Výchozí nastavení Apache umožňuje odhalit skrytou službu sítě Tor

Petr Krčmář 3. 2. 2016

Tor umožňuje nejen anonymní připojení uživatelů, ale také jednotlivých služeb (popsali jsme v článku). Při takovém nasazení dostane server doménové jméno s koncovkou .onion a obě komunikující strany jsou pak anonymizovány. Uživatel nezná provozovatele serveru a obráceně. Ars Technica varuje před tím, že výchozí nastavení Apache umožňuje odhalit pravou identitu serveru.

Může za to modul mod_status, který je ve výchozím stavu v mnoha distribucích zapnutý. Umožňuje vypsat podrobné informace o serveru včetně počtu spojení či údajů o posledním požadavku. Dovoluje tak například ukrást uživatelskou session nebo zjistit další podrobnosti o serveru včetně jeho pravé identity.

Pokud tedy server není uzavřen ve virtuálním prostředí a slouží pro servírování obsahu dalších běžných webů, je možné si ze zjištěných údajů spojit A a B a dojít si za skutečným provozovatelem. K vydolování informací stačí za adresu serveru přidat /server-status. Apache běžně stránku zobrazí jen na localhostu, ale Tor démon běží z localhostu, takže se k údajům dostane.

Blog WireFlaw upozorňuje na to, že takto je nastavena celá řada služeb včetně velkých fór nebo vyhledávačů v síti Tor. Oprava je přitom celkem snadná: stačí vypnout zmíněný  mod_status.

Našli jste v článku chybu?
DigiZone.cz: Čechy baví komedie, Slováky animace

Čechy baví komedie, Slováky animace

Podnikatel.cz: OSA zdraží, ale taky přidá nový poplatek

OSA zdraží, ale taky přidá nový poplatek

Lupa.cz: Hackujete? Můžete mít problém sehnat práci

Hackujete? Můžete mít problém sehnat práci

DigiZone.cz: Vláda schválila digitální vysílání ČRo

Vláda schválila digitální vysílání ČRo

Lupa.cz: Elektronika tajemství zbavená. Jak s ní začít?

Elektronika tajemství zbavená. Jak s ní začít?

Vitalia.cz: Ženy, které milují příliš, jsou neštěstí

Ženy, které milují příliš, jsou neštěstí

DigiZone.cz: Sky Deutschland: dvakrát fotbal ve 4K

Sky Deutschland: dvakrát fotbal ve 4K

Měšec.cz: Investiční pasti. Děláte to, co ostatní, ale proděláváte

Investiční pasti. Děláte to, co ostatní, ale proděláváte

DigiZone.cz: Skylink přepracoval web

Skylink přepracoval web

Podnikatel.cz: Kdy s příjmy není třeba platit zdravotko?

Kdy s příjmy není třeba platit zdravotko?

Vitalia.cz: 9 potravin, které nesmí chybět v jídelníčku těhotné

9 potravin, které nesmí chybět v jídelníčku těhotné

Root.cz: Xiaomi má vlastní notebook podobný Macu

Xiaomi má vlastní notebook podobný Macu

DigiZone.cz: Loewe uvede 4K s obrazovkou OLED

Loewe uvede 4K s obrazovkou OLED

Podnikatel.cz: Zajímavý paradox: Daří se vedle konkurence

Zajímavý paradox: Daří se vedle konkurence

DigiZone.cz: ČTÚ červenec: rušení trochu vzrostlo

ČTÚ červenec: rušení trochu vzrostlo

DigiZone.cz: Hodlá Markíza skončit v DVB-T?

Hodlá Markíza skončit v DVB-T?

120na80.cz: Pylová sezóna nejsilnějších alergenů končí

Pylová sezóna nejsilnějších alergenů končí

Lupa.cz: Samořídicí taxíky jsou tu. Začíná s nimi Uber

Samořídicí taxíky jsou tu. Začíná s nimi Uber

DigiZone.cz: Fotbal na O2 TV Sport posiluje

Fotbal na O2 TV Sport posiluje

Měšec.cz: Se stavebkem k soudu už (většinou) nemusíte

Se stavebkem k soudu už (většinou) nemusíte