Het Tor Project heeft de beveiliging van de browser en netwerk verbeterd na Nederlands beveiligingsonderzoek dat met geld van de Amerikaanse overheid is uitgevoerd. Vorig jaar voerde het Nederlandse securitybedrijf Radically Open Security een uitgebreide penetratietest uit van Tor Browser, exit-relays, blootgestelde services en onderdelen van de infrastructuur. Het pentestrapport is door het Tor Project openbaar gemaakt (pdf).

Dagelijks maken zo'n vier miljoen mensen gebruik van het Tor-netwerk om hun privacy te beschermen en gecensureerde websites te bezoeken. Het Tor Project is volledig afhankelijk van donaties, waarvan het grootste deel van de Amerikaanse overheid afkomstig is. Met geld van het Amerikaanse ministerie van Democratie, Mensenrechten en Arbeid werd het beveiligingsonderzoek bekostigd. De penetratietest leverde zeventien kwetsbaarheden op, waarvan er één een 'high' impact had. De overige problemen hebben een lagere impact en zijn inmiddels verholpen.

Daarnaast deden de onderzoekers verschillende aanbevelingen voor het verkleinen van het aanvalsoppervlak, waaronder het negeren van redirects van HTTPS naar HTTP om zo aanvallen door malafide exit-relays te voorkomen. Tevens moet het Tor Project letten op het gebruik van verouderde third-party libraries en software, het ontbreken van moderne webbeveiligingsstandaarden om cross-site request forgery (CSRF) en clickjacking te voorkomen en de mogelijkheid tot het uitvoeren van denial of service-aanvallen. Verder moet er veel aandacht aan de Tor-client worden gegeven, alsmede Tor Browser voor Android, aldus het advies.