💡
原文中文，约1300字，阅读约需3分钟。
📝
内容提要
开源混淆库uTLS存在高危指纹漏洞，可能导致代理流量被识别。该漏洞源于填充机制缺陷，建议用户立即更新至uTLS v1.8.2或更高版本，并暂停使用Chrome指纹功能。
🎯
关键要点
- 开源混淆库uTLS存在高危指纹漏洞，可能导致代理流量被识别。
- 漏洞源于填充机制的缺陷，导致使用代理流量的用户形同透明。
- 建议用户立即更新至uTLS v1.8.2或更高版本，并暂停使用Chrome指纹功能。
- uTLS广泛应用于需要混淆数据包的软件，已发布新版本修复漏洞。
- 漏洞核心在于消失的填充数据包，导致发送小于512字节的数据包。
- 流量审查或防火墙识别可通过测量数据包长度识别伪造的Chrome指纹。
- 基于域名和IP地址的代理流量识别率分别为62.5%和75%，在大样本检测下几乎可达100%。
- 漏洞影响多个Chrome主流版本，用户在过去两年多内使用代理工具时几乎透明。
- 研究人员建议立即更新客户端软件，确保uTLS版本升级到v1.8.2或更高。
- 建议在未完成更新前暂停使用Chrome指纹功能，优先使用Firefox指纹进行模拟。
❓
延伸问答
uTLS中的高危指纹漏洞是什么？
uTLS中的高危指纹漏洞源于填充机制的缺陷，导致使用代理流量的用户形同透明。
如何修复uTLS中的指纹漏洞？
用户应立即更新至uTLS v1.8.2或更高版本，并暂停使用Chrome指纹功能。
该漏洞对代理流量的影响有多大？
该漏洞使得基于域名和IP地址的代理流量识别率分别为62.5%和75%，在大样本检测下几乎可达100%。
为什么uTLS会发送小于512字节的数据包？
uTLS在模拟Chrome指纹时遗漏了填充数据包的关键步骤，导致发送小于512字节的数据包。
使用Chrome指纹功能的风险是什么？
在未更新uTLS之前，使用Chrome指纹功能可能导致流量被识别，用户隐私受到威胁。
研究人员对uTLS漏洞的建议是什么？
研究人员建议立即更新客户端软件，确保uTLS版本升级到v1.8.2或更高，并优先使用Firefox指纹进行模拟。
➡️
