Mozilla ประกาศพบช่องโหว่สำคัญเกี่ยวกับฟังก์ชัน SVG ใน Firefox ซึ่งถูกใช้งานโจมตีเบราว์เซอร์ Tor (ที่พัฒนาขึ้นบน Firefox) เพื่อค้นหาตัวตนของผู้ใช้งานแล้ว
รูปแบบการโจมตีคือแฮ็กเกอร์จะหลอกผู้ใช้ Tor ให้เข้าเว็บเพจที่มีไฟล์ SVG ฝังไว้ ไฟล์นี้จะอาศัยช่องโหว่ตัวนี้เก็บค่า IP และ MAC ของผู้ใช้ ส่งกลับไปยังเซิร์ฟเวอร์ของแฮ็กเกอร์ได้ ทาง Mozilla ระบุว่าการโจมตีลักษณะนี้คล้ายกับเทคนิคที่ FBI เคยใช้ตามหาผู้ใช้ Tor และมีคนตั้งข้อสงสัย (แต่ไม่มีหลักฐาน) ว่าเป็นไปได้ที่คนใช้ช่องโหว่นี้คือ FBI
Mozilla ออก Firefox 50.0.2 ที่อุดช่องโหว่นี้แล้ว ส่วน Tor ก็ออกเบราว์เซอร์เวอร์ชัน 6.0.7 มาแล้วเช่นกัน ผู้ใช้ก็ตามอัพเดตกันด่วนครับ
ที่มา - Mozilla, Tor, ภาพจาก Tor
Get latest news from Blognone
Follow @twitterapi
Blognone Jobs Premium
Cloudnone
- NVIDIA จะไปหยุดที่ตรงไหน ทำไมครองโลกดาต้าเซ็นเตอร์ | Cloudnone EP.22
- ถึงคลาวด์เคราะห์: ทำอย่างไรเมื่อบริการคลาวด์ที่ใช้ถูกยกเลิก | Cloudnone EP. 21
- รู้จักอาชีพ Site Reliability Engineer สำคัญยังไง? | Cloudnone EP. 20
- อธิบาย CrowdStrike ทางเทคนิค ทำไมถึงทำพีซีจอฟ้าเป็นล้านๆ เครื่อง | Cloudnone EP.19
- Kubernetes [Part 2] ยี่ห้อไหนดี งานไหนต้องใช้ แล้วเลือกยังไง? | Cloudnone EP.18
Comments
Oop!
ว่าแต่ Tor มันปลอดภัยจริงหรอครับ?
ปลอดภัยนี่พูดได้หลายมุมมองนะครับ อาทิ โปรโตคอล Tor เพิ่มคุณลักษณะทางด้านความปลอดภัยในการส่งข้อมูลไหม หรือ Tor ปลอดภัยต่อการใช้จริงมากน้อยแค่ไหน
ปลอดภัยมากน้อย ขึ้นกับเงินของศัตรูคุณครับ ถ้านับพฤติกรรมการใช้งานของคนไม่รู้เรื่องเลย ช่องโหว่ส่วนใหญ่ของ Tor ก็ยังเล่นงานยาก
ไม่
หลายคนลงทุนทำ exit node เพื่อดักรหัสผ่านยังมีเลยครับ
ถึงแม้ exit node จะเป็น malicious node แต่นั่นไม่ได้ทำให้ exit node สามารถรู้ source จริงๆ ของผู้ส่งข้อมูลได้เพราะรู้ได้มากที่สุดแค่ 1 hop ซึ่งในประเด็นนี้ผมก็ยังมองว่ามันทำได้ตามที่มันควรจะทำคือเพิ่มความเป็นส่วนตัว
แต่ทีนี้ประเด็นที่เป็นปัญหาอยู่ที่การไม่เข้ารหัสข้อมูล ซึ่ง Tor ไม่ได้เข้ารหัสแบบ E2E อยู่แล้วและก็ไม่ได้การันตีว่าข้อมูลจะปลอดภัยแต่การันตีเฉพาะแค่เรื่องความนิรนามและความเป็นส่วนตัว
ดังนั้นผมจึงเห็นต่างว่าในแง่ของ functionality นั้น Tor ยังคงปลอดภัยถ้าจะใช้งานโดยเน้นเรื่องความเป็นส่วนตัวครับ (แต่หมายถึงก็ต้องทำปัจจัยอื่นให้สนับสนุนด้วยนะ)
Tor มีข้อดีของตัวเอง คือการส่งข้อมูลไปมาทำให้ตามตัวใด้ยาก ไม่ขึ้นกับประเทศใหน และฟรี แต่ก็ไม่มีอะไรยืนยันว่าไช้ Tor แล้วจะไม่โดนเจอตัว
proxy เสียเงิน ส่วนใหญ่อยู่ใต้กตหมายของประเทศที่ตัวเองตั้งอยู่ ทำให้ทะลุใด้ไม่จริง หาตัวใด้ และไม่ปลอดภัย แถมเทคนิกที่ไช้หาตัวของ tor ก็สามารถไช้หาตัวบน proxy เสียเงินใด้
samsung ใหญ่แค่ใหน ?
https://youtu.be/6Afpey7Eldo
ส่วนตัว
รู้สึกว่าเหมาะกับใช้ทะลุบล๊อค internet มากกว่า
สมัยอยู่จีนได้ใช้อยู่ แต่ช้ามากกกก
ปกติจะใช้ FreeGate จะเร็วกว่า แต่ถ้า FreeGate ดับ
Tor ยังไปต่อได้ (แล้วก็ใช้โหลด FreeGate ตัวใหม่มา 555)
อยากได้ไอดีแอ้ปตำรวจ ตรวจสอบประวัติโจรอ่ะ หาหั้ยด้ายไหมๆ