Onderzoeker: Tor Browser-gebruikers kwetsbaar voor aanval
Door verschillende kwetsbaarheden aan elkaar te koppelen is het mogelijk om gebruikers van Tor Browser met malware te infecteren, ongeacht welk platform ze gebruiken, zo claimt een beveiligingsonderzoeker genaamd "movrcx". De aanval zou zowel door een staat als de beheerder van een Tor-exitserver zijn uit te voeren, maar is niet eenvoudig, aangezien er een geldig of gespooft certificaat voor addons.mozilla.org is vereist.
Daarnaast moet de aanvaller voldoende Tor-exitservers beheren. Ook dit is volgens de onderzoeker niet ondenkbaar. Het privacynetwerk bestaat uit allerlei servers van vrijwilligers die het verkeer van Tor Browser-gebruikers verwerken. Dit verkeer loopt via meerdere servers om de identiteit van de gebruiker te maskeren. Zo is de eerste server de "entry guard", die het verzoek van de Tor-gebruiker naar de "relay node" doorstuurt. Vervolgens gaat het van deze server naar de "exit-node", die het verzoek naar het internet stuurt.
Tor Browser bestaat uit een aangepaste Firefox-versie, software om verbinding met het Tor-netwerk te maken en verschillende Firefox-extensies voor extra veiligheid. Deze extensies kunnen automatisch worden geüpdatet via addons.mozilla.org. Een aanvaller kan met het eerder verkregen certificaat het updateverkeer van de NoScript-extensie in Tor Browser naar addons.mozilla.org onderscheppen. Vervolgens stuurt de aanvaller een kwaadaardige extensie terug die vervolgens zonder interactie van gebruikers wordt geïnstalleerd.
De kern van het probleem is volgens de onderzoeker dat het Tor Project/Mozilla certificaatpinning voor het updateproces van extensies niet hebben geïmplementeerd. In het geval van certificaatpinning accepteert de browser alleen certificaten die door bepaalde certificaatautoriteiten zijn uitgegeven. Als het certificaat door een certificaatautoriteit is uitgegeven die niet op de whitelist staat geeft de browser een waarschuwing. Google Chrome ondersteunde deze maatregel als eerste en zorgde er zo voor dat de aanval op DigiNotar in de openbaarheid kwam.
Volgens de onderzoeker kan een aanvaller die over voldoende middelen beschikt via de door hem geschetste methode alle Tor Browser-gebruikers infecteren. Naar eigen zeggen is het onderzoek naar de aanvalsmethode nog in volle gang, maar heeft hij besloten nu al in de openbaarheid te treden zodat er snel een oplossing kan worden uitgerold.
Simpele optel som. Een project die gefundeerd is door de Amerikaanse overheid welke vervolgens aan het publiek is vrijgegeven. Welk argument in die zin moet al bellen laten rinkelen?
Simpele optel som. Een project die gefundeerd is door de Amerikaanse overheid welke vervolgens aan het publiek is vrijgegeven. Welk argument in die zin moet al bellen laten rinkelen?
Over rinkelende bellen gesproken.
Omdat je naam ook je website is dat zogenaamde privacy producten verkoopt even aangestipt waarom Tor meer te vertrouwen is dan jouw zeer dure pseudo privacy services.
https://www.badass.sx/badass-faq/
Prijs
https://www.security.nl/posting/429638/Friese+USB-stick+voor+anoniem+internetten+kost+999+euro
Pseudo privacy
Simple, if it has something to do with child porn or terrorism, i will do everything in my power to reveal their identity to the local authorities. Don’t get me wrong, privacy IS a huge issue for me, but when you abuse children or bomb people for the love of your god, you are just plain sick in your head. I don’t want that kind of customers in my administration.
Badass toont zich daarmee 'een echte badass' door helemaal geen privacy te garanderen!
Immers, als je echt niets bewaart heeft een bovenstaand beschreven moeite helemaal geen zin.
Conclusie : kennelijk monitor/inspecteer je verkeer wel en bewaar je dingen wel ook al beweer en suggereer je van niet.
Dat is heel stout!
Hoe afkeurenswaardig sommige zaken ook mogen zijn, je biedt wel of geen privacy en niet half op basis van de morele standpunten/meningen die je zelf op dat moment hebt, dat is een wassen neus privacy garantie en daar kopen klanten niets voor.
Wat vind je morgen verwerpelijk? Overmorgen? Hoe recht is je rug als de deurbel gaat?
Een garantie van niets als je wel een achterdeur in je services hebt ingebouwd!
De faq kan dus beter aangevuld worden met de volgende zinsnede
"Are you mad?? 2500EUR for a pseudo anonymous service??
En eigenlijk overal waar het woord privacy voorkomt op je website zou je dat deel beter voorzien van een belangrijke toevoeging, zodat het weer past bij wat je werkelijk doet, namelijk het bieden van pseudo privacy voor een dubbel forse prijs.
Anders is het misleidend en dat mag niet (van de reclame code commissie).
Sluikreclame maken middels je website-adres hier als pseudoniemnaam te nemen kan hier dan weer wel.
Kijk nou maar naar waar het beter (en goedkoper) kan met je eigen producten dan Tor met valse argumenten proberen onderuit te halen.
Misschien gaat er dan wel een keer iemand naar je luisteren.
Tor browser
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
