Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Изначальное сообщение		[ Отслеживать ]

"В Tor Browser устранена уязвимость, допускавшая прямое соеди..."	+/–
Сообщение от opennews (??) on 28-Июл-17, 12:06
Доступен (https://blog.torproject.org/blog/tor-browser-703-released) корректирующий релиз специализированного браузера Tor Browser 7.0.3 (https://www.torproject.org/projects/torbrowser.html.en), ориентированного на обеспечение анонимности, безопасности и приватности. Браузер построен на кодовой базе Firefox и отличается тем, что весь трафик перенаправляется только через сеть Tor. В выпуске устранена опасная уязвимость, позволяющая при открытии специально оформленного URL, напрямую обратиться к внешнему ресурсу с реального IP-адреса текущей системы. Проблема  затрагивает только Linux-дистрибутивы, в которых присутствует сервис GVfs (https://github.com/GNOME/gvfs) (GNOME Virtual file system) и используется библиотека GIO (https://developer.gnome.org/gio/stable/) (GNOME Input/Output). Код поддержки GVfs/GIO в Firefox допускает запуск системного обработчика URL (например, smb://, ssh:// и т.п.), при помощи которого может быть осуществлено обращение к ресурсам в обход настроек прокси, что даёт возможность через  GIO совершить прямое соединение на внешний хост и деанонимизировать пользователя. Проблема не проявляется в  дистрибутиве Tails, в сборке sandboxed-tor-browser (Tor Browser запускается в изолированном окружении) и в дистрибутиве Whonix (выход в сеть из производится только через шлюз Whonix-Gateway, что изолирует рабочее окружение от прямого взаимодействия с внешним миром и допускает использование только фиктивных сетевых адресов). URL: https://blog.torproject.org/blog/tor-browser-703-released Новость: https://www.opennet.ru/opennews/art.shtml?num=46936
Ответить | Правка | Cообщить модератору

Сообщения по теме

[Сортировка по времени | RSS]

2. "В Tor Browser устранена уязвимость, допускавшая прямое соеди..."	+7 +/–
Сообщение от commiethebeastie (ok) on 28-Июл-17, 12:11
Ага, зашибись, нефиг пользоваться тором с ненастроенным фаерволом.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	4. "В Tor Browser устранена уязвимость, допускавшая прямое соеди..."	+2 +/–
	Сообщение от Аноним (??) on 28-Июл-17, 12:28
	Кстати, кто-нибудь знает как пустить виртуалку через Tor? Чтобы даже теоретической такой возможности не было. И чтобы пользоваться в виртуалке нормальным браузером, а не "Вы не можете смотреть это видео без флеш плеера", который в Тор Браузер установить нельзя.
	Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

	5. "В Tor Browser устранена уязвимость, допускавшая прямое соеди..."	+/–
	Сообщение от Виктор (??) on 28-Июл-17, 12:32
	скачать whonix gateway и поставить в виртуалке в качестве шлюза.
	Ответить | Правка | ^ к родителю #4 | Наверх | Cообщить модератору

	25. "В Tor Browser устранена уязвимость, допускавшая прямое соеди..."	+2 +/–
	Сообщение от anonfhgfxhfsykhgdhtdjyh on 28-Июл-17, 16:20
	https://xmail.net/netmans Инструкции Инструкция по настройке прозрачной маршрутизации трафика debian-based операционной системы через tor Инструкция по изолирующей маршрутизации трафика приложений гостеой операционной системы в VirtualBox через tor
	Ответить | Правка | ^ к родителю #5 | Наверх | Cообщить модератору

	8. "В Tor Browser устранена уязвимость, допускавшая прямое соеди..."	–1 +/–
	Сообщение от Аноним (??) on 28-Июл-17, 13:23
	1) На своём компе: ставь тор, ss -tulpan | grep 9050 2) Создай виртуалку без ната, чтобы там не было выхода в сеть. Проверь это. 3) На виртуалке: натрави "экскремент эксплорер", запущеный в ректалосе на socks5-proxy <шлюз виртуалки>:9050 Жду комментов и конструктивного сра4а.
	Ответить | Правка | ^ к родителю #4 | Наверх | Cообщить модератору

