Tor Browser lekt informatie over besturingssysteem gebruikers
Een forensisch onderzoeker heeft een kwetsbaarheid in Tor Browser gevonden waardoor het mogelijk is om het besturingssysteem van gebruikers te achterhalen, wat kan helpen bij het identificeren van gebruikers. Tor Browser is ontwikkeld om de privacy van gebruikers te beschermen.
De browser past ook verschillende maatregelen toe om 'profiling' tegen te gaan. Onderzoeker Neil Krawetz ontdekte echter een probleem wat dit deels mogelijk maakt. Hij stelt dat er tal van attributen zijn om Tor Browser-gebruikers te identificeren. De afgelopen jaren heeft hij meerdere van deze profileringsmethoden aan het Tor Project geprobeerd te melden, maar kreeg naar eigen zeggen geen enkele reactie.
Onlangs vond hij een kwetsbaarheid in Tor Browser waardoor het besturingssysteem is te achterhalen. Hij meldde ook dit probleem zonder succes, waardoor hij het nu bekend heeft gemaakt. Zo heeft de scrollbalk van Tor Browser op Windows een andere omvang dan die op Linux of Mac. Ook aan de hand van de venstergrootte kan het besturingssysteem worden achterhaald. Zelfs als een gebruiker de dikte van de scrollbalk aanpast, is dit nog steeds een onderscheidend kenmerk, laat Krawetz weten.
"Je moet wel onthouden dat deze kenmerken verschillend, maar niet uniek zijn", merkt de onderzoeker op. Elke Tor Browser-gebruiker op Windows met een beeldscherm van 2048x1024 pixels heeft dezelfde attributen. Ook elke Tor Browser-gebruiker op Linux Mint en een scherm van 1280x900 pixels ziet er hetzelfde uit. "Er zijn echter niet veel mensen die hetzelfde besturingssysteem en dezelfde schermgrootte gebruiken en dezelfde websites rond hetzelfde moment bezoeken. Je zult dan ook waarschijnlijk opvallen", aldus Krawetz.
In dit geval gaat het alleen om het besturingssysteem. De onderzoeker zegt tal van eigenschappen te kunnen identificeren. "Eén eigenschap is verschillend. Twee onafhankelijk eigenschappen doen je meer opvallen. Tegen de tijd dat het er een dozijn zijn, is het mogelijk verschillend genoeg om uniek te zijn", merkt de onderzoeker op. Volgens Krawetz zou het verhelpen van het nu onthulde probleem Tor Browser-gebruikers niet anoniem maken, maar is het een begin. "Hoewel ik niet verwacht dat Tor Browser alles kan anonimiseren, zou het niet eenvoudig moeten zijn om het besturingssysteem van de gebruiker te bepalen", besluit hij.
Daarnaast liggen de prioriteiten liggen overduidlijk bij de keuzes die mozilla voorschotelt.
OS X is daar altijd het kind van de rekening, de laatste in de rij.
Simpele doeltreffende oplossing is dit.
Stabiel en veilig
https://tails.boum.org/
Dit is nogal logisch. Gewoon even een plugin installeren en je bent klaar:
https://addons.mozilla.org/en-US/firefox/search/?q=user+agent&status=4
Dit is nogal logisch. Gewoon even een plugin installeren en je bent klaar:
https://addons.mozilla.org/en-US/firefox/search/?q=user+agent&status=4
Het lijkt er duidelijk op dat jij tot die wereldvreemde categorie als o.a. Flashplayer gebruikers in Torbrowser behoort.
Een hele aparte en hardnekkige categorie die bepaalde zaken maar niet wil begrijpen en ondertussen fora blijft vervuilen met dit soort praktische 'oplossingen'.
Whohoeahhahahahaaarghhhkuchkuchkuch
(wat duurt die mei vakantie weer lang)
Dit is nogal logisch. Gewoon even een plugin installeren en je bent klaar:
https://addons.mozilla.org/en-US/firefox/search/?q=user+agent&status=4
Het gemelde probleem gaat verder dan de user agent string. Daar is al lang aan gedacht, onderschat de intelligentie van de ontwikkelaars/reearchers niet. Dit gaat om het profileren van de gebruiker om verscheidene aspecten van de browser UI, die voor verschillende OS'es en andere soft/hardware-gerelateerde instellingen samen nagenoeg uniek zijn.
- TOR gebruikt een andere window size dan de meeste browsers, per OS ander gedrag, maar wel 100% voorspelbaar of het om TOR gaat of niet.
- Scrollbar dikte kan gebruik worden om het OS in te zien.
Even een plugin installeren? Nee, zo simpel is het niet.
Hoe wil jij hier anoniem posten zonder JS? Zonder JS posten lukt hier alleen met een account.
Dit is nogal logisch. Gewoon even een plugin installeren en je bent klaar:
https://addons.mozilla.org/en-US/firefox/search/?q=user+agent&status=4
Ja, ach, we kunnen wel grapjes maken maar hij komt er wel mee. Daar gaat het uiteindelijk om, toch? Kennis delen is kennis vermeerderen. Bij zoiets triviaals als dit vraag ik me af of tor project heeft zitten slapen. Dit zijn eigenlijk issues van een decennia geleden.
Hoe wil jij hier anoniem posten zonder JS? Zonder JS posten lukt hier alleen met een account.
Door andere Anoniem: : En daarom is het ook zo handig dat je met Noscript selectief javascripts kan toestaan en blokkeren, waardoor je een beetje meer kan zien wat er wel of niet gebeurt en dat een beetje wel of niet in de gaten kan houden.
NoScript zit standaard in Torbrowser meegeleverd en is eenvoudig te hulpconfigureren onder de Torbutton.
NoScript, onthoudt die naam, krachtiger dan de vissersvrienden.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
