Výchozí nastavení Apache umožňuje odhalit skrytou službu sítě Tor

Petr Krčmář 3. 2. 2016

Tor umožňuje nejen anonymní připojení uživatelů, ale také jednotlivých služeb (popsali jsme v článku). Při takovém nasazení dostane server doménové jméno s koncovkou .onion a obě komunikující strany jsou pak anonymizovány. Uživatel nezná provozovatele serveru a obráceně. Ars Technica varuje před tím, že výchozí nastavení Apache umožňuje odhalit pravou identitu serveru.

Může za to modul mod_status, který je ve výchozím stavu v mnoha distribucích zapnutý. Umožňuje vypsat podrobné informace o serveru včetně počtu spojení či údajů o posledním požadavku. Dovoluje tak například ukrást uživatelskou session nebo zjistit další podrobnosti o serveru včetně jeho pravé identity.

Pokud tedy server není uzavřen ve virtuálním prostředí a slouží pro servírování obsahu dalších běžných webů, je možné si ze zjištěných údajů spojit A a B a dojít si za skutečným provozovatelem. K vydolování informací stačí za adresu serveru přidat /server-status. Apache běžně stránku zobrazí jen na localhostu, ale Tor démon běží z localhostu, takže se k údajům dostane.

Blog WireFlaw upozorňuje na to, že takto je nastavena celá řada služeb včetně velkých fór nebo vyhledávačů v síti Tor. Oprava je přitom celkem snadná: stačí vypnout zmíněný  mod_status.

Našli jste v článku chybu?
DigiZone.cz: DAB už i z Košic. A překvapivě!

DAB už i z Košic. A překvapivě!

120na80.cz: Jaké plavecké pomůcky vaše dítě ochrání?

Jaké plavecké pomůcky vaše dítě ochrání?

DigiZone.cz: Prima představila podzimní novinky

Prima představila podzimní novinky

DigiZone.cz: Samsung uvolnil nástroj pro Tizen

Samsung uvolnil nástroj pro Tizen

DigiZone.cz: Kauza technik: oficiální vyjádření Novy

Kauza technik: oficiální vyjádření Novy

Root.cz: Bitcoin začal vyplácet jen půlku odměn

Bitcoin začal vyplácet jen půlku odměn

Měšec.cz: Investice do drahých kovů - znáte základní chyby?

Investice do drahých kovů - znáte základní chyby?

Podnikatel.cz: Profese budoucnosti? Úředník nepřežije

Profese budoucnosti? Úředník nepřežije

Vitalia.cz: Taky je nosíte? Barefoot není pro každého

Taky je nosíte? Barefoot není pro každého

Vitalia.cz: Největší chyby při podávání vína?

Největší chyby při podávání vína?

DigiZone.cz: Sázka na e-sporty stanici Prima vychází

Sázka na e-sporty stanici Prima vychází

Vitalia.cz: Jak může být v uzenině 150 % masa?

Jak může být v uzenině 150 % masa?

Vitalia.cz: Bio vejce nepoznají ani veterináři

Bio vejce nepoznají ani veterináři

Vitalia.cz: Klíšťata letos řádí, skvrna se udělá jen někomu

Klíšťata letos řádí, skvrna se udělá jen někomu

Vitalia.cz: Mateřská - nejlepší období v životě ženy? Hahahaha

Mateřská - nejlepší období v životě ženy? Hahahaha

Měšec.cz: Banky umí platby na kartu, jen to neříkají

Banky umí platby na kartu, jen to neříkají

Měšec.cz: Se stavebkem k soudu už (většinou) nemusíte

Se stavebkem k soudu už (většinou) nemusíte

Podnikatel.cz: Prodej na Alibabě? Malí hráči utřou nos

Prodej na Alibabě? Malí hráči utřou nos

Vitalia.cz: Zmrzlinu? Ani snad ne

Zmrzlinu? Ani snad ne

Podnikatel.cz: Akční plán podpoří byznys padesátníků

Akční plán podpoří byznys padesátníků