	21. "В Tor Browser устранена уязвимость, допускавшая прямое соеди..."	–2 +/–
	Сообщение от Аноним (??) on 28-Июл-17, 15:40
	> 1) На своём компе: ставь тор, ss -tulpan | grep 9050 > 2) Создай виртуалку без ната, чтобы там не было выхода в сеть. > Проверь это. > 3) На виртуалке: натрави "экскремент эксплорер", запущеный в ректалосе на socks5-proxy > <шлюз виртуалки>:9050 > Жду комментов и конструктивного сра4а. Зачем создавать ВМ без выхода в сеть? Причем здесь NAT? А если гость не Вин как запустить Эклсплорер, да еще в каком то ректалосе?
	Ответить | Правка | ^ к родителю #8 | Наверх | Cообщить модератору

	32. "В Tor Browser устранена уязвимость, допускавшая прямое соеди..."	+/–
	Сообщение от Аноним (??) on 28-Июл-17, 17:56
	При создании виртуалки в вбоксе по умолчанию создаётся сеть за натом. В таком случае от тора толку не будет. С kvm - то же(user network). Нам же, нужна сеть НЕ за натом, из которой в интернет доступа не будет. Это нужно для того, чтобы браузер выходил только на запущеный на хосте tor-proxy. А что, ректалос - не вин? Брагин с вами не согласен. И экскремент эксплорер там есть.
	Ответить | Правка | ^ к родителю #21 | Наверх | Cообщить модератору

	36. "В Tor Browser устранена уязвимость, допускавшая прямое соеди..."	+/–
	Сообщение от ыпр on 28-Июл-17, 19:56
	Уважаемый, пожалуйста не используйте свой "ректально извращенный" русский для описания. Спасибо
	Ответить | Правка | ^ к родителю #8 | Наверх | Cообщить модератору

	17. "В Tor Browser устранена уязвимость, допускавшая прямое соеди..."	+2 +/–
	Сообщение от Fantomas (??) on 28-Июл-17, 15:08
	https://github.com/yurivict/vm-to-tor
	Ответить | Правка | ^ к родителю #4 | Наверх | Cообщить модератору

	34. "В Tor Browser устранена уязвимость, допускавшая прямое соеди..."	+/–
	Сообщение от Аноним (??) on 28-Июл-17, 19:24
	Спасибо. Но там FreeBSD. Для GNU/Linux есть инструкция?
	Ответить | Правка | ^ к родителю #17 | Наверх | Cообщить модератору

	43. "В Tor Browser устранена уязвимость, допускавшая прямое соеди..."	+1 +/–
	Сообщение от Аноним (??) on 28-Июл-17, 23:45
	> который в Тор Браузер установить нельзя Вообще-то можно. Кидаешь портейбл флеш в Tor Browser\Browser\browser\plugins, как в лисе и включаешь.
	Ответить | Правка | ^ к родителю #4 | Наверх | Cообщить модератору

	44. "В Tor Browser устранена уязвимость, допускавшая прямое соеди..."	+/–
	Сообщение от Anonplus on 29-Июл-17, 00:29
	Внутри виртуалки сделайте вот так "Я использую tor с изоляцией в network namespace. Все приложения остаются на едине с veth интерфейсом, который слушает только 9050 в качестве socks-proxy. Если приложение хочет идти напрямую, то оно просто получает no route to host по причине отсутствия route'ов наружу любого вида. В этих условиях никакой посторонний трафик не может уйти за пределы namespace, а если tor-node ляжет, то просто порвётся коннект и socks-proxy будет либо reset by peer, либо просто исчезнет veth интерфейс и приложение останется без сети. " https://habrahabr.ru/post/250851/#comment_8286021
	Ответить | Правка | ^ к родителю #4 | Наверх | Cообщить модератору

	45. "В Tor Browser устранена уязвимость, допускавшая прямое соеди..."	+/–
	Сообщение от Аноним (??) on 29-Июл-17, 10:08
	Смотря какую виртуальную. Самый простой способ будет: заделать  network namespace в которую прибросить veth peer и wlan интерфейс. Запустить тор на veth в этом netns. Затем настроить MASQUERADE и прероутинг правила что то типа: iptables -t nat -A PREROUTING -i vpeer0 -p udp --dport 53 -j REDIRECT --to-ports 53 iptables -t nat -A PREROUTING -i vpeer0 -p tcp --syn -j REDIRECT --to-ports 9040 iptables -t nat -A PREROUTING -i vpeer0 -j DROP Ну и зацепить veth в виртуалку -- Пишу с телефона, лень вставать и идти до компа чтобы написать нормально
	Ответить | Правка | ^ к родителю #4 | Наверх | Cообщить модератору

