Abo
  • Services:
Anzeige
Der Tor-Browser wurde auf seine Sicherheit überprüft.
Der Tor-Browser wurde auf seine Sicherheit überprüft. (Bild: Tor-Browser/Screenshot: Golem.de)

Anonymisierung: Tor-Browser erhält Sicherheitscheck

Sicherheitsexperten haben den Browser des Tor-Bundles überprüft. Sie geben mehrere Hinweise, wie der Tor-Browser zu härten ist.

Anzeige

Die an den Anonymisierungsdienst Tor angepasste Version des Browsers Firefox ist von Experten auf Sicherheit überprüft worden. Sie raten unter anderem zu einer 64-Bit-Version für Mac OS X des Tor-Browsers, die die Sicherheitsfunktion Address Space Layout Randomization (ASLR) nutzen kann.

In einer der nächsten Versionen des Tor-Browsers soll der sogenannte Security Slider umgesetzt werden. Er erhält vier Sicherheitsstufen, die nach und nach Noscript aktivieren und HTML5-Videos nur mit mit einem Klick abspielen. In der höchsten Stufe wird Javascript deaktiviert. Außerdem soll es einen Pwn2own-Wettbewerb geben, bei dem es eine Belohnung für gefundene Schwachstellen geben soll.

Die Untersuchung durch das Security-Unternehmen Isec Partners hat außerdem ergeben, dass ASLR vom Tor-Browser nur unzureichend unterstützt wird. Das sei für die Windows-Version bereits bekannt, allerdings fehle sie auch in der Version für Mac OS X, was den Entwicklern nicht bewusst war. Für die Windows-Variante des Tor-Browsers sei ein Patch bereits in Arbeit. Das verlange jedoch eine 64-Bit-Version des Browsers für Mac OS X, die wegen der verwendeten Werkzeuge bislang nicht erstellt wird.

Wettbewerb zur Fehlersuche

Die 32- und 64-Bit-Versionen für Windows sollten künftig mit Microsofts Enhanced Mitigation Experience Toolkit geprüft werden, um nach weiteren möglichen Schwachstellen zu suchen, empfehlen die Experten. Außerdem sollen Gelder für einen Pwn2own-Wettbewerb gesammelt werden, bei dem unabhängige Experten Geldpreise für gefundene Schwachstellen im Tor-Browser erhalten. Ein erster Wettbewerb ist für 2015 anvisiert.

Der Tor-Browser wird aus dem Firefox-Quellcode erstellt. Dessen Speicherverwaltung Jemalloc, die vom FreeBSD-Projekt stammt, soll mit Partitionalloc beziehungsweise Ctmalloc von Google ersetzt werden. Diese Speicherverwaltung wird in Chrome und Chromium verwendet.

Für Tor ist Firefox besser

Außerdem beantworten die Entwickler auch gleich die Frage, warum das Tor-Projekt nicht Chrome verwendet statt Firefox, da Mozillas Browser weniger Sicherheitsfunktionen bietet als Googles Browser. Obwohl Firefox Funktionen wie Partitionalloc und Sandboxing nicht biete, habe Mozillas Browser wiederum wichtige Funktionen, die für Tor benötigt werden. Vor allem die Unterstützung für Proxys und der Schutz der Privatsphäre etwa bei der Integration von HTTPS-Everywhere seien bei Firefox deutlich besser als unter Chrome. Das Chrome-Team bei Google arbeite aber daran, diese Funktionen umzusetzen oder zu verbessern. Schließlich vereinfache die garantierte Langzeitunterstützung (Extended Release Support) durch Mozilla die Pflege des Tor-Browsers.

Das Tor-Team freue sich jedoch auf Sandboxing in Firefox, an dessen Entwicklung das Mozilla-Team jetzt verstärkt arbeite. Bis dahin wird das Tor-Team noch die neuen Funktionen in der GNU Compiler Collection überprüfen, mit der der Tor-Browser erstellt wird, darunter der Addresssanitizer, mit dem Pufferüberläufe während des Kompilierens entdeckt und vermieden werden können.

Das Security-Unternehmen Isec Partners hat die Sicherheitsprüfung des Tor-Browsers im Auftrag des Open Technology Fund (OTF) unternommen. Isec Partners wurde auch mit der Überprüfung der Verschlüsselungssoftware Truecrypt beauftragt. Das OTF verwaltet öffentliche Gelder im Auftrag der US-Behörde Broadcasting Board of Governors (BBG), die für internationale, nichtmilitärische Rundfunkanstalten verantwortlich sind, darunter Radio Free Europe oder Voice of America. Das OTF finanziert Projekte, die sich gegen die Zensur im Internet stellen und ist der größte Geldgeber des Tor-Projekts.


eye home zur Startseite
Der Andere 27. Aug 2014

Errm. Kleiner Hinweis. Die No Fly List hat mit der Einreise nix zu tun. Die besagt nur...

xSynth 22. Aug 2014

Ich würde dort eher "als 15 Jahre" sagen/schreiben. Dann behalte deine Daten nur bei...

ploedman 21. Aug 2014

oder umgekehrte, umgekehrte Psychologie.

TC 21. Aug 2014

das Wort laß man mittlerweile so oft in Überschriften, das man sehr irritiert ist, wenn...



Anzeige

Stellenmarkt
  1. Knauf Information Services GmbH, Iphofen bei Würzburg
  2. Robert Bosch GmbH, Dresden
  3. HUGO BRENNENSTUHL GMBH & CO KOMMANDITGESELLSCHAFT, Tübingen-Pfrondorf
  4. Landeshauptstadt München, München


Anzeige
Blu-ray-Angebote
  1. (u. a. Game of Thrones, Supernatural, The Big Bang Theory)
  2. (u. a. Resident Evil: Vendetta 12,97€, John Wick: Kapitel 2 9,99€, Fight Club 7,99€ und...

Folgen Sie uns
       


  1. Canon

    Riesiger Bildschirm soll DSLR und Tablet vereinen

  2. Wibotic Powerpad

    Induktions-Drohnenlandeplatz erhöht die Reichweite

  3. Mercedes-Benz Energy

    Elektroauto-Akkus werden zum riesigen