Er is een belangrijke release van de gespecialiseerde browser Tor Browser 12.0 geformuleerd, waarin de overgang naar de ESR-tak van Firefox 102 is gerealiseerd. De browser is gefocust op het waarborgen van anonimiteit, veiligheid en privacy, waarbij al het verkeer uitsluitend door het Tor-netwerk wordt geleid. Directe toegang via de standaard netwerkverbinding van het huidige systeem is niet mogelijk, wat het moeilijk maakt om het echte IP-adres van de gebruiker te traceren (in het geval van een hack van de browser kunnen aanvallers toegang krijgen tot de systeeminstellingen van het netwerk, daarom moeten producten zoals Whonix worden gebruikt om mogelijke lekken volledig te blokkeren). De Tor Browser-builds zijn voorbereid voor Linux, Windows en macOS. De ontwikkeling van een nieuwe versie voor Android wordt uitgesteld.
Terwijl voor extra bescherming in Tor Browser de uitbreiding HTTPS Everywhere is opgenomen, die het mogelijk maakt om verkeer op alle websites te versleutelen waar dat mogelijk is. Om de bedreiging van aanvallen via JavaScript te verminderen en plugins standaard te blokkeren, wordt de uitbreiding NoScript meegeleverd. Voor het bestrijden van blokkering en inspectie van verkeer worden fteproxy en obfs4proxy gebruikt.
Voor het organiseren van een versleuteld communicatiekanaal in omgevingen die al het verkeer behalve HTTP blokkeren, worden alternatieve transporten aangeboden, die bijvoorbeeld het mogelijk maken om de pogingen tot blokkeren van Tor in China te omzeilen. Om tracking van de gebruikersbeweging en het identificeren van specifieke kenmerken van elke bezoeker te voorkomen, zijn API's zoals WebGL, WebGL2, WebAudio, Social, SpeechSynthesis, Touch, AudioContext, HTMLMediaElement, Mediastream, Canvas, SharedWorker, WebAudio, Permissions, MediaDevices.enumerateDevices en screen.orientation uitgeschakeld of beperkt, evenals telemetrieverzending, Pocket, Reader View, HTTP Alternative-Services, MozTCPSocket, 'link rel=preconnect', en is libmdns aangepast.
In de nieuwe versie:
- De overgang naar de codebasis van Firefox 102 ESR en de stabiele tor-tak 0.4.7.12 is gerealiseerd.
- Meertalige builds zijn geleverd - eerder was het nodig om een aparte build voor elke taal te downloaden, en nu is er een universele build die het mogelijk maakt om de talen on-the-fly te schakelen. Voor nieuwe installaties in Tor Browser 12.0 wordt automatisch de taal geselecteerd die overeenkomt met de ingesteld locale van het systeem (de taal kan tijdens het gebruik worden gewijzigd), en bij de overstap vanaf de 11.5.x-tak zal de eerder gebruikte taal in Tor Browser worden behouden. De meertalige build neemt ongeveer 105 MB in beslag.
- In de versie voor het Android-platform is de HTTPS-Only modus standaard ingeschakeld, waarbij alle verzoeken die zonder encryptie worden uitgevoerd automatisch worden omgeleid naar de beveiligde versies van pagina's ('http://' wordt vervangen door 'https://'). In de builds voor desktop-systemen was een vergelijkbare modus ingeschakeld in de vorige belangrijke versie.
- In de versie voor het Android-platform is er een instelling 'Prioritize .onion sites' toegevoegd aan de sectie 'Privacy and Security', die zorgt voor automatische doorsturing naar onion-sites wanneer er pogingen worden gedaan om web-sites te openen die de HTTP-header 'Onion-Location' afgegeven, wat wijst op de aanwezigheid van een versie van de site op het Tor-netwerk.
- Interfacevertalingen zijn toegevoegd voor het Albanees en het OekraĆÆens.
- De tor-launcher component, die de uitvoering van Tor voor Tor Browser mogelijk maakt, is herzien.
- De implementatie van de letterboxing-mechanisme is verbeterd, waarmee marges rond de inhoud van webpagina's worden toegevoegd om identificatie op basis van venstergrootte te blokkeren. Er is een optie toegevoegd om letterboxing uit te schakelen voor betrouwbare pagina's, en een verwijdering van eenpixelranden rond fullscreen video's is gerealiseerd, waarmee potentiƫle informatielekken zijn opgelost.
- Na de audit is de ondersteuning voor HTTP/2 Push ingeschakeld.
- Datalekken over de locale via de API Intl, systeemkleuren via CSS4 en geblokkeerde poorten (network.security.ports.banned) zijn voorkomen.
- De Presentation API en Web MIDI zijn uitgeschakeld.
- Natuurlijke builds zijn voorbereid voor Apple-apparaten met Apple Silicon-chips.
Bron: opennet.ru
