“Kết nối đi vào qua Tor thì dựa vào đâu mà được coi là người nhà?” Một người bạn tự chạy node đã hỏi tôi như vậy. Tôi đọc thông báo đó hai lần, và vướng mắc nằm ở lớp địa chỉ. $BNB
Các peer kết nối đến qua Tor: node nhìn thấy địa chỉ của tiến trình Tor cục bộ, thường nằm trên cùng máy hoặc cùng mạng LAN; địa chỉ thực sự của peer không hề lộ ra ở lớp này. Tùy chọn không bật mặc định -whitelist cấp quyền “tin cậy” dựa trên dải IP: chỉ cần dải đó bao gồm tiến trình Tor thì các kết nối từ bên ngoài cũng được hưởng quyền tương tự. Tùy chọn này vốn nhằm giúp ứng dụng khách đi kèm kết nối với tiến trình Tor cục bộ; tiêu chí chỉ dựa vào IP nguồn, không xác minh đối phương là ai. Khi bật danh sách trắng, các biện pháp hạn chế DoS và giảm thiểu rò rỉ quyền riêng tư đều bị vô hiệu hóa đối với những kết nối đó. $ETH
Rắc rối nằm ở cách đóng gói. Một số nhà phát hành gộp phần mềm node cùng tiến trình Tor rồi tiện thể đặt -whitelist thành dải IP tương ứng; một số ứng dụng khách đi kèm vốn cần bật tùy chọn này mới chạy được. Hai thứ kết hợp với nhau khiến thông báo gốc viết rằng “hàng nghìn node mainnet có thể truy cập” đã đưa tất cả kết nối Tor đến vào danh sách trắng. Các node chưa từng chỉnh tùy chọn không mặc định -whitelist thì hoàn toàn không được tính vào con số đó. $SOL
Bản vá xử lý khá dứt khoát: các kết nối đi vào qua onion bind không bao giờ được đưa vào danh sách trắng, bỏ qua hẳn lớp đối chiếu địa chỉ.
Thay đổi mang số 33395 được mở vào ngày 15 tháng 9 năm 2025, rồi hợp nhất và backport vào ngày 17. Các phiên bản trước 28.3, 29.2 và 30.0 đều bị ảnh hưởng; chỉ các phiên bản phụ tiếp theo mới có bản sửa. Trước đó, ngày 12, Martin Zumsande và Antoine Poinsot đã báo vấn đề cho nhóm bảo mật; cũng trong ngày 17, họ thông báo cho Luke Dashjr, người duy trì Bitcoin Knots; đến ngày 19 thì thông báo cho một số nhà cung cấp phần mềm bị ảnh hưởng. Nếu chưa thể nâng cấp ngay, thông báo chỉ đưa ra một cách khắc phục tạm thời: xóa IP của proxy Tor cục bộ khỏi -whitelist.
Quan điểm cá nhân, không phải lời khuyên đầu tư; tự chịu trách nhiệm về lãi lỗ
#比特币Core披露Tor流量漏洞
Các peer kết nối đến qua Tor: node nhìn thấy địa chỉ của tiến trình Tor cục bộ, thường nằm trên cùng máy hoặc cùng mạng LAN; địa chỉ thực sự của peer không hề lộ ra ở lớp này. Tùy chọn không bật mặc định -whitelist cấp quyền “tin cậy” dựa trên dải IP: chỉ cần dải đó bao gồm tiến trình Tor thì các kết nối từ bên ngoài cũng được hưởng quyền tương tự. Tùy chọn này vốn nhằm giúp ứng dụng khách đi kèm kết nối với tiến trình Tor cục bộ; tiêu chí chỉ dựa vào IP nguồn, không xác minh đối phương là ai. Khi bật danh sách trắng, các biện pháp hạn chế DoS và giảm thiểu rò rỉ quyền riêng tư đều bị vô hiệu hóa đối với những kết nối đó. $ETH
Rắc rối nằm ở cách đóng gói. Một số nhà phát hành gộp phần mềm node cùng tiến trình Tor rồi tiện thể đặt -whitelist thành dải IP tương ứng; một số ứng dụng khách đi kèm vốn cần bật tùy chọn này mới chạy được. Hai thứ kết hợp với nhau khiến thông báo gốc viết rằng “hàng nghìn node mainnet có thể truy cập” đã đưa tất cả kết nối Tor đến vào danh sách trắng. Các node chưa từng chỉnh tùy chọn không mặc định -whitelist thì hoàn toàn không được tính vào con số đó. $SOL
Bản vá xử lý khá dứt khoát: các kết nối đi vào qua onion bind không bao giờ được đưa vào danh sách trắng, bỏ qua hẳn lớp đối chiếu địa chỉ.
Thay đổi mang số 33395 được mở vào ngày 15 tháng 9 năm 2025, rồi hợp nhất và backport vào ngày 17. Các phiên bản trước 28.3, 29.2 và 30.0 đều bị ảnh hưởng; chỉ các phiên bản phụ tiếp theo mới có bản sửa. Trước đó, ngày 12, Martin Zumsande và Antoine Poinsot đã báo vấn đề cho nhóm bảo mật; cũng trong ngày 17, họ thông báo cho Luke Dashjr, người duy trì Bitcoin Knots; đến ngày 19 thì thông báo cho một số nhà cung cấp phần mềm bị ảnh hưởng. Nếu chưa thể nâng cấp ngay, thông báo chỉ đưa ra một cách khắc phục tạm thời: xóa IP của proxy Tor cục bộ khỏi -whitelist.
Quan điểm cá nhân, không phải lời khuyên đầu tư; tự chịu trách nhiệm về lãi lỗ
#比特币Core披露Tor流量漏洞