	58. "В Tor Browser устранена уязвимость, допускавшая прямое соеди..."	+/–
	Сообщение от Аноним (??) on 01-Авг-17, 01:54
	локалку без роутинга в tap эффективнее, оно не может терять траф даже до того как сконфигурировано, хотя можно сочетать с veth-ами, бриджами, вланами и namespace-ами, главное в этом процессе - не спятить.
	Ответить | Правка | ^ к родителю #45 | Наверх | Cообщить модератору

	50. "В Tor Browser устранена уязвимость, допускавшая прямое соеди..."	+/–
	Сообщение от Ъ on 29-Июл-17, 17:29
	http://darkk.net.ru/redsocks/ в помощь
	Ответить | Правка | ^ к родителю #4 | Наверх | Cообщить модератору

	57. "В Tor Browser устранена уязвимость, допускавшая прямое соеди..."	+/–
	Сообщение от Аноним (??) on 01-Авг-17, 01:48
	> Кстати, кто-нибудь знает как пустить виртуалку через Tor? Чтобы даже теоретической такой > возможности не было. настрой сетку между вм и хостом как локалку без роутинга, на хосте прокс, тор или чего еще. роутинг на хосте между ифэйсами можешь выключить, чтобы наверняка. читай маны на настройку сети ОС и виртуализатора, придется подтянуть знания в сетях. > И чтобы пользоваться в виртуалке нормальным браузером, а не "Вы не можете смотреть это видео без флеш плеера в флэш тебе напхают неудалимых куков - и толку от тора тогда? еще по 20 дыр каждый раз чинят, так флеш могут хакнуть - ну и все, дальше видно все.
	Ответить | Правка | ^ к родителю #4 | Наверх | Cообщить модератору

	62. "В Tor Browser устранена уязвимость, допускавшая прямое соеди..."	+/–
	Сообщение от annon on 07-Авг-17, 09:13
	a set of scripts to start applications inside a linux namespace and automatically “Tor-ify” their network traffic https://www.void.gr/kargig/blog/2016/12/12/firejail-with-tor.../
	Ответить | Правка | ^ к родителю #4 | Наверх | Cообщить модератору

	18. "В Tor Browser устранена уязвимость, допускавшая прямое соеди..."	–1 +/–
	Сообщение от Аноним (??) on 28-Июл-17, 15:27
	Ага.. Ну и как же его настроить? Запретить пакеты на указанные порты?
	Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

	61. "В Tor Browser устранена уязвимость, допускавшая прямое соеди..."	+/–
	Сообщение от Аноним (??) on 04-Авг-17, 09:54
	> Ага.. Ну и как же его настроить? Запретить пакеты на указанные порты? ребята, если вы задаете такие вопросы - пожалуйста, не пользуйтесь тором. (вы забиваете тощие каналы выходных нод, а спрятаться по настоящему у вас все равно квалификации не хватит) все перечисленные тут "простые" способы требуют прямых рук, внимания к мелочам и какой-никакой квалификации (в частности, непохоже, чтобы авторы приведенных тут готовых рецептов догадывались, что отсутствие default route вовсе не означает что я не могу отправить пакет, который уйдет в сеть или пакет, который вернется мне с real ip хоста - во всяком случае, в линуксе. Если для вас это стало сюрпризом - вы _недостаточно_ квалифицированы, чтобы надежно защитить свой тор от деанонимизации. А авторы тор-браузера поумелее вас, и, как видите, все равно иногда ошибаются.) остается из готового только whonix и предложенный кем-то левый скрипт для freebsd (требующий распоследней версии пихона, патча ядра и еще кой-чего, то есть пока убедишься что он безобидный - уже свой такой успеешь написать) - и тут вы целиком зависите уже не только от аккуратности авторов тора и торбраузера, но и от аккуратности и отсутствия злой воли авторов прокладки.
	Ответить | Правка | ^ к родителю #18 | Наверх | Cообщить модератору

3. "В Tor Browser устранена уязвимость, допускавшая прямое соеди..."	+/–
Сообщение от Аноним (??) on 28-Июл-17, 12:23
> Проблема затрагивает только Linux-дистрибутивы, в которых присутствует сервис GVfs (GNOME Virtual file system) и используется библиотека GIO (GNOME Input/Output) Как знал! Вот мой конфиг: --enable-application=browser --host=x86_64-pc-linux-gnu --build=x86_64-pc-linux-gnu '--enable-optimize=-Os -march=x86-64' --enable-official-branding --disable-tor-browser-update --disable-update-packaging --enable-signmar --enable-verify-mar --enable-strip --enable-install-strip --disable-tests --disable-mochitest --disable-debug --disable-maintenance-service --disable-crashreporter --disable-webrtc --disable-eme --disable-loop --disable-installer --disable-gconf --disable-gio --disable-pulseaudio --disable-gstreamer --disable-updater --disable-libjpeg-turbo --enable-skia --with-system-zlib --with-system-bz2 --with-pthreads --disable-xinerama --disable-xprint --enable-pango --enable-svg --enable-canvas --disable-javaxpcom --without-system-nspr --without-system-nss --disable-system-hunspell --disable-libnotify --disable-startup-notification --disable-dbus --disable-cpp-exceptions --disable-exact-rooting --disable-necko-wifi Хотя я, наверное, единственный в мире человек, который собирает себе Tor Browser сам, а не берёт готовую официальную сборку.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	6. "В Tor Browser устранена уязвимость, допускавшая прямое соеди..."	+15 +/–
	Сообщение от Пользователь on 28-Июл-17, 12:42
	Вы себе льстите
	Ответить | Правка | ^ к родителю #3 | Наверх | Cообщить модератору

	12. "В Tor Browser устранена уязвимость, допускавшая прямое соеди..."	+1 +/–
	Сообщение от Аноним (??) on 28-Июл-17, 14:08
	Обновления безопасности чуть ли не каждую неделю выпускают. Каждую неделю заново собираешь?
	Ответить | Правка | ^ к родителю #3 | Наверх | Cообщить модератору

	14. "В Tor Browser устранена уязвимость, допускавшая прямое соеди..."	+/–
	Сообщение от Аноним (??) on 28-Июл-17, 14:13
	Нет. Я пока "не осилил" сборку следующего LTS. Пользуюсь пока 45.0.9, не критично
	Ответить | Правка | ^ к родителю #12 | Наверх | Cообщить модератору

	28. "В Tor Browser устранена уязвимость, допускавшая прямое соеди..."	+1 +/–
	Сообщение от Sabakwaka (ok) on 28-Июл-17, 17:43
	>> Каждую неделю заново собираешь? А то и пару раз в день. А что?
	Ответить | Правка | ^ к родителю #12 | Наверх | Cообщить модератору

	31. "В Tor Browser устранена уязвимость, допускавшая прямое соеди..."	+/–
	Сообщение от arrnorets (ok) on 28-Июл-17, 17:50
	> Обновления безопасности чуть ли не каждую неделю выпускают. Каждую неделю заново собираешь? Нам, гентушникам, один хрен: что патчи подтаскивать, что сорцы растаскивать.
	Ответить | Правка | ^ к родителю #12 | Наверх | Cообщить модератору

	19. "В Tor Browser устранена уязвимость, допускавшая прямое соеди..."	+3 +/–
	Сообщение от IZh. on 28-Июл-17, 15:30
	По кастомной сборке проще отлавливать. ;-)
	Ответить | Правка | ^ к родителю #3 | Наверх | Cообщить модератору

	35. "В Tor Browser устранена уязвимость, допускавшая прямое соеди..."	+/–
	Сообщение от Аноним (??) on 28-Июл-17, 19:25
	> По кастомной сборке проще отлавливать. ;-) Да, но я не занимаюсь запрещённым. Только в социалочки захожу, приняв меры предосторожности, чтобы не "посадили" за репост. Такие как скрывание реального IP и не выкладывание личных данных (имя и фото).
	Ответить | Правка | ^ к родителю #19 | Наверх | Cообщить модератору

	48. "В Tor Browser устранена уязвимость, допускавшая прямое соеди..."	+3 +/–
	Сообщение от Аноним (??) on 29-Июл-17, 16:32
	> я не занимаюсь запрещённым > чтобы не "посадили" за репост. как же у тебя в голове уживаются два взаимоисключающих понятия?
	Ответить | Правка | ^ к родителю #35 | Наверх | Cообщить модератору

	51. "В Tor Browser устранена уязвимость, допускавшая прямое соеди..."	+2 +/–
	Сообщение от Crazy Alex (ok) on 29-Июл-17, 23:25
	Правильно уживаются, кстати - есть запрещённое и "запрещённое". Товарищ прикрывается ровно настолько, чтобы его с кондачка не нашли. А всерьёз из-за таких мелочей никто копать не будет.
	Ответить | Правка | ^ к родителю #48 | Наверх | Cообщить модератору

