתובת IP מספיקה בכדי לחשוף את מיקומם האמיתי ואת זהותם.

החדשות הטובות הן שהפגיעות של Tor היום טופלה באופן זמני על ידי הפיתוחים של אפס הימים (Tor גרסה 7.0.8 ואילך). משתמשי לינוקס ומאק מתבקשים לעדכן את דפדפן ה- Tor שלהם כדי להגן על עצמם מפני הפגם הקריטי.

כיצד עובד TorMoil

חוקר האבטחה האיטלקי חשף כי TorMoil יכולה לגרום למערכות מק ולינוקס לדלוף את כתובת ה- IP האמיתית שלהן בעת ​​ביקור בסוגים מסוימים של כתובות אינטרנט. באופן ספציפי, הפגיעות חושפת משתמשים כאשר הם ניגשים לכתובות אינטרנט וקישורים המתחילים בקובץ: //

על פי בלוג של חברת האבטחה We Are Segment, כאשר דפדפן ה- Tor פותח קישורים המתחילים בקידומת: //, "מערכת ההפעלה עשויה להתחבר ישירות למארח המרוחק, תוך עקיפה של דפדפן Tor." זה מאפשר לתוקף המנצל את TorMoil כדי לגלות את כתובת ה- IP האמיתית של המשתמש. מפתחי Tor אומרים כי הדרך לעקיפת הבעיה עלולה לגרום לטור להיות קצת באגי כשמשתמשים מבקרים בקובץ: // כתובות:

"התיקון שפרסנו הוא רק דרך לעקוף את הדליפה. כתוצאה מקובץ הניווט ההוא: // כתובות URL בדפדפן עשויות לא לפעול כצפוי יותר. בפרט הזנת קובץ: // כתובות URL בסרגל הכתובות ולחיצה על קישורים שנוצרו נשברה. פתיחת אלה בלשונית חדשה או בחלון חדש אינה עובדת. הדרך לעקיפת הבעיה הנוגעת לבעיות אלה גוררת את הקישור בסרגל הכתובות או בכרטיסייה במקום זאת. אנו עוקבים אחר רגרסיית מעקב זו בבאג 24136."

החדשות הטובות הן שבזדמנות זו משתמשי Windows אינם מושפעים מהפגיעות. מפתחי Tor אישרו כי לא גרסאות Windows של Tor, Tails וגם לא דפדפן ה- Tor ארגזי החול (כרגע באלפא) פגיעות..

מי יכול להיות מושפע?

קוואלרין גילה את הפגיעות באוקטובר. באותה תקופה הוא הצליח להכריח את Firefox ב- Linux ו- Mac לגלוש ישירות, למרות שנאמר לו שלא. הוא הבין שהפגיעות פירושה שפושעי רשת יכולים לשלוח למשתמשים קישור רועש שמאלץ את פיירפוקס לשלוח חבילות מידע הניתנות להתחקות. בשל העובדה כי דפדפן ה- Tor תוכנן מגירסה מקורית של פיירפוקס, קוואלרין הבין במהרה כי המנצל קריטי ויצר קשר עם טור.

למרות שפגיעות זו מחוברת באופן זמני לטור, כרגע Firefox לא הוציאה תיקון. המשמעות היא שמשתמשי Firefox המשתמשים בתוספי דפדפן Virtual Private Network (VPN) (לא VPNs ברמת מערכת הפעלה ייעודית, שהם בסדר) ותוספי proxy הם גם חשופים להתקפה זו. קוואלרין אמר לי:

פיירפוקס מושפעת גם כן וצוות ה- dev עובד על תיקון סופי עבור Firefox וגם של דפדפן Tor. העניין הוא: טור דפדפן הוציא דרכים לעקיפת הבעיה מכיוון שהם היו צריכים לשחרר תיקון ASAP בזמן שצוות פיירפוקס עדיין עובד על התיקון. אז כן, משתמשי פיירפוקס המשתמשים בתוספי VPN או פרוקסי מושפעים. זו הסיבה לכך שלא פרסמנו את כל המידע וניצול הקוד. תווית השחרור של דפדפן טור מקשרת לגשש הבאגים של מוזילה ששימש לניהול באג זה, אך הקישור עדיין לא ציבורי.

עדיין פגיע

ככאלה, משתמשי Firefox (במערכות הפעלה לינוקס ומאק) צריכים לדאוג לתיקון פיירפוקס הקרוב לפגיעות. נכון לעכשיו לא ידוע מתי יתעדכן עדכון זה, ולכן המשתמשים צריכים להיות מודעים לכך שניתן יהיה לעקוף את תוספי הפרטיות של Firefox עם ניצול זה, ולחשוף את כתובת ה- IP האמיתית שלהם..

יתרה מזאת, חלק מספקי ה- VPN מתייחסים בטעות לתוספי ה- Proxy של הדפדפן שלהם כ- VPN (וזה לא נכון ומבלבל מאוד עבור הצרכנים). אם ה- VPN שלך פועל בדפדפן Firefox שלך (להבדיל משימוש בלקוח VPN מותאם אישית), יתכן שהסיומת של Firefox שלך חשופה להתקפה. ראה הוזהרת.

Brayan Jackson Administrator
Sorry! The Author has not filled his profile.
follow me