Zero day-lek in Firefox gebruikt voor aanval op Tor Browser
Een zero day-lek in Firefox wordt op dit moment actief gebruikt om gebruikers van Tor Browser aan te vallen. Mozilla werkt inmiddels aan een beveiligingsupdate voor het probleem. Tor Browser laat gebruikers verbinding met het Tor-netwerk maken. Het bestaat uit een aangepaste Firefox-versie en de software die de verbinding met het Tor-netwerk opzet. Via het Tor-netwerk kunnen internetgebruikers hun ip-adres en privacy beschermen.
Gisterenavond verscheen er op de Tor-mailinglist een bericht dat gebruikers van Tor Browser actief via een JavaScript-exploit worden aangevallen. Het doel van de exploit is onbekend, maar het weet in ieder geval toegang tot kernel32.dll te krijgen. Een onderzoeker laat aan Ars Technica weten dat via de aanval het ip-adres van gebruikers is te achterhalen. Roger Dingledine van het Tor Project, de organisatie achter het Tor-netwerk, laat weten dat Mozilla inmiddels aan een update voor Firefox werkt. Zodra de update gereed is zal er een nieuwe versie van Tor Browser verschijnen.
Mogelijk worden ook niet-Tor gebruikende Firefox gebruikers aangevallen, getuige de eerste alinea op Ars Technica:
There's a zero-day exploit in the wild that's being used to execute malicious code on the computers of people using Tor and possibly other users of the Firefox browser, officials of the anonymity service confirmed Tuesday.
Kortom, dit komt even via een andere browser :)
Het zal misschien in firefox 50.0.1 verholpen zijn of komt er nog een 50.0.2 versie uit waardat lek dan verholpen zou kunnen zijn.
Altijd al idioot gevonden dat er geen eenvoudige "javascript disable" knop meer aanwezig is in de instellingen van Firefox.
"Want het zou wel zot zijn als je een website ging bezoeken die je niet vertrouwd", en dus vertrouw je iedere website die je bezoekt automatisch javascript toe. Daar is nu dus praktisch elke website op gebouwd, zodat je al snel problemen gaat krijgen als javasript in je browser uit zou staan, ook al kan je javascript in Firefox via "about:config" nog wel uitzetten.
Firefox ESR
https://ftp.mozilla.org/pub/firefox/releases/45.5.1esr/
Torbrowser
https://dist.torproject.org/torbrowser/6.0.7/
Blog
https://blog.torproject.org/blog/tor-browser-607-released
The security flaw responsible for this urgent release is already actively exploited on Windows systems. Even though there is currently, to the best of our knowledge, no similar exploit for OS X or Linux users available the underlying bug affects those platforms as well. Thus we strongly recommend that all users apply the update to their Tor Browser immediately. A restart is required for it to take effect.
Tor Browser users who had set their security slider to "High" are believed to have been safe from this vulnerability.
Aangaande Javascript wel/niet toestaan
Het is iets omslachtiger maar sta voortaan alleen tijdelijk javascripts toe op een website waarvan de functionaliteit niet werkt en vermijd zoveel mogelijk javascripts toe te staan van andere domeinen dan het domein waarop je actief bent.
https://www.torproject.org/docs/faq.html.en#TBBJavaScriptEnabled
We configure NoScript to allow JavaScript by default in Tor Browser because many websites will not work with JavaScript disabled. Most users would give up on Tor entirely if a website they want to use requires JavaScript, because they would not know how to allow a website to use JavaScript (or that enabling JavaScript might make a website work).
There's a tradeoff here. On the one hand, we should leave JavaScript enabled by default so websites work the way users expect. On the other hand, we should disable JavaScript by default to better protect against browser vulnerabilities ( not just a theoretical concern!). But there's a third issue: websites can easily determine whether you have allowed JavaScript for them, and if you disable JavaScript by default but then allow a few websites to run scripts (the way most people use NoScript), then your choice of whitelisted websites acts as a sort of cookie that makes you recognizable (and distinguishable), thus harming your anonymity.
Ultimately, we want the default Tor bundles to use a combination of firewalls (like the iptables rules in Tails) and sandboxes to make JavaScript not so scary. In the shorter term, TBB 3.0 will hopefully allow users to choose their JavaScript settings more easily — but the partitioning concern will remain.
Until we get there, feel free to leave JavaScript on or off depending on your security, anonymity, and usability priorities.
Pak in je security slider of onder de handmatige opties een setting die veiliger is.
Onder handmatige opties is dat de optie 'globaal toestaan van javascripts uitzetten'.
Zet elders de optie aan om tijdelijk javascripts toe te staan.
Haal in je whitelist van sites waar je standaard javascripts toestond weer weg.
Installeer een firewall oplossing op je computer waarbij je de mogelijkheid hebt om bepaalde programmatoegang tot internet te whitelisten, houdt deze lijst zo klein mogelijk.
Dat levert een omgekeerde lijst op van programma's die geen toegang hebben tot internet.
Blokkeer alvast de standaard usual suspects, pdf en word programma's en als je eventueel ook mp4 video (geen flash en silvernogwat) kijkt dan ook je videoplayer.
Als je firewall de mogelijkheid geeft om eerst om toestemming te vragen bij een connectiepoging stel dat dan zo in.
Gooi zoveel mogelijk poorten standaard dicht.
Stel Torbrowser in als je standaard browser.
(gebruik een ander OS)
Daarnaast zijn er nog vele tips te bedenken, maar vooral, vooral, als je het een beetje 'normaal en christelijk' houdt omdat je het gebruikt waar het voor bedoeld is - namelijk gewoon als een privacy oplossing die je beschermt tegen meekijken van commerciële partijen en overheden daar waar je gewoon recht hebt op privacy - dan loop je vast niet snel tegen dit soort mis/gebruik van zero days aan.
Torbrowser is en blijft een prima privacy oplossing voor erbij.
https://ftp.mozilla.org/pub/firefox/releases/45.5.1esr/
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Chief Information Security Officer
Utrecht heeft jou nodig! Als Chief Information Security Officer speel jij een cruciale rol in de bescherming van de digitale informatie van de gemeente Utrecht. Als geen ander weet jij welke dreigingen er zijn en kun je deze vertalen naar risico's die de gemeente en haar inwoners lopen. Solliciteer nu!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
