blob: 81afc377386b29b6f264b6c7b05daf749aa38896 (
plain) (
blame)
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
|
#use wml::debian::translation-check translation="5b028360cb42da0e01e7abe17329aa378f8f43d4"
<define-tag description>セキュリティ更新</define-tag>
<define-tag moreinfo>
<p>接続ベースの低遅延匿名通信システム Tor
に複数の問題が発見されました。情報漏洩につながります。</p>
<ul>
<li><p>ネットワーク上の結託したリレーで<q>relay-early</q>セルを悪用することにより、
ユーザサーキットを同定してトラフィック解析攻撃を展開できます [<a
href="https://security-tracker.debian.org/tracker/CVE-2014-5117">CVE-2014-5117</a>]。
更新されたバージョンでは<q>relay-early</q>セルが入ってきた時点で警告を発し、
そのサーキットを排除することでこの特定の種の攻撃を回避します。
この問題に関するさらなる詳細については以下の勧告を見てください:</p>
<p><a
href="https://blog.torproject.org/blog/tor-security-advisory-relay-early-traffic-confirmation-attack">\
https://blog.torproject.org/blog/tor-security-advisory-relay-early-traffic-confirmation-attack</a></p></li>
<li><p>32ビット curve25519-donna
実装にある境界確認のバグにより、32ビット実装で特定の異常な入力をわずかな範囲の
ntor 秘密鍵と共に利用した場合に誤った結果を出してしまいます。
この欠陥は現在のところ秘密鍵の特定や他のTorサーバへの\
成りすましを攻撃者に許すことはないようですが、
64ビットTor実装から32ビットTor実装を識別する手段を提供する可能性があります。</p></li>
</ul>
<p>以下のセキュリティ関連の改善が追加で実装されています:</p>
<ul>
<li><p>クライアントとしては、新しいバージョンにより CREATE_FAST
セルを事実上使わなくなります。これによってネットワークの計算負荷は増えますが、
利用可能なTLS接続のセキュリティレベルよりもTorのサーキットハンドシェイクの方が\
強力な接続ではこの方法によりセキュリティを改善できる可能性があります。</p></li>
<li><p>consensus パラメータを指定することで、
クライアントが利用するエントリーガードの数を減らしています。
以下の記事で背景についていくらか説明しています:</p>
<p><a
href="https://blog.torproject.org/blog/improving-tors-anonymity-changing-guard-parameters">\
https://blog.torproject.org/blog/improving-tors-anonymity-changing-guard-parameters</a></p></li>
</ul>
<p>安定版 (stable) ディストリビューション (wheezy)
では、この問題はバージョン 0.2.4.23-1~deb7u1 で修正されています。</p>
<p>テスト版 (testing) ディストリビューション (jessie)
及び不安定版 (unstable) ディストリビューション (sid)
では、この問題はバージョン 0.2.4.23-1 で修正されています。</p>
<p>experimental ディストリビューションでは、この問題はバージョン
0.2.5.6-alpha-1 で修正されています。</p>
<p>直ちに tor パッケージをアップグレードすることを勧めます。</p>
</define-tag>
# do not modify the following line
#include "$(ENGLISHDIR)/security/2014/dsa-2993.data"
|
