С релизом Tor 0.4.3 разработчики Tor Project собираются исправить уязвимость, от которой сайты в даркнете страдали годами.

 Уязвимость представляет собой проблему отказа в обслуживании (Denial of Service, DoS) и позволяет «положить» любой onion-сайт, ценой минимальных усилий. Фактически, благодаря этому багу, злоумышленники могут инициировать тысячи подключений к целевому ресурсу и оставить их активными. Для каждого такого соединения нужно согласовать сложную цепочку защищенных соединений между удаленным пользователем и сервером. Все это требует значительных ресурсов процессора, и при достаточном количестве подключений сервер оказывается настолько загружен, что более не может устанавливать новые подключения.

 Разработчики Tor знают об этой проблеме много лет, однако ее до сих пор не исправили из-за нехватки человеческих ресурсов, а также в силу того, что не существует простого способа отличить легитимные пользовательские подключения от атаки (до установления соединения).

 Более того, в сети годами были доступны инструменты для таких атак. Например, на GitHub можно свободно найти инструмент Stinger-Tor, который позволяет любому желающему организовать атаку на onion-сервис, просто запустив скрипт на Python. В то же время на хакерских форумах похожие инструменты продают различные хак-группы.

 Пытаясь как-то решать проблему DDoS-атак, администраторы форума Dread даже призывали своих пользователей пожертвовать деньги Tor Project, чтобы помочь разработчикам скорее исправить ошибку. Похоже, их усилия все же принесли плоды, так как один из 14 багрепортов об этой уязвимости теперь отмечен как «спонсируемый».

 Известно, что запланированное исправление не полностью устранит ошибку, но, по крайней мере, сделает атаки менее эффективными.

Источник:https://xakep.ru/2019/07/08/tor-ddos/

Для комментирования вы должны авторизоваться.