ГоБаланс Флой пусть нападающие Хиджек .onion Адреса реставрации Tor-Fort Keys

Жучок в GoBalance, инструмент, который многие сайты с тёмной паути используют для того, чтобы оставаться доступными во время атак, позволяет любому разобрать секретный ключ, контролирующий тонский адрес сайта, используя только общественную информацию, и затем взять этот адрес. Searchlight Cyber, которая раскрыла недостаток 8 октября говорит, что нападающий, который вернет ключ, может направить посетителей сайта к копию контролируемого ими сайта. Захват адреса не дает нападавшему доступа к серверам сайта, базе данных или хранящимся данным пользователя. Как адрес Флоя работает .onion действительно является публичным ключом, так что тот, кто имеет соответствующий частный ключ, контролирует адрес. Для того чтобы оставаться доступным, сайт публикует подписанную запись под названием дескриптор, которую любой человек в сети Tor может достать, и GoBalance подписывает эту запись. Недостаток в том, что мы подписываем. Частный ключ Тора длиной 64 байт, но GoBalance передал только первые 32 байта подписчику и уронил остальное. Опущенная половина - это та часть, которая хранит секретную ценность каждой подписи. Без этой половины секретное значение становится фиксированным числом, которое любой может вычислить. Затем один из опубликованных дескрипторов носит достаточно, чтобы вернуть частный ключ сайта без доступа к его серверам. Потому что открытый ключ - это долгосрочный главный ключ сайта, а не кратковременный ключ, найденный ключ может подписать действительные записи для адреса в…