Software-update: Tor Browser 8.0.9

Versie 8.0.9 van Tor Browser is uitgekomen. Tor staat voor The Onion Router en is een netwerk dat gebruikt kan worden om redelijk anoniem over internet te surfen. Al het tcp-verkeer van gebruikers wordt langs verschillende Tor-routers geleid, waarna het voor de ontvanger vrijwel niet meer mogelijk is om na te gaan wie de oorspronkelijke verzender was. Binnen het Tor-netwerk is die informatie nog wel aanwezig, zodat antwoorden, uiteraard ook weer via het stelsel van routers, uiteindelijk weer op de juiste plek aankomen. De changelog voor deze uitgave ziet er as volgt uit:

New Release: Tor Browser 8.0.9

This release fixes the issue which caused NoScript and all other Firefox extensions signed by Mozilla to be disabled. If you used the workaround mentioned in our previous blog post, don't forget to set the xpinstall.signatures.required entry in about:config back to true after installing this update.

Note: We did not bump the Firefox version number to be able to build faster, thus it will still show 60.6.1esr as the Firefox version.

The full changelog since Tor Browser 8.0.8 is:

• Update Torbutton to 2.0.13
  • Bug 30388: Make sure the updated intermediate certificate keeps working
• Backport fixes for bug 1549010 and bug 1549061
  • Bug 30388: Make sure the updated intermediate certificate keeps working
• Update NoScript to 10.6.1
  • Bug 29872: XSS popup with DuckDuckGo search on about:tor

Versienummer	8.0.9
Releasestatus	Final
Besturingssystemen	Windows 7, Linux, macOS, Windows 10
Website	The Tor Project
Download	https://www.torproject.org/download/download.html.en
Licentietype	GPL

Reacties (10)

Al het tcp-verkeer van gebruikers wordt langs verschillende Tor-routers geleid, waarna het voor de ontvanger vrijwel niet meer mogelijk is om na te gaan wie de oorspronkelijke verzender was. Binnen het Tor-netwerk is die informatie nog wel aanwezig, zodat antwoorden, uiteraard ook weer via het stelsel van routers, uiteindelijk weer op de juiste plek aankomen.

Het gehele netwerk weet dit, maar individuele nodes weten dat niet. Een entry node weet niet wat de eindbestemming is. Een tussen node die iets doorgeeft vanaf een entry node naar een exit node weet niets van de bron, noch de eindbestemming. Een exit node weet niets van de bron. Hetzelfde principe geldt ook voor hidden services.

[Reactie gewijzigd door The Zep Man op 7 mei 2019 08:03]

Staat niet gewoon in de header waar hij uiteindelijk naar toe moet? Dat is toch juist het deel wat niet versleuteld wordt? Ik hoor het graag als ik het mis heb

Het bericht wordt gelaagd ('onion') versleuteld met de public keys van de nodes waarvan gebruik wordt gemaakt om het bericht te versturen/een verbinding op te zetten. Iedere node kan slechts één laag verwijderen en zien wat de volgende hop is.

Lees hier meer.

[Reactie gewijzigd door The Zep Man op 7 mei 2019 10:08]

@The Zep Man , weet jij dan ook hoe het zit met het verhaal dat de "insert random 3 letter American government service" alle nodes in de gaten zouden houden waardoor ze nog steeds (redelijk) eenvoudig bij eigen IP uit kunnen komen?

Broodje aap of kern van waarheid?

@The Zep Man , weet jij dan ook hoe het zit met het verhaal dat de "insert random 3 letter American government service" alle nodes in de gaten zouden houden waardoor ze nog steeds (redelijk) eenvoudig bij eigen IP uit kunnen komen?

De IP adressen van alle nodes zijn bekend. Het is onwaarschijnlijk dat een enkele instantie elke node in de gaten kan houden door de geografische spreiding. Zelfs met deze informatie zou het lastig zijn om te zien dat een bepaalde Tor client een bepaalde site bezoekt, mede door de hoeveelheid verkeer tussen alle nodes. En opzoeken of een Tor client een hidden service gebruikt zou helemaal lastig zijn, aangezien het ook onbekend is waar een hidden service wordt gehost.

'Darknetmarktplaatsen' worden opgerold doordat buiten Tor om men weinig anonimiteit heeft. Of er vindt een fysieke transactie plaats die getraceerd kan worden, of men maakt domme fouten. Zo werd Silk Road opgerold doordat de beheerder daarvan ooit op het Internet dezelfde nickname gebruikte als dat hij binnen het Tor netwerk gebruikte. Logs opgevraagd, IP adresinformatie van die tijd opgevraagd, inval gedaan, case closed.

Onwaarschijnlijk dat men elke tor mode kan monitoren? Nou het is heel goed mogelijk bedoel je en zeker voor die grote Amerikaanse veiligheidsdiensten.

Of jij een bepaalde site bezoekt zal inderdaad lastiger worden maar Tor nodes maken gebruik van TCP verbindingen tussen alle nodes in het pad tot de eindbestemming. Als je het verkeer kunt taggen, kenmerken, vertragen, labelen of isoleren op de of gewoon heel veel nodes onder je controle neemt kun je eigenlijk altijd de bestemming vinden. Stel je stuur 50 GB naar een hidden service. Die blob van 50 GB valt normaal niet op tov ander verkeer behalve als je alles manipuleert en filtert. En het grootste probleem is ook nog dat voor 1 zo'n transfer continue hetzelfde route gebruikt wordt, (slecht design) Hij switcht niet tijdens transfers alleen als je nieuwe verbindingen maakt.

Tor is leuk maar zeker niet 100% veilig en dan gebruiken mensen het vaak ook nog verkeerd.

Onwaarschijnlijk dat men elke tor mode kan monitoren?

Ja, onwaarschijnlijk. Let op dat ik niet 'onmogelijk' schrijf. De hoeveelheid middelen dat het kost is en het leunen op willekeurigheid (door het aanwezig zijn van nodes die niet (makkelijk) af te luisteren/te injecteren zijn) wat de kans op succes beperkt maakt dit geen economisch interessante aanval. Zeker ten opzichte van conventionele manieren om criminaliteit aan te pakken is dit niet interessant.

[Reactie gewijzigd door The Zep Man op 7 mei 2019 13:40]

Via VPN naar Tor gaan is dan nog wel "veilig"?

Wel veiliger, maar het zal nooit waterdicht zijn.
Er zijn ook verschillen tussen VPN aanbieders, hierbij een voorbeeld: https://thatoneprivacysite.net/

[Reactie gewijzigd door xiphos op 7 mei 2019 15:48]

"Note: We did not bump the Firefox version number to be able to build faster, thus it will still show 60.6.1esr as the Firefox version."

Say wut?!
Da's gewoon slecht.