Eine bedeutende Version des spezialisierten Browsers Tor Browser 12.0 wurde veröffentlicht, die den Wechsel zur ESR-Version von Firefox 102 vollzogen hat. Der Browser konzentriert sich auf Anonymität, Sicherheit und Privatsphäre, wobei der gesamte Datenverkehr ausschließlich über das Tor-Netzwerk geleitet wird. Ein direkter Zugriff über die Standardnetzwerkverbindung des aktuellen Systems ist nicht möglich, wodurch die tatsächliche IP-Adresse des Benutzers nicht zurückverfolgt werden kann (im Falle eines Browser-Hacks könnten Angreifer Zugriff auf die Systemeinstellungen des Netzwerks erhalten, weshalb zur vollständigen Vermeidung möglicher Lecks Produkte wie Whonix verwendet werden sollten). Die Tor Browser-Versionen sind für Linux, Windows und macOS verfügbar. Die neue Version für Android verzögert sich.
Um zusätzlichen Schutz zu gewährleisten, enthält der Tor Browser die Erweiterung HTTPS Everywhere, die die Verschlüsselung des Datenverkehrs auf allen möglichen Websites ermöglicht. Zur Verringerung der Bedrohungen durch Angriffe, die JavaScript nutzen, und zur standardmäßigen Blockierung von Plugins wird das Add-on NoScript mitgeliefert. Zur Bekämpfung von Blockierungen und Traffic-Inspektionen kommen fteproxy und obfs4proxy zum Einsatz.
Um einen verschlüsselten Kommunikationskanal in Umgebungen zu organisieren, die jeglichen Datenverkehr außer HTTP blockieren, werden alternative Transportsysteme angeboten, die beispielsweise helfen, Blockierungsversuche von Tor in China zu umgehen. Um das Tracking des Benutzerverhaltens und die Identifizierung spezifischer Eigenschaften eines bestimmten Besuchers zu verhindern, sind APIs wie WebGL, WebGL2, WebAudio, Social, SpeechSynthesis, Touch, AudioContext, HTMLMediaElement, Mediastream, Canvas, SharedWorker, WebAudio, Permissions, MediaDevices.enumerateDevices und screen.orientation deaktiviert oder eingeschränkt. Zudem wurden Telemetrie-Dienste, Pocket, Reader View, HTTP Alternative-Services, MozTCPSocket, "link rel=preconnect" sowie eine modifizierte libmdns abgeschaltet.
In der neuen Version:
- Der Wechsel zur Codebasis von Firefox 102 ESR und zur stabilen Version von Tor 0.4.7.12 wurde vollzogen.
- Mehrsprachige Builds werden bereitgestellt – früher musste für jede Sprache ein separater Build heruntergeladen werden, jetzt gibt es einen universellen Build, der das nahtlose Wechseln zwischen den Sprachen ermöglicht. Bei neuen Installationen in Tor Browser 12.0 wird automatisch die Sprache ausgewählt, die mit der in der Systemlocale festgelegten Sprache übereinstimmt (die Sprache kann während des Betriebs geändert werden), und beim Wechsel von der Version 11.5.x wird die zuvor verwendete Sprache im Tor Browser beibehalten. Der mehrsprachige Build benötigt etwa 105 MB.
- In der Android-Version ist standardmäßig der HTTPS-Only-Modus aktiviert, bei dem alle Anfragen, die ohne Verschlüsselung ausgeführt werden, automatisch auf die geschützten Versionen der Seiten umgeleitet werden ("http://" wird durch "https://" ersetzt). In den Desktop-Builds wurde ein ähnlicher Modus in der letzten wichtigen Version aktiviert.
- In der Android-Version wurde im Abschnitt "Privatsphäre und Sicherheit" die Einstellung ".onion-Seiten priorisieren" hinzugefügt, die eine automatische Weiterleitung zu onion-Seiten ermöglicht, wenn der Versuch unternommen wird, Webseiten zu öffnen, die den HTTP-Header "Onion-Location" ausgeben, der auf eine Version der Seite im Tor-Netzwerk hinweist.
- Übersetzungen der Benutzeroberfläche in Albanisch und Ukrainisch wurden hinzugefügt.
- Die Komponente tor-launcher wurde überarbeitet, um den Start von Tor für den Tor Browser zu ermöglichen.
- Die Implementierung des Letterboxing-Mechanismus wurde verbessert. Dieser fügt Ränder um den Inhalt von Webseiten hinzu, um eine Identifizierung anhand der Fenstergröße zu verhindern. Es wurde die Möglichkeit geschaffen, Letterboxing für vertrauenswürdige Seiten zu deaktivieren, und es wurde das Entfernen von einpixeligen Rahmen um Vollbildvideos umgesetzt; potenzielle Informationslecks wurden behoben.
- Nach einem Audit wurde die Unterstützung für HTTP/2 Push aktiviert.
- Datenlecks zu Locale-Informationen über die API Intl, zu systemweiten Farben über CSS4 und zu gesperrten Ports (network.security.ports.banned) wurden verhindert.
- Die API Presentation und Web MIDI wurden deaktiviert.
- Native Builds für Apple-Geräte mit Apple Silicon Chips wurden vorbereitet.
Quelle: opennet.ru
