Release des Tor Browsers 11.0.2. Erweiterung zur Blockierung von Tor-Webseiten. Mögliche Angriffe auf Tor.

Die Veröffentlichung des spezialisierten Browsers Tor Browser 11.0.2 wurde vorgestellt, der sich auf Anonymität, Sicherheit und Privatsphäre konzentriert. Bei der Nutzung des Tor Browsers wird der gesamte Datenverkehr nur über das Tor-Netzwerk umgeleitet, und ein direkter Zugriff über die reguläre Netzwerkverbindung des aktuellen Systems ist nicht möglich, was die tatsächliche IP-Adresse des Nutzers unauffindbar macht (im Falle eines Browser-Hacks könnten Angreifer auf die Systemeinstellungen des Netzwerks zugreifen, daher sollten Produkte wie Whonix zur vollständigen Vermeidung möglicher Lecks verwendet werden). Die Tor Browser-Builds sind für Linux, Windows und macOS vorbereitet.

Um zusätzlichen Schutz zu gewährleisten, enthält der Tor Browser die Erweiterung HTTPS Everywhere, die die Verschlüsselung des Datenverkehrs auf allen Websites, wo immer möglich, ermöglicht. Um die Bedrohungen durch Angriffe mit JavaScript zu verringern und standardmäßig Plugins zu blockieren, wird die Erweiterung NoScript mitgeliefert. Zur Bekämpfung von Blockierungen und Traffic-Inspektionen kommen alternative Transportmittel zum Einsatz. Um spezifische Merkmale für einzelne Besucher zu verhindern, sind API WebGL, WebGL2, WebAudio, Social, SpeechSynthesis, Touch, AudioContext, HTMLMediaElement, Mediastream, Canvas, SharedWorker, WebAudio, Permissions, MediaDevices.enumerateDevices und screen.orientation deaktiviert oder eingeschränkt, und Telemetrie-Übertragungen, Pocket, Reader View, HTTP Alternative-Services, MozTCPSocket, „link rel=preconnect“ sowie eine modifizierte libmdns wurden deaktiviert.

In der neuen Version wurde die Synchronisierung mit dem Code-Base-Release Firefox 91.4.0 durchgeführt, das 15 Sicherheitsanfälligkeiten behebt, von denen 10 als kritisch eingestuft sind. 7 dieser Sicherheitsanfälligkeiten wurden durch Speicherprobleme verursacht, wie etwa Pufferüberläufe und der Zugriff auf bereits freigegebene Speicherbereiche, die potenziell zur Ausführung von Code eines Angreifers führen könnten, wenn speziell gestaltete Seiten geöffnet werden. Aus der Version für die Linux-Plattform wurden einige ttf-Schriftarten entfernt, deren Verwendung zu Darstellungsproblemen von Text in den Benutzeroberflächenelementen in Fedora Linux führte. Die Einstellung „network.proxy.allow_bypass“, die die Aktivität zum Schutz vor Missbrauch der Proxy-API in Erweiterungen steuert, wurde deaktiviert. Für den obfs4-Transport wurde standardmäßig ein neuer Gateway „deusexmachina“ implementiert.

In der Zwischenzeit geht die Geschichte der Blockierung von Tor in Russland weiter. Die Roskomnadzor hat die Maske blockierter Websites im Register der verbotenen Seiten geändert. Domains Die Umstellung von «www.torproject.org» auf «*.torproject.org» hat die Liste der zu blockierenden IP-Adressen erweitert. Aufgrund dieser Änderung wurden die meisten Subdomänen des Tor-Projekts, einschließlich blog.torproject.org, gettor.torproject.org und support.torproject.org, blockiert. Der Zugang zu forum.torproject.net, das in der Infrastruktur von Discourse gehostet wird, bleibt weiterhin bestehen. Teilweise sind gitlab.torproject.org und lists.torproject.org zugänglich, zu denen anfänglich kein Zugang bestand, der jedoch wahrscheinlich nach einer IP-Adressänderung wiederhergestellt wurde (gitlab verweist derzeit auf den Host gitlab-02.torproject.org).

In diesem Zusammenhang wurden keine Blockierungen von Tor-Gateways und Knoten sowie des Hosts ajax.aspnetcdn.com (CDN Microsoft) festgestellt, der im Transport von meek-asure verwendet wird. Anscheinend wurden die Experimente zur Blockierung von Tor-Knoten nach der Sperrung der Tor-Website eingestellt. Eine komplizierte Situation ergibt sich mit dem Spiegel tor.eff.org, der weiterhin funktioniert. Der Grund dafür ist, dass der Spiegel tor.eff.org an die gleiche IP-Adresse, die für die Domain eff.org der Organisation EFF (Electronic Frontier Foundation) verwendet wird, gebunden ist. Daher würde die Blockierung von tor.eff.org zu einer teilweisen Blockierung der Website einer bekannten Menschenrechtsorganisation führen.

Zusätzlich kann auf die Veröffentlichung eines neuen Berichts über mögliche Angriffe zur De-Anonymisierung von Tor-Nutzern hingewiesen werden, die mit der Gruppe KAX17 in Verbindung gebracht werden, die durch spezifische gefälschte Kontakt-E-Mails in den Knotenparametern gekennzeichnet ist. Im Laufe von September und Oktober hat das Tor-Projekt 570 potenziell schädliche Knoten blockiert. Im Höhepunkt gelang es der Gruppe KAX17, die Anzahl der kontrollierten Knoten im Tor-Netzwerk auf 900 zu erhöhen, verteilt auf 50 verschiedene Anbieter, was ungefähr 14% der Gesamtzahl der Relais entspricht (zum Vergleich: 2014 gelang es Angreifern, die Kontrolle über fast die Hälfte der Tor-Relais zu übernehmen, und 2020 über 23,95% der Ausstiegsknoten).

Das Hosting einer großen Anzahl von Knoten, die von einem einzigen Betreiber kontrolliert werden, ermöglicht die De-Anonymisierung von Nutzern durch einen Sybil-Angriff. Dieser kann durchgeführt werden, wenn Angreifer die Kontrolle über den ersten und den letzten Knoten in der Anonymisierungskette haben. Der erste Knoten in der Tor-Kette kennt die IP-Adresse des Nutzers, während der letzte die IP-Adresse des angeforderten Dienstes kennt. Dies ermöglicht es, die Anfrage zu de-anonymisieren, indem am Eingangs-Knoten eine bestimmte geheime Markierung in die Paket-Header eingefügt wird, die während der gesamten Anonymisierungskette unverändert bleibt, und durch die Analyse dieses Tags am Ausgangsknoten. Wenn Angreifer auch die Ausgangsknoten kontrollieren, können sie Änderungen am unverschlüsselten Datenverkehr vornehmen, zum Beispiel Weiterleitungen auf die HTTPS-Varianten von Websites entfernen und unverschlüsselten Inhalt abfangen.

Nach Angaben von Vertretern des Tor-Netzwerks wurden die meisten der im Herbst entfernten Knoten nur als Zwischenknoten verwendet und kamen nicht zur Verarbeitung von eingehenden und ausgehenden Anfragen. Einige Forscher weisen darauf hin, dass die Knoten allen Kategorien angehörten und die Wahrscheinlichkeit, auf einen von der Gruppe KAX17 kontrollierten Eingangsknoten zu treffen, 16 % betrug, während die Wahrscheinlichkeit, auf einen Ausgangsknoten zu treffen, bei 5 % lag. Selbst wenn dies der Fall ist, wird die Gesamtwahrscheinlichkeit, dass ein Nutzer gleichzeitig auf einen Eingangs- und einen Ausgangsknoten einer Gruppe von 900 KAX17-Knoten gelangt, auf 0,8 % geschätzt. Direkte Beweise für die Verwendung von KAX17-Knoten zur Durchführung von Angriffen fehlen, solche Angriffe sind jedoch potenziell nicht ausgeschlossen.

Quelle: opennet.ru