 
neprihlásený 
|
Pondelok, 25. novembra 2024, dnes má meniny Katarína |
|
|
Predajca zraniteľností vládam zverejnil chybu v Tor Browseri
Značky:
bezpečnosťTor
DSL.sk, 11.9.2018
|
|
Spoločnosť Zerodium nakupujúca bezpečnostné zraniteľnosti v softvéroch a predávajúca ich svojich klientom vrátane vlád sama sprístupnila verejnosti zraniteľnosť v prehliadači Tor Browser, hoci pomerne neštandardným spôsobom.
Zerodium konkrétne zverejnila zraniteľnosť spolu s jednoduchým exploitom, ktoré umožňujú v Tor Browseri verzie 7.x štandardne blokujúcom spúšťanie JavaScriptu pomocou rozšírenia NoScript napriek tomu JavaScript spustiť. To samozrejme ešte neznamená kompletné prekonanie bezpečnosti, eliminuje to ale dôležitý prvok bezpečnostnej architektúry Tor Browseru.
Tor Browser je webový prehliadač vyvíjaný tvorcami klienta a anonymizačnej siete Tor. Tor Browser pristupuje na stránky cez sieť Tor a vychádza z Firefoxu, sú v ňom doinštalované ale rozličné rozšírenia a uskutočnené viaceré zmeny v konfigurácii aj kóde s cieľom maximalizovať ochranu súkromia.
Zerodium chybu zverejnila po tom, ako bola uplynulý týždeň vydaná úplne nová verzia Tor Browser 8.0. Chyba sa technicky nachádza v rozšírení NoScript použitom v Tor Browseri 7.x, voči Tor Browseru 8.0 nie je účinná.
NoScript podľa exploitu nezablokuje JavaScript, ak sa načítava v dokumente s typom nastaveným na text/html;/json. Podľa tvorcu NoScriptu chyba vznikla pri snahe blokovať JSON prehliadač v browseroch a prítomná bola od verzie 5.0.4 z mája minulého roka. Aktuálne už bola sprístupnená aktualizovaná opravená verzia 5.1.8.7.
Podľa informácií Zerodium pre Zdnet spoločnosť získala chybu pred "mnohými mesiacmi" popri "mnohých" iných zraniteľnostiach v Tor-e a odvtedy ju už poskytla vládnym zákazníkom, v súčasnosti po vydaní Tor Browseru 8.0 podľa hodnotenia spoločnosti ale už dosiahla koniec svojej efektívnej životnosti. Jej zverejnením chcela ale tiež poukázať, ako sú nedostatočne bezpečnostne auditované rozličné komponenty zahrnuté v Tor Browseri.
Chyba bola ale zverejnená pomerne neštandardným spôsobom. Nie je jasné, či boli vopred informovaní tvorcovia Tor Browseru a ak áno s akým predstihom, tvorca NoScript, kde sa chyba konkrétne nachádza, podľa jeho informácií upozornený vopred nebol a dozvedel sa to až po zverejnení chyby a exploitu. Chybu opravil následne do niekoľkých hodín.
Najnovšie články:
![]()
Diskusia:
| |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
| |
to zmazané vlákno
Od: dj_v
|
Pridané:
11.9.2018 14:44
Dobrý marketing. Odhaliť zraniteľnosť = oprava, vytvorenie dopytu po novej, ktorá už je v ponuke = začiatok ryžovania.
Majú to premyslené chlapci, dievčence a iné bytosti...
|
| |
Re: to zmazané vlákno
Od: jaštěr
|
Pridané:
11.9.2018 15:30
jašterov si zabudol
|
| |
ultraradikalny optimizmus
Od: syntaxterrorX. XX
|
Pridané:
11.9.2018 15:38
Nie. Jašterom umožnil aktívnu účasť v pripomienkovom konaní.
|
| |
Re: to zmazané vlákno
Od: dj_v
|
Pridané:
12.9.2018 8:33
ine bytosti su lgbtiqqh a spadaju tam aj jasteri, vesmirna hydina a pod.
|
| |
Re: to zmazané vlákno
Od: dj_v
|
Pridané:
12.9.2018 8:37
proste chcem byt korektny a neoznacovat deviantov genderovo, aby si ma nahodou po praci nepockali :D
|
| |
Niekto nezaplatil?
Od: Pukeu
|
Pridané:
11.9.2018 19:51
Skor mi to pripada, ze klient, ktoremu zranitelnost predali im odmietol zaplatit / nezaplatil plnu sumu / porusil ine podmienky. Tak mu na oplatku spravili toto, aby z nej nemal az taky uzitok.
|
| |
Re: Niekto nezaplatil?
Od: dj_v
|
Pridané:
12.9.2018 8:36
nebud naivny, takto sa biznis nerobi. ak by to odhalili, tak uz im nikto nezaplati. robit to z pomsty a zaroven prist o potencialnych kupcov... no to je fakt hodne len idiota
|
| |
Re: Niekto nezaplatil?
Od: khu
|
Pridané:
12.9.2018 9:09
kuuua, ty musíš byť minimálne riaditeľ zemegule, hneď vieš čo a ako a každého sfleku odhadneš, skvelé!
|
| |
Re: Niekto nezaplatil?
Od: dj_v
|
Pridané:
12.9.2018 11:51
a možno som len obdarený logickejším myslením...
|
| |
Re: Niekto nezaplatil?
Od: Cirrus Logic
|
Pridané:
13.9.2018 5:00
Riaditeľ zemegule isto nie je. Ale minimálne nie je total tupelo žijúce v domnienke vlastnej chytrosti ako ty.
1. Zerodium predáva "službu" štátom resp. ich tajným službám. Ten, kto to platí, to neplatí zo svojho.
2. Zerodium si nemôže dovoliť potopiť "službu", ktorú predali 10-20 zákazníkom aby sa pomstil 1.
3. Ktokoľvek zaujímavý pre tajné služby si okamžite update-uje Tor browser
4. Tor browser sa dobrý rok update-uje sám
5. Vzhľadom k bodom 3 a 4, Tor 7.x nepoužíva viacmenej nikto zaujímavý. Zraniteľnosť má teda nulovú hodnotu pre existujúcich zákazníkov
Pre Zerodium je toto evidentne forma reklamy: Aha, my sme to mali. Pokiaľ chcete exploit k 8.x, viete ku komu máte ísť.
Na takýto úsudok stačí IQ>90. Zjavne nie je tvoj prípad.
|
Pridať komentár
|
|
|
|
