Lỗi GoBalance có thể làm lộ khóa .onion và chiếm quyền địa chỉ
"A flaw in GoBalance, a Go rewrite of Tor's Onionbalance used by some dark-web services, can leak the private key for a site's .onion address from a published descriptor and allow attackers to hijack the address. The issue affects sites storing master keys in Tor's key format; there is no official fix or CVE yet, and impacted operators must rotate to a new .onion address after exposure."
Có thể dẫn đến chiếm quyền địa chỉ .onion và điều hướng người dùng sang bản sao giả; rủi ro tăng cao vì khóa bị lộ từ dữ liệu công khai và chưa có CVE/bản vá chính thức.
Có thể gây gián đoạn dịch vụ, buộc chuyển sang địa chỉ .onion mới và phát sinh chi phí vận hành; đồng thời làm giảm niềm tin người dùng nếu địa chỉ cũ bị lạm dụng.
Một lỗ hổng trong GoBalance — bản viết lại bằng Go của Tor Onionbalance — có thể cho phép kẻ tấn công suy ra khóa riêng của một địa chỉ .onion chỉ từ descriptor công khai, sau đó chiếm quyền điều hướng lưu lượng của địa chỉ đó. Theo công bố của Searchlight Cyber ngày 8/10, việc chiếm quyền không đồng nghĩa với truy cập vào máy chủ, cơ sở dữ liệu hay dữ liệu người dùng của dịch vụ.
Vấn đề nằm ở bước ký: Tor private key dài 64 byte, nhưng GoBalance chỉ chuyển 32 byte đầu cho bộ ký, khiến phần bí mật cần thiết bị bỏ qua. Khi descriptor đã được công bố, khóa có thể bị khôi phục từ thông tin công khai. Lỗi này ảnh hưởng đến các site lưu master key theo định dạng khóa của Tor; Tor và bản gốc Onionbalance không bị ảnh hưởng.
Hiện chưa có CVE chính thức hay bản vá từ nhà phát triển. Một số dịch vụ đã phải chuyển sang địa chỉ .onion mới sau khi phát hiện rò rỉ. Quản trị viên nên xác định phiên bản GoBalance đang dùng, xoay vòng sang địa chỉ mới nếu từng công bố descriptor từ bản lỗi, và xác nhận địa chỉ mới bằng thông báo đã ký trước khi người dùng truy cập. Người dùng nên đổi mật khẩu nếu dịch vụ họ dùng có khả năng bị ảnh hưởng.