Po 8 miesiącach prac deweloperskich zaprezentowano znaczną wersję specjalistycznej przeglądarki Tor Browser 11.5, w której kontynuowane jest rozwijanie funkcji na bazie gałęzi ESR przeglądarki Firefox 91. Przeglądarka koncentruje się na zapewnieniu anonimowości, bezpieczeństwa i prywatności, a cały ruch jest przekierowywany tylko przez sieć Tor. Nie ma możliwości bezpośredniego połączenia się przez standardowe połączenie sieciowe aktualnego systemu, co uniemożliwia śledzenie rzeczywistego adresu IP użytkownika (w przypadku zhakowania przeglądarki, atakujący mogą uzyskać dostęp do parametrów sieci, dlatego w celu całkowitego zablokowania potencjalnych wycieków należy stosować takie produkty jak Whonix). Wydania Tor Browser są przygotowane dla systemów Linux, Windows i macOS.
Aby zapewnić dodatkową ochronę, w skład Tor Browser wchodzi dodatek HTTPS Everywhere, umożliwiający korzystanie z szyfrowania ruchu na wszystkich stronach, gdzie jest to możliwe. W celu zmniejszenia zagrożenia atakami przy użyciu JavaScript oraz domyślnego blokowania wtyczek w zestawie znajduje się dodatek NoScript. Do walki z blokowaniem oraz inspekcją ruchu stosowane są fteproxy i obfs4proxy.
Aby zorganizować szyfrowany kanał komunikacyjny w środowiskach blokujących cały ruch z wyjątkiem HTTP, proponowane są alternatywne transporty, które na przykład pozwalają obejść próby blokowania Tora w Chinach. W celu ochrony przed śledzeniem ruchu użytkownika i wyróżnianiem cech specyficznych dla konkretnego odwiedzającego, wyłączono lub ograniczono API WebGL, WebGL2, WebAudio, Social, SpeechSynthesis, Touch, AudioContext, HTMLMediaElement, Mediastream, Canvas, SharedWorker, WebAudio, Permissions, MediaDevices.enumerateDevices oraz screen.orientation, a także wyłączono środki do przesyłania telemetrii, Pocket, Reader View, HTTP Alternative-Services, MozTCPSocket, „link rel=preconnect”, zmodyfikowany libmdns.
W nowej wersji:
- Dodano interfejs Connection Assist do automatyzacji konfiguracji obejścia blokad dostępu do sieci Tor. Wcześniej w przypadku cenzurowania ruchu użytkownik musiał ręcznie uzyskać i aktywować mostowe węzły w ustawieniach. W nowej wersji obejście blokad jest konfigurowane automatycznie, bez ręcznego zmieniania ustawień — w przypadku problemów z połączeniem uwzględniane są specyfiki blokad w różnych krajach i wybierany jest optymalny sposób ich obejścia. W zależności od lokalizacji użytkownika ładowany jest przygotowany dla jego kraju zestaw ustawień, wybierany jest działający alternatywny transport i organizowane jest połączenie przez mostowe węzły.
Do pobierania listy mostowych węzłów wykorzystywane jest narzędzie moat, które używa techniki „domain fronting”, polegającej na łączeniu się przez HTTPS z fikcyjnym hostem określonym w SNI i rzeczywistym przekazywaniu nazwy żądanego hosta w nagłówku HTTP Host wewnątrz sesji TLS (na przykład można używać sieci dostarczania treści do obejścia blokad).
- Zmieniono wygląd sekcji konfiguratora z ustawieniami parametrów sieci Tor. Zmiany mają na celu uproszczenie ręcznej konfiguracji obejścia blokad w konfiguratorze, która może być wymagana w przypadku problemów z automatycznym połączeniem. Sekcja z ustawieniami Tor została przemianowana na „Ustawienia połączenia”. W górnej części zakładki z ustawieniami zapewniono wyświetlanie aktualnego stanu połączenia oraz dodano przycisk do sprawdzenia funkcjonalności bezpośredniego połączenia (nie przez Tor), pozwalający zdiagnozować źródło problemów z połączeniem.
Zmieniono interfejs kart informacyjnych zawierających dane mostów, dzięki czemu można zapisywać działające mosty i wymieniać się nimi z innymi użytkownikami. W dodatku do przycisków służących do kopiowania i wysyłania kart mostów dodano kod QR, który można zeskanować w wersji Tor Browser na Androida.
W przypadku posiadania kilku zapisanych kart, są one grupowane w kompaktową listę, której elementy rozwijają się po kliknięciu. Używany most jest oznaczony ikoną „✔ Connected”. Aby lepiej rozdzielić parametry mostów, wykorzystano obrazki „emoji”. Usunięto długi wykaz pól i opcji mostów, a dostępne metody dodawania nowego mostu przeniesiono do oddzielnego bloku.
- Do zestawu dołączono dokumentację ze strony tb-manual.torproject.org, do której prowadzą linki w konfiguratorze. Dzięki temu w przypadku problemów z połączeniem dokumentacja jest teraz dostępna w trybie offline. Dokumentację można również obejrzeć przez menu „Application Menu > Help > Tor Browser Manual” oraz stronę serwisową „about:manual”.
- Domyślnie włączony jest tryb tylko dla HTTPS, w którym wszystkie żądania, realizowane bez szyfrowania, są automatycznie przekierowywane na zabezpieczone wersje stron („http://” zastępowane jest przez „https://”). Dodatek HTTPS-Everywhere, wcześniej stosowany do przekierowywania na HTTPS, usunięto z wersji Tor Browser dla systemów desktopowych, ale pozostawiono w wersji na Android.
- Ulepszono wsparcie dla czcionek. Aby zapobiec identyfikacji systemu poprzez przeglądanie dostępnych czcionek, Tor Browser dostarcza ustalony zestaw czcionek, a dostęp do czcionek systemowych jest zablokowany. Takie ograniczenie prowadziło do problemów z wyświetlaniem informacji na niektórych stronach, które używały czcionek systemowych, nie wchodzących w skład wbudowanego zestawu czcionek w Tor Browser. Aby rozwiązać ten problem, w nowym wydaniu poszerzono wbudowany zestaw czcionek, w tym dodano czcionki z rodziny Noto.
Źródło: opennet.ru
