È stato rilasciato un importante aggiornamento del browser specializzato Tor Browser 12.0, che segna il passaggio al ramo ESR di Firefox 102. Il browser è focalizzato sulla garanzia di anonimato, sicurezza e privacy, con tutto il traffico che viene instradato esclusivamente attraverso la rete Tor. Non è possibile connettersi direttamente tramite la connessione di rete standard del sistema attuale, impedendo così di tracciare il vero indirizzo IP dell'utente (in caso di compromissione del browser, gli attaccanti possono accedere alle impostazioni di rete del sistema, pertanto per bloccare completamente potenziali perdite è consigliabile utilizzare prodotti come Whonix). Le versioni di Tor Browser sono disponibili per Linux, Windows e macOS. La creazione di una nuova versione per Android è in ritardo.
Per garantire una protezione addizionale, Tor Browser include l'estensione HTTPS Everywhere, che consente di utilizzare la crittografia del traffico su tutti i siti dove è possibile. Per ridurre il rischio di attacchi con JavaScript e bloccare per impostazione predefinita i plugin, è presente l'estensione NoScript. Per contrastare il blocco e l'ispezione del traffico vengono utilizzati fteproxy e obfs4proxy.
Per organizzare un canale di comunicazione crittografato in ambienti che bloccano qualsiasi traffico tranne HTTP, vengono proposti trasporti alternativi, che, ad esempio, consentono di eludere i tentativi di bloccare Tor in Cina. Per proteggere contro il tracciamento della posizione dell'utente e per evitare caratteristiche specifiche per visitatori particolari, sono stati disabilitati o limitati gli API WebGL, WebGL2, WebAudio, Social, SpeechSynthesis, Touch, AudioContext, HTMLMediaElement, Mediastream, Canvas, SharedWorker, WebAudio, Permissions, MediaDevices.enumerateDevices e screen.orientation, così come sono stati disabilitati gli strumenti di telemetria, Pocket, Reader View, HTTP Alternative-Services, MozTCPSocket, "link rel=preconnect", modificato libmdns.
Nella nuova versione:
- È avvenuto il passaggio alla base di codice di Firefox 102 ESR e al ramo stabile tor 0.4.7.12.
- Sono disponibili versioni multilingue: in precedenza, per ogni lingua era necessario scaricare una versione separata, mentre ora è fornita una versione universale che consente di cambiare lingua al volo. Per le nuove installazioni in Tor Browser 12.0 verrà automaticamente selezionata la lingua corrispondente alla locale impostata nel sistema (la lingua può essere cambiata durante l'uso), mentre nel passaggio dal ramo 11.5.x verrà mantenuta la lingua precedentemente utilizzata in Tor Browser. La versione multilingue occupa circa 105 MB.
- Nella versione per la piattaforma Android, per impostazione predefinita è attivata la modalità HTTPS-Only, in cui tutte le richieste eseguite senza crittografia vengono automaticamente instradate alle versioni protette delle pagine ("http://" viene sostituito con "https://"). Nelle versioni per sistemi desktop, questa modalità è stata attivata nella precedente versione significativa.
- Nella versione per la piattaforma Android è stata aggiunta nella sezione "Privacy e Sicurezza" l'impostazione "Dare priorità ai siti .onion", che garantisce l'instradamento automatico ai siti onion quando si tenta di aprire siti web che restituiscono l'intestazione HTTP "Onion-Location", che indica la disponibilità di una versione del sito nella rete Tor.
- Sono state aggiunte le traduzioni dell'interfaccia nelle lingue albanese e ucraina.
- Rivisitato il componente tor-launcher, che gestisce l'avvio di Tor per Tor Browser.
- È stata migliorata l'implementazione del meccanismo di letterboxing, che aggiunge margini attorno ai contenuti delle pagine web per bloccare l'identificazione in base alle dimensioni della finestra. È stata fornita la possibilità di disabilitare il letterboxing per le pagine fidate, sono state implementate rimozioni dei bordi di un pixel attorno ai video a schermo intero e sono state risolte potenziali perdite di informazioni.
- Dopo un audit, è stata attivata la supporto per HTTP/2 Push.
- Sono state prevenute perdite di dati sulla locale tramite API Intl, sui colori di sistema tramite CSS4 e sulle porte bloccate (network.security.ports.banned).
- È stata disattivata l'API Presentation e Web MIDI.
- Sono state preparate versioni native per dispositivi Apple con chip Apple Silicon.
Fonte: opennet.ru
