Tor Browser lekt informatie over besturingssysteem gebruikers
Een forensisch onderzoeker heeft een kwetsbaarheid in Tor Browser gevonden waardoor het mogelijk is om het besturingssysteem van gebruikers te achterhalen, wat kan helpen bij het identificeren van gebruikers. Tor Browser is ontwikkeld om de privacy van gebruikers te beschermen.
De browser past ook verschillende maatregelen toe om 'profiling' tegen te gaan. Onderzoeker Neil Krawetz ontdekte echter een probleem wat dit deels mogelijk maakt. Hij stelt dat er tal van attributen zijn om Tor Browser-gebruikers te identificeren. De afgelopen jaren heeft hij meerdere van deze profileringsmethoden aan het Tor Project geprobeerd te melden, maar kreeg naar eigen zeggen geen enkele reactie.
Onlangs vond hij een kwetsbaarheid in Tor Browser waardoor het besturingssysteem is te achterhalen. Hij meldde ook dit probleem zonder succes, waardoor hij het nu bekend heeft gemaakt. Zo heeft de scrollbalk van Tor Browser op Windows een andere omvang dan die op Linux of Mac. Ook aan de hand van de venstergrootte kan het besturingssysteem worden achterhaald. Zelfs als een gebruiker de dikte van de scrollbalk aanpast, is dit nog steeds een onderscheidend kenmerk, laat Krawetz weten.
"Je moet wel onthouden dat deze kenmerken verschillend, maar niet uniek zijn", merkt de onderzoeker op. Elke Tor Browser-gebruiker op Windows met een beeldscherm van 2048x1024 pixels heeft dezelfde attributen. Ook elke Tor Browser-gebruiker op Linux Mint en een scherm van 1280x900 pixels ziet er hetzelfde uit. "Er zijn echter niet veel mensen die hetzelfde besturingssysteem en dezelfde schermgrootte gebruiken en dezelfde websites rond hetzelfde moment bezoeken. Je zult dan ook waarschijnlijk opvallen", aldus Krawetz.
In dit geval gaat het alleen om het besturingssysteem. De onderzoeker zegt tal van eigenschappen te kunnen identificeren. "Eén eigenschap is verschillend. Twee onafhankelijk eigenschappen doen je meer opvallen. Tegen de tijd dat het er een dozijn zijn, is het mogelijk verschillend genoeg om uniek te zijn", merkt de onderzoeker op. Volgens Krawetz zou het verhelpen van het nu onthulde probleem Tor Browser-gebruikers niet anoniem maken, maar is het een begin. "Hoewel ik niet verwacht dat Tor Browser alles kan anonimiseren, zou het niet eenvoudig moeten zijn om het besturingssysteem van de gebruiker te bepalen", besluit hij.
Daarnaast liggen de prioriteiten liggen overduidlijk bij de keuzes die mozilla voorschotelt.
OS X is daar altijd het kind van de rekening, de laatste in de rij.
Simpele doeltreffende oplossing is dit.
Stabiel en veilig
https://tails.boum.org/
Dit is nogal logisch. Gewoon even een plugin installeren en je bent klaar:
https://addons.mozilla.org/en-US/firefox/search/?q=user+agent&status=4
Dit is nogal logisch. Gewoon even een plugin installeren en je bent klaar:
https://addons.mozilla.org/en-US/firefox/search/?q=user+agent&status=4
Het lijkt er duidelijk op dat jij tot die wereldvreemde categorie als o.a. Flashplayer gebruikers in Torbrowser behoort.
Een hele aparte en hardnekkige categorie die bepaalde zaken maar niet wil begrijpen en ondertussen fora blijft vervuilen met dit soort praktische 'oplossingen'.
Whohoeahhahahahaaarghhhkuchkuchkuch
(wat duurt die mei vakantie weer lang)
Dit is nogal logisch. Gewoon even een plugin installeren en je bent klaar:
https://addons.mozilla.org/en-US/firefox/search/?q=user+agent&status=4
Het gemelde probleem gaat verder dan de user agent string. Daar is al lang aan gedacht, onderschat de intelligentie van de ontwikkelaars/reearchers niet. Dit gaat om het profileren van de gebruiker om verscheidene aspecten van de browser UI, die voor verschillende OS'es en andere soft/hardware-gerelateerde instellingen samen nagenoeg uniek zijn.
- TOR gebruikt een andere window size dan de meeste browsers, per OS ander gedrag, maar wel 100% voorspelbaar of het om TOR gaat of niet.
- Scrollbar dikte kan gebruik worden om het OS in te zien.
Even een plugin installeren? Nee, zo simpel is het niet.
Hoe wil jij hier anoniem posten zonder JS? Zonder JS posten lukt hier alleen met een account.
Dit is nogal logisch. Gewoon even een plugin installeren en je bent klaar:
https://addons.mozilla.org/en-US/firefox/search/?q=user+agent&status=4
Ja, ach, we kunnen wel grapjes maken maar hij komt er wel mee. Daar gaat het uiteindelijk om, toch? Kennis delen is kennis vermeerderen. Bij zoiets triviaals als dit vraag ik me af of tor project heeft zitten slapen. Dit zijn eigenlijk issues van een decennia geleden.
Hoe wil jij hier anoniem posten zonder JS? Zonder JS posten lukt hier alleen met een account.
Door andere Anoniem: : En daarom is het ook zo handig dat je met Noscript selectief javascripts kan toestaan en blokkeren, waardoor je een beetje meer kan zien wat er wel of niet gebeurt en dat een beetje wel of niet in de gaten kan houden.
NoScript zit standaard in Torbrowser meegeleverd en is eenvoudig te hulpconfigureren onder de Torbutton.
NoScript, onthoudt die naam, krachtiger dan de vissersvrienden.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Information Security Officer (2fte)
Een uitdagende rol waarbij jij, op basis van security, de vertaalslag maakt tussen business en IT en direct bijdraagt aan de veiligheid van informatie binnen de gemeente Almere. Dat is in een notendop waar jij als Information Security Officer mee bezig bent. Interesse gewekt? Door groei van de organisatie zijn we op zoek naar twee nieuwe collega’s.
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
