Als u de Tor-browser gebruikt, je zou onmiddellijk de laatste update moeten krijgen. Tor Browser 10.0.18 lost een reeks problemen op, een daarvan is een kwetsbaarheid waarmee sites gebruikers kunnen volgen door hun geïnstalleerde apps vingerafdrukken te nemen.
Scheme Flooding Kwetsbaarheid opgelost in Tor Browser 10.0.18
De kwetsbaarheid werd vorige maand onthuld door FingerprintJS. Het bedrijf definieerde het probleem als een 'scheme flooding',” het volgen van gebruikers in verschillende browsers mogelijk maken door de apps te gebruiken die op de apparaten van gebruikers zijn geïnstalleerd.
“In ons onderzoek naar fraudebestrijdingstechnieken, we hebben een kwetsbaarheid ontdekt waardoor websites gebruikers betrouwbaar kunnen identificeren in verschillende desktopbrowsers en hun identiteiten aan elkaar kunnen koppelen. De desktopversies van Tor Browser, Safari, Chrome, en Firefox worden allemaal beïnvloed,” zei Konstantin Darutkin van FingerprintJS in een artikel over de ontdekking.
De onderzoekers besloten om naar de fout te verwijzen als overstroming van het schema, omdat het aangepaste URL-schema's gebruikt als aanvalsvector. Het beveiligingslek maakt ook gebruik van informatie over de geïnstalleerde apps op de computer van een gebruiker, zodat het een permanente unieke identifier toewijst voor het geval de gebruiker van browser wisselt, gebruikt incognitomodus, of VPN.
Ook al treft het probleem met het overstromen van het schema verschillende browsers, het lijkt vooral zorgwekkend te zijn voor Tor-gebruikers. De reden is simpel: Tor-gebruikers vertrouwen op de browser om hun identiteit en IP-adres te beschermen, terwijl dit beveiligingslek het mogelijk maakt om gebruikers in verschillende browsers te volgen. Het kan ook verschillende sites en entiteiten in staat stellen om het echte IP-adres van de gebruiker te volgen wanneer ze overschakelen naar een "gewone" browser zoals Chrome of Firefox.
Gelukkig, de kwetsbaarheid is verholpen in Tor Browser 10.0.18. Het is merkwaardig om te vermelden dat het Tor-project de privacybug heeft opgelost door de 'network.protocol-handler.external' in te stellen’ instelling op false.
In februari 2021, nog een privacybug gerelateerd aan de ingebouwde Tor-modus is gepatcht in de Brave-browser. De bug werd opgemerkt door een insectenjager die bekend staat als xiaoyinl, en gerapporteerd aan Brave via zijn HackerOne bug bounty-programma. De Brave-browser staat bekend om zijn ingebouwde Tor-functie. Echter, de privacymodus die anoniem browsen op het dark web zou moeten toestaan, begon de .onion-domeinen te lekken naar DNS-servers die waren geconfigureerd voor niet-Tor-websites. Hierdoor kunnen de DNS-operators of andere bedreigingsactoren de verborgen services onthullen die de gebruiker nodig heeft.
Niet de eerste keer dat de Tor-browser gevoelig is voor vingerafdrukken van gebruikers
In maart 2016, onafhankelijk beveiligingsonderzoeker Jose Carlos Norte ontdekte ook dat: Tor-gebruikers kunnen vingerafdrukken krijgen. Vingerafdrukken van gebruikers illustreren de manieren om verschillende bewerkingen en details over de online gewoonten van de gebruiker te volgen.
Zoals door Norte, fingerprinting is specifiek dreigt de Tor gebruiker aangezien de gegevens opgeslagen, terwijl hij het web surft (door middel van Tor) kan later worden vergeleken met gegevens uit gewone browser van de gebruiker. Dit is wat de onderzoeker enkele jaren geleden zei:
Een gemeenschappelijk probleem dat tor browser verbinding probeert te pakken is gebruiksvriendelijk fingerprinting. Als een website is in staat om een unieke vingerafdruk die elke gebruiker die de pagina binnenkomt identificeert genereren, dan is het mogelijk om de activiteit van deze gebruiker in tijd te volgen, bijvoorbeeld, correleren bezoeken van de gebruiker gedurende een heel jaar, wetende dat haar dezelfde gebruiker. Of nog erger, het zou mogelijk zijn om de gebruiker te identificeren als de vingerafdruk is hetzelfde in tor browser en in de normale browser gebruikt om te surfen op internet. Het is zeer belangrijk voor de tor browser om elke poging op vingerafdrukken voorkomen dat de gebruiker.
De onderzoeker schetste ook verschillende methoden waarmee Tor-gebruikers vingerafdrukken kunnen nemen, zoals vingerafdrukken van muissnelheid en het ongedaan maken van een CPU-intensieve JavaScript-bewerking in de browser.