Brave 浏览器的隐私漏洞会暴露用户访问的 onion URL-低调大师

Brave 浏览器的隐私漏洞会暴露用户访问的 onion URL

2021-02-20 1035

在本周的一个在线发布的研究中，一位匿名安全研究人员声称他们发现 Brave 的 Tor 模式正在将对 .onion 域的查询发送到公共 Internet DNS 解析器而不是 Tor 节点，这将暴露用户访问的 onion URL。

Brave 是基于 Chromium 的浏览器，以重视隐私著称，并于 2018 年 6 月添加用于匿名浏览 Web 的内置 Tor 浏览器模式。位于 Tor 上的网站使用 onion URL 地址，因此用户只能通过 Tor 网络访问。例如，DuckDuckGo 的 Tor 地址为 https://3g2upl4pq6kufc4m.onion/，纽约时报的地址为 https://www.nytimes3xbfgragh.onion/。

在使用 Brave 的 Tor 模式时，它本应将所有请求转发到 Tor 代理，并且不向任何非 Tor 网络设备发送任何信息。但是，Brave 的 “Private window with Tor” 模式会导致用户访问的任何 Tor onion URL 也被作为标准 DNS 查询发送到计算机的已配置 DNS 服务器。该问题是由 Brave 的 CNAME 伪装广告阻止功能引起的，该功能用于阻止使用 CNAME DNS 记录模仿第一方脚本的第三方跟踪脚本。

该问题发现之初还受到争议，但随后另外几位著名的安全研究人员也再现了该问题，包括 PortSwigger Web Security 研究总监 James Kettle 和 CERT/CC 团队的漏洞分析师 Will Dormann。

目前该问题已经修复。在问题暴露后，Brave Browser 开发人员 Yan Zhu 表示该问题实际上已在两周以前的 Nightly 版本中修复，并计划于下个稳定版中推出。之后不久，Brave 浏览器就发布了 1.20.108 版本更新。

微信关注我们

原文链接：https://www.oschina.net/news/130452/brave-tor-onion-url-leak

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

ChessBase “剽窃”开源国际象棋引擎 Stockfish

知名国际象棋软件公司 ChessBase 本月发布了 Fat Fritz 2.0，Fat Fritz 2.0 是Fat Fritz 的继任产品，后者基于著名的 AlphaGo 算法。ChessBase 在宣传稿中声称Fat Fritz 2.0 使用了新的日本 AI 技术，无需昂贵显卡即可在普通的计算机处理器上达到最佳性能。此外，根据官方的介绍，Fat Fritz 2.0 庞大的神经网络由初代 Fat Fritz 进行训练，同时应用了来自 Stockfish 的搜索技术。两个强大技术的结合将这个新版本的国际象棋分析功能提升到了全新水平。看起来这只是一次常规的产品迭代升级，除了宣传文案稍显夸张，没有其他不妥之处。然而事实并非如此，这款售价为 99.90 欧元的商业软件被认为是 Stockfish 的衍生产品，Fat Fritz 2.0 基于 Stockfish 修改了几行代码（引擎名称、作者列表和部分参数），增加了一套自称是专有的 NNUE 算法。经过包装便摇身一变，成为了自己原创的产品，并且没有遵守开源协议对相应修改了的代码进行开源。 Stockfish 是采用 GPLv3 开源许可...

2021-02-19

650

echarts 是什么，不用多说了，国内最知名的可视化图表库之一。echarts-for-react 是它的一个极简的 React 封装。一、前言 🎉 echarts** v5 发布之后**，echarts-for-react 上已经有很多很多的 issue 请求支持最新版本，所以，过年期间升级了 v3 版本，支持了最新的 echarts v5。 **很尴尬，目前我是在蚂蚁，主要做大数据 BI 产品 + AntV 数据可视化技术栈。理论上来说，echarts 使我们的竞品，哈哈，然而，我居然还在过年给它升级周边，我想这应该就是开源精神吧。**那就顺便一起打个广告吧，欢迎大家支持我现在的工作。 G2：基于图形语法的数据可视化，提供灵活性、定制性 G2Plot：基于 G2 做的一图已封装，降低大部分简单场景的使用成本 Charts：基于 G2Plot，在 Ant Design 上透出的 React 图表组件库本文还是重点软一下 echarts 和它的 react 封装吧！二、起源在蚂蚁之前，自己在网易游戏入坑前端，当时内部使用 SVG 做代码版本控制，所以自己做了一个类似于 t...

2021-02-19

786

资源下载

更多资源

Nacos

Nacos /nɑ:kəʊs/ 是 Dynamic Naming and Configuration Service 的首字母简称，一个易于构建 AI Agent 应用的动态服务发现、配置管理和AI智能体管理平台。Nacos 致力于帮助您发现、配置和管理微服务及AI智能体应用。Nacos 提供了一组简单易用的特性集，帮助您快速实现动态服务发现、服务配置、服务元数据、流量管理。Nacos 帮助您更敏捷和容易地构建、交付和管理微服务平台。

Spring

Spring框架（Spring Framework）是由Rod Johnson于2002年提出的开源Java企业级应用框架，旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念，提供核心容器、应用上下文、数据访问集成等模块，支持整合Hibernate、Struts等第三方框架，其适用范围不仅限于服务器端开发，绝大多数Java应用均可从中受益。

Sublime Text

Sublime Text具有漂亮的用户界面和强大的功能，例如代码缩略图，Python的插件，代码段等。还可自定义键绑定，菜单和工具栏。Sublime Text 的主要功能包括：拼写检查，书签，完整的 Python API ， Goto 功能，即时项目切换，多选择，多窗口等等。Sublime Text 是一个跨平台的编辑器，同时支持Windows、Linux、Mac OS X等操作系统。

WebStorm

WebStorm 是jetbrains公司旗下一款JavaScript 开发工具。目前已经被广大中国JS开发者誉为“Web前端开发神器”、“最强大的HTML5编辑器”、“最智能的JavaScript IDE”等。与IntelliJ IDEA同源，继承了IntelliJ IDEA强大的JS部分的功能。