Výchozí nastavení Apache umožňuje odhalit skrytou službu sítě Tor

Petr Krčmář 3. 2. 2016

Tor umožňuje nejen anonymní připojení uživatelů, ale také jednotlivých služeb (popsali jsme v článku). Při takovém nasazení dostane server doménové jméno s koncovkou .onion a obě komunikující strany jsou pak anonymizovány. Uživatel nezná provozovatele serveru a obráceně. Ars Technica varuje před tím, že výchozí nastavení Apache umožňuje odhalit pravou identitu serveru.

Může za to modul mod_status, který je ve výchozím stavu v mnoha distribucích zapnutý. Umožňuje vypsat podrobné informace o serveru včetně počtu spojení či údajů o posledním požadavku. Dovoluje tak například ukrást uživatelskou session nebo zjistit další podrobnosti o serveru včetně jeho pravé identity.

Pokud tedy server není uzavřen ve virtuálním prostředí a slouží pro servírování obsahu dalších běžných webů, je možné si ze zjištěných údajů spojit A a B a dojít si za skutečným provozovatelem. K vydolování informací stačí za adresu serveru přidat /server-status. Apache běžně stránku zobrazí jen na localhostu, ale Tor démon běží z localhostu, takže se k údajům dostane.

Blog WireFlaw upozorňuje na to, že takto je nastavena celá řada služeb včetně velkých fór nebo vyhledávačů v síti Tor. Oprava je přitom celkem snadná: stačí vypnout zmíněný  mod_status.

Našli jste v článku chybu?
Root.cz: Špína v počítačích: mrtvé myši, prach a pavouci

Špína v počítačích: mrtvé myši, prach a pavouci

Vitalia.cz: Jelení farma produkuje kvalitní maso

Jelení farma produkuje kvalitní maso

Měšec.cz: Cestujte bez starostí, získejte výhodné pojištění

Cestujte bez starostí, získejte výhodné pojištění

Lupa.cz: Zkoušeli operátoři manipulovat měření LTE?

Zkoušeli operátoři manipulovat měření LTE?

Měšec.cz: Apple Pay je v Česku. Návod na aktivaci

Apple Pay je v Česku. Návod na aktivaci

DigiZone.cz: Soud zakázal šíření TV Markíza v ČR

Soud zakázal šíření TV Markíza v ČR

DigiZone.cz: Markíza: tady je předběžné opatření

Markíza: tady je předběžné opatření

Měšec.cz: TEST: Vyzkoušeli jsme pražské taxikáře

TEST: Vyzkoušeli jsme pražské taxikáře

Lupa.cz: Jaké IoT tarify nabízejí mobilní operátoři?

Jaké IoT tarify nabízejí mobilní operátoři?

DigiZone.cz: Nova: technické pauzy každé 1. pondělí

Nova: technické pauzy každé 1. pondělí

DigiZone.cz: Skylink: Nova Sport volně

Skylink: Nova Sport volně

Root.cz: Quake slaví 20 let novou epizodou zdarma

Quake slaví 20 let novou epizodou zdarma

120na80.cz: Jsou opalovací krémy pro děti jiné?

Jsou opalovací krémy pro děti jiné?

Měšec.cz: Od kdy musí studenti platit pojistné?

Od kdy musí studenti platit pojistné?

120na80.cz: Léky a dietní opatření při kopřivce

Léky a dietní opatření při kopřivce

Vitalia.cz: 7 receptur z pohanky. Svědčí zdraví

7 receptur z pohanky. Svědčí zdraví

Vitalia.cz: Jíme přesolené potraviny. Zrovna tyhle

Jíme přesolené potraviny. Zrovna tyhle

Měšec.cz: Ceny PHM v Evropě. Finty na úspory

Ceny PHM v Evropě. Finty na úspory

DigiZone.cz: Slováci první, Češi třetí. Krásný...

Slováci první, Češi třetí. Krásný...

DigiZone.cz: Dabingové ceny znají letošní nominace

Dabingové ceny znají letošní nominace