	38. "В Tor Browser устранена уязвимость, допускавшая прямое соеди..."	+/–
	Сообщение от Аноним (??) on 28-Июл-17, 21:16
	http://cs.pikabu.ru/post_img/2013/12/23/9/1387807248_7638575...
	Ответить | Правка | ^ к родителю #3 | Наверх | Cообщить модератору

7. "В Tor Browser устранена уязвимость, допускавшая прямое соеди..."	+/–
Сообщение от Аноним (??) on 28-Июл-17, 13:00
Ого, выходит не зря я установку этого gvfs запретил в пакетном менеджере. Хоть gnome и не пользуюсь, какая-нибудь программа так и норовит зачем-то притащить это в систему, хотя и без него все работает.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

9. "В Tor Browser устранена уязвимость, допускавшая прямое соеди..."	+1 +/–
Сообщение от Аноним (??) on 28-Июл-17, 13:25
Кстати, а гуглоаналитику из тор-браузера удалили?
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	10. "В Tor Browser устранена уязвимость, допускавшая прямое соеди..."	+/–
	Сообщение от Аноним (??) on 28-Июл-17, 13:32
	Тоже любопытно ))
	Ответить | Правка | ^ к родителю #9 | Наверх | Cообщить модератору

	13. "В Tor Browser устранена уязвимость, допускавшая прямое соеди..."	+/–
	Сообщение от Аноним (??) on 28-Июл-17, 14:08
	> Кстати, а гуглоаналитику из тор-браузера удалили? Патчи то слабо посмотреть?
	Ответить | Правка | ^ к родителю #9 | Наверх | Cообщить модератору

	55. "В Tor Browser устранена уязвимость, допускавшая прямое соеди..."	+1 +/–
	Сообщение от rfrdfy on 30-Июл-17, 22:25
	> Кстати, а гуглоаналитику из тор-браузера удалили? да: https://gitweb.torproject.org/tor-browser.git/commit/browser...
	Ответить | Правка | ^ к родителю #9 | Наверх | Cообщить модератору

11. "В Tor Browser устранена уязвимость, допускавшая прямое соеди..."	+/–
Сообщение от Аноним (??) on 28-Июл-17, 14:01
Как всегда дырявый гном виноват. Вспомните их gnome-thumbnails, или как его там. То фейл с комикс-форматом, то с MSI, теперь это...
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	15. "В Tor Browser устранена уязвимость, допускавшая прямое соеди..."	+/–
	Сообщение от Аноним (??) on 28-Июл-17, 14:28
	gnome-thumbnails не их, а тут вообще уязвимость огнелиса.
	Ответить | Правка | ^ к родителю #11 | Наверх | Cообщить модератору

	16. "В Tor Browser устранена уязвимость, допускавшая прямое соеди..."	+/–
	Сообщение от Аноним (??) on 28-Июл-17, 14:50
	> Проблема затрагивает только Linux-дистрибутивы, в которых присутствует сервис GVfs (GNOME Virtual file system) и используется библиотека GIO (GNOME Input/Output). > GNOME Virtual file system, GNOME Input/Output Новость не читай, комментарии пиши.
	Ответить | Правка | ^ к родителю #15 | Наверх | Cообщить модератору

	46. "В Tor Browser устранена уязвимость, допускавшая прямое соеди..."	+/–
	Сообщение от Аноним (??) on 29-Июл-17, 12:35
	Зато хипсторам нравится!
	Ответить | Правка | ^ к родителю #11 | Наверх | Cообщить модератору

56. "В Tor Browser устранена уязвимость, допускавшая прямое соеди..."	–1 +/–
Сообщение от Аноним (??) on 31-Июл-17, 07:25
> Проблема затрагивает только Linux-дистрибутивы, в которых > присутствует сервис GVfs (GNOME Virtual file system) эти ваши линуксы с гномами то ещё ведро дырявое
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	59. "В Tor Browser устранена уязвимость, допускавшая прямое соеди..."	–2 +/–
	Сообщение от Аноним (??) on 01-Авг-17, 01:57
	> эти ваши линуксы с гномами то ещё ведро дырявое покажи что-нибудь лучше, чудак.
	Ответить | Правка | ^ к родителю #56 | Наверх | Cообщить модератору

	60. "В Tor Browser устранена уязвимость, допускавшая прямое соеди..."	+/–
	Сообщение от Аноним (??) on 04-Авг-17, 09:33
	Users on Windows and macOS are not affected and stay on Tor Browser 7.0.2.
	Ответить | Правка | ^ к родителю #59 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема