È stata rilasciata una significativa versione del browser specializzato Tor Browser 12.0, che ha effettuato il passaggio al ramo ESR di Firefox 102. Il browser si concentra su anonimato, sicurezza e privacy, reindirizzando tutto il traffico esclusivamente attraverso la rete Tor. Non è possibile connettersi direttamente tramite la connessione di rete originale del sistema attuale, il che impedisce di tracciare l'indirizzo IP reale dell'utente (in caso di attacco al browser, gli aggressori potrebbero accedere ai parametri di rete del sistema, quindi per bloccare completamente eventuali perdite è consigliabile utilizzare prodotti come Whonix). Le build di Tor Browser sono disponibili per Linux, Windows e macOS. Il rilascio della nuova versione per Android è in ritardo.
Per garantire una protezione aggiuntiva, Tor Browser include l'estensione HTTPS Everywhere, che consente di utilizzare la crittografia del traffico su tutti i siti web dove possibile. Per ridurre la minaccia di attacchi tramite JavaScript e disabilitare per impostazione predefinita i plugin, viene fornita l'estensione NoScript. Per combattere la censura e l'ispezione del traffico, vengono utilizzati fteproxy e obfs4proxy.
Per organizzare un canale di comunicazione crittografato in ambienti che bloccano qualsiasi traffico al di fuori di HTTP, sono disponibili trasporti alternativi che, ad esempio, consentono di aggirare i tentativi di bloccare Tor in Cina. Per proteggere dalla tracciabilità degli spostamenti dell'utente e per evitare di evidenziare caratteristiche specifiche di ogni visitatore, sono disabilitati o limitati API come WebGL, WebGL2, WebAudio, Social, SpeechSynthesis, Touch, AudioContext, HTMLMediaElement, Mediastream, Canvas, SharedWorker, WebAudio, Permissions, MediaDevices.enumerateDevices e screen.orientation, oltre a essere disabilitati strumenti di invio telemetria, Pocket, Reader View, HTTP Alternative-Services, MozTCPSocket, "link rel=preconnect" e modificato libmdns.
Nella nuova versione:
- È stato effettuato il passaggio alla base di codice Firefox 102 ESR e al ramo stabile tor 0.4.7.12.
- Sono state fornite versioni multilingue: in precedenza era necessario scaricare una build separata per ogni lingua, mentre ora è disponibile una build universale che consente di cambiare lingua al volo. Per le nuove installazioni in Tor Browser 12.0, verrà automaticamente selezionata la lingua corrispondente alla locale impostata nel sistema (la lingua può essere cambiata durante l'uso), mentre per l'aggiornamento dalla versione 11.5.x sarà mantenuta la lingua precedentemente utilizzata nel Tor Browser. La build multilingue occupa circa 105 MB.
- Nella versione per Android, la modalità HTTPS-Only è attivata di default, il che significa che tutte le richieste effettuate senza crittografia vengono automaticamente reindirizzate a versioni protette delle pagine ("http://" viene sostituito da "https://"). Questa modalità era stata attivata nella precedente versione significativa per i sistemi desktop.
- Nella versione per Android è stata aggiunta nella sezione "Privacy and Security" l'impostazione "Prioritize .onion sites", che garantisce il reindirizzamento automatico ai siti onion quando si cerca di aprire siti web che restituiscono l'intestazione HTTP "Onion-Location", indicando la presenza di una versione del sito nella rete Tor.
- Sono state aggiunte le traduzioni dell'interfaccia in albanese e ucraino.
- Rivisitato il componente tor-launcher, che consente di avviare Tor per Tor Browser.
- Migliorata l'implementazione del meccanismo di letterboxing, che aggiunge margini attorno ai contenuti delle pagine web per bloccare l'identificazione in base alla dimensione della finestra. È stata fornita la possibilità di disabilitare il letterboxing per le pagine affidabili, implementata la rimozione di bordi a pixel singolo attorno ai video a schermo intero, e risolti potenziali problemi di fuga di informazioni.
- Dopo l'audit, è stata abilitata la supporto per HTTP/2 Push.
- Prevenute perdite di dati sulla localizzazione tramite API Intl, sui colori di sistema tramite CSS4 e sulle porte bloccate (network.security.ports.banned).
- Disabilitato l'API Presentation e Web MIDI.
- Preparati pacchetti nativi per dispositivi Apple con chip Apple Silicon.
Fonte: opennet.ru
