È disponibile per il download la nuova versione di Tor Browser da sito ufficiale, catalogo delle versioni e Google Play. La versione per F-Droid sarà disponibile nei prossimi giorni.
Nell'aggiornamento sono incluse importanti correzioni di sicurezza Firefox.
Il nuovo aggiornamento si concentra sul miglioramento della facilità d'uso e sulla semplificazione del lavoro con i servizi onion.
I servizi onion di Tor sono uno dei modi più popolari e semplici per stabilire una connessione crittografata finale. Grazie a essi, l'amministratore può garantire l'accesso anonimo alle risorse e nascondere i metadati da osservatori esterni. Inoltre, questi servizi consentono di aggirare la censura, proteggendo allo stesso tempo la privacy dell'utente.
Ora, al primo avvio di Tor Browser, gli utenti avranno la possibilità di scegliere di utilizzare l'indirizzo onion per impostazione predefinita nel caso in cui la risorsa remota fornisca tale indirizzo. In passato, alcune risorse reindirizzavano automaticamente gli utenti verso l'indirizzo onion quando il Tor veniva rilevato, utilizzando una tecnologia alt-svc. E sebbene l'uso di tali metodi sia ancora attuale, il nuovo sistema di selezione delle preferenze permetterà di informare gli utenti sulla disponibilità dell'indirizzo onion.
Onion Locator
I proprietari delle risorse online hanno ora la possibilità di informare sulla disponibilità dell'indirizzo onion attraverso un intestazione HTTP speciale. Al primo accesso dell'utente con Onion Locator attivato a una risorsa con tale intestazione e disponibilità .onion, l'utente riceverà una notifica che consente di preferire .onion (vedi foto).
Autenticazione Onion
Gli amministratori dei servizi onion, che desiderano aumentare la sicurezza e la riservatezza del proprio indirizzo, possono attivare l'autenticazione. Ora gli utenti di Tor Browser riceveranno una notifica con una richiesta di chiave quando tentano di connettersi a tali servizi. Gli utenti possono salvare le chiavi inserite e gestirle nella scheda about:preferences#privacy nella sezione Autenticazione dei servizi Onion (vedi esempio di notifica)
È stato migliorato il sistema di notifiche di sicurezza nella barra degli indirizzi
Tradizionalmente, i browser segnalano le connessioni con TLS con l'icona di un lucchetto verde. E da metà del 2019, nel browser Firefox, il lucchetto è diventato grigio per attirare meglio l'attenzione degli utenti non sulla connessione protetta per impostazione predefinita, ma sui problemi di sicurezza (maggiori informazioni qui). Tor Browser nella nuova versione segue l'esempio di Mozilla, il che rende ora molto più semplice per gli utenti capire che la connessione onion non è sicura (quando si carica contenuto misto dalla rete «normale» o in presenza di altri problemi, esempio qui)
Pagine di errore separate per indirizzi onion
Periodicamente gli utenti incontrano problemi di connessione agli indirizzi onion. Nelle versioni precedenti di Tor Browser, quando si verificavano problemi con la connessione a .onion, gli utenti visualizzavano la notifica di errore standard di Firefox, senza alcuna spiegazione sul motivo dell'inaccessibilità dell'indirizzo onion. Nella nuova versione sono state aggiunte notifiche informative sugli errori per gli utenti, il server e la rete stessa. Tor Browser mostra ora un semplice diagramma di connessione, dal quale è possibile dedurre la causa dei problemi di collegamento.
Nomi per Onion
A causa delle peculiarità della protezione crittografica dei servizi onion, gli indirizzi onion sono difficili da memorizzare (confronta, ad esempio, https://torproject.org e http://expyuzz4wqqyqhjn.onion/). Questo rende la navigazione molto più complicata, con gli utenti che faticano a scoprire nuovi indirizzi e a tornare a quelli vecchi. I proprietari degli indirizzi avevano in precedenza risolto il problema in vari modi, ma fino ad ora non esisteva una soluzione universale, adatta a tutti gli utenti. Il progetto Tor ha affrontato il problema da un'altra angolazione: nella preparazione di questa versione, è stata avviata una partnership con la Freedom of the Press Foundation (FPF) e HTTPS Everywhere (Electronic Frontier Foundation) per creare i primi indirizzi SecureDrop concettuali e leggibili (vedi qui). Esempi:
The Intercept:
- http://theintercept.securedrop.tor.onion/
- http://xpxduj55x2j27l2qytu2tcetykyfxbjbafin3x4i3ywddzphkbrd3jyd.onion/
Lucy Parsons Labs:
La FPF è riuscita a coinvolgere un numero limitato di organizzazioni mediatiche nell'esperimento, e il Tor Project insieme alla FPF prenderanno decisioni future su questa iniziativa basate sui feedback sul concetto.
Elenco completo delle modifiche:
- Tor Launcher aggiornato alla versione 0.2.21.8
- NoScript aggiornato alla versione 11.0.26
- Firefox aggiornato alla versione 68.9.0esr
- HTTPS-Everywhere aggiornato alla versione 2020.5.20
- Il router Tor aggiornato alla versione 0.4.3.5
- goptlib aggiornato alla v1.1.0
- Wasm disattivato fino a audit adeguato
- Rimossi i punti di impostazione obsoleti da Torbutton
- Удалён неиспользуемый код в torbutton.js
- Rimosso la sincronizzazione delle impostazioni di isolamento e fingerprinting_prefs in Torbutton
- Il modulo control port migliorato per compatibilità con l'autenticazione v3 onion
- Настройки по умолчанию перенесены в файл 000-tor-browser.js
- torbutton_util.js перемещён в modules/utils.js
- Ripristinata la possibilità di abilitare il rendering dei font Graphite nelle impostazioni di sicurezza
- Rimosso lo script eseguibile da aboutTor.xhtml
- libevent aggiornato a 2.1.11-stable
- Corretta la gestione delle eccezioni in SessionStore.jsm
- Portata la prima parte dell'isolamento per indirizzi IPv6
- Services.search.addEngine non ignora più l'isolamento FPI
- Disabilitato MOZ_SERVICES_HEALTHREPORT
- Portati correttivi errori 1467970, 1590526 e 1511941
- Corretta l'errore nella rimozione dell'estensione disconnect search
- Corretto un errore 33726: IsPotentiallyTrustworthyOrigin per .onion
- Corretta la non funzionalità del browser spostandolo in un'altra cartella
- Migliorato il comportamento letterboxing
- Rimosso il motore di ricerca Disconnect
- Attivato il supporto per il set di regole SecureDrop in HTTPS-Everywhere
- Eliminate le tentativi di leggere /etc/firefox
Fonte: linux.org.ru
