Na 8 maanden ontwikkeling is er een belangrijke release van de gespecialiseerde browser Tor Browser 11.5 gepresenteerd, waarin de functionaliteit van de ESR-tak van Firefox 91 verder is ontwikkeld. De browser richt zich op anonimiteit, veiligheid en privacy, waarbij al het verkeer alleen via het Tor-netwerk wordt omgeleid. Directe toegang via de nette verbinding van het huidige systeem is niet mogelijk, waardoor het onmogelijk is om het echte IP-adres van de gebruiker te traceren (in het geval van een hack van de browser kunnen aanvallers toegang krijgen tot de systeeminstellingen van het netwerk, daarom moeten producten zoals Whonix worden gebruikt om mogelijke lekken volledig te blokkeren). Tor Browser-builds zijn voorbereid voor Linux, Windows en macOS.
Terwijl voor extra bescherming in Tor Browser de uitbreiding HTTPS Everywhere is opgenomen, die het mogelijk maakt om verkeer op alle websites te versleutelen waar dat mogelijk is. Om de bedreiging van aanvallen via JavaScript te verminderen en plugins standaard te blokkeren, wordt de uitbreiding NoScript meegeleverd. Voor het bestrijden van blokkering en inspectie van verkeer worden fteproxy en obfs4proxy gebruikt.
Voor het organiseren van een versleuteld communicatiekanaal in omgevingen die al het verkeer behalve HTTP blokkeren, worden alternatieve transporten aangeboden, die bijvoorbeeld het mogelijk maken om de pogingen tot blokkeren van Tor in China te omzeilen. Om tracking van de gebruikersbeweging en het identificeren van specifieke kenmerken van elke bezoeker te voorkomen, zijn API's zoals WebGL, WebGL2, WebAudio, Social, SpeechSynthesis, Touch, AudioContext, HTMLMediaElement, Mediastream, Canvas, SharedWorker, WebAudio, Permissions, MediaDevices.enumerateDevices en screen.orientation uitgeschakeld of beperkt, evenals telemetrieverzending, Pocket, Reader View, HTTP Alternative-Services, MozTCPSocket, 'link rel=preconnect', en is libmdns aangepast.
In de nieuwe versie:
- De interface Connection Assist is toegevoegd om de configuratie van het omzeilen van toegang tot het Tor-netwerk te automatiseren. Voorheen moest de gebruiker bij censuur van het verkeer handmatig brugnodes ontvangen en activeren in de instellingen. In de nieuwe versie wordt het omzeilen van de blokkering automatisch ingesteld, zonder handmatige wijziging van de instellingen - bij verbindingsproblemen worden de kenmerken van de blokkering in verschillende landen in aanmerking genomen en de optimale manier om deze te omzeilen gekozen. Afhankelijk van de locatie van de gebruiker wordt een geprepareerde set instellingen voor zijn land gedownload, wordt een werkend alternatief transport gekozen en wordt de verbinding via brugnodes georganiseerd.
Voor het downloaden van de lijst met brugnodes wordt de tool moat gebruikt, die de techniek "domain fronting" toepast. Dit houdt in dat er via HTTPS verbinding wordt gemaakt met een fictieve host in de SNI en de feitelijke naam van de opgevraagde host in de HTTP-header Host binnen de TLS-sessie wordt doorgegeven (bijvoorbeeld kan een content delivery network worden gebruikt om blokkades te omzeilen).
- De opmaak van het gedeelte van de configurator met instellingen voor het Tor-netwerk is gewijzigd. De wijzigingen zijn gericht op het vereenvoudigen van de handmatige configuratie van het omzeilen van blokkades in de configurator, die nodig kan zijn in het geval van problemen met automatische verbinding. Het gedeelte met Tor-instellingen is hernoemd naar "Connection settings". In de bovenkant van het instellingen-tabblad is de huidige status van de verbinding weergegeven en is er een knop voor het testen van de functionaliteit van directe verbinding (niet via Tor) toegevoegd, waarmee de bron van verbindingsproblemen kan worden gediagnosticeerd.
De lay-out van de informatiekaarten met gegevens over bruggen is gewijzigd, waarmee je werkende bruggen kunt opslaan en delen met andere gebruikers. Daarnaast is er een QR-code toegevoegd die kan worden gescand in de Tor Browser voor Android, naast de knoppen voor het kopiëren en verzenden van de bruggenkaart.
Bij meerdere opgeslagen kaarten worden deze gegroepeerd in een compact overzicht, waarvan de items worden uitgeklapt bij een klik. De gebruikte brug wordt gemarkeerd met het pictogram "✔ Verbonden". Voor een betere visuele scheiding van de brugparameter zijn er "emoji"-afbeeldingen gebruikt. De lange lijst van velden en opties voor bruggen is verwijderd en de beschikbare methoden voor het toevoegen van een nieuwe brug zijn in een apart blok geplaatst.
- De documentatie van de website tb-manual.torproject.org is nu opgenomen in de hoofdset, waarvoor links zijn vanuit de configurator. Hierdoor is de documentatie nu beschikbaar in offline-modus bij problemen met de verbinding. De documentatie kan ook worden bekeken via het menu "Application Menu > Help > Tor Browser Manual" en de servicepagina "about:manual".
- Standaard is de HTTPS-Only-modus ingeschakeld, waarbij alle verzoeken die zonder encryptie worden uitgevoerd automatisch worden omgeleid naar beveiligde versies van pagina's ("http://" wordt vervangen door "https://"). De extensie HTTPS-Everywhere, die eerder werd gebruikt om omleidingen naar HTTPS te maken, is verwijderd uit de desktopversie van Tor Browser, maar blijft in de versie voor Android behouden.
- De ondersteuning voor lettertypen is verbeterd. Om identificatie van het systeem door middel van beschikbare lettertypen te voorkomen, wordt er in Tor Browser een vaste set lettertypen aangeboden en wordt toegang tot systeemlettertypen geblokkeerd. Deze beperking leidde tot problemen met de weergave van informatie op sommige sites die systeemlettertypen gebruikten die niet in de ingebouwde set lettertypen van Tor Browser zaten. Om dit probleem op te lossen, is de ingebouwde set lettertypen in deze nieuwe release uitgebreid, waarbij onder andere lettertypen uit de Noto-familie zijn toegevoegd.
Bron: opennet.ru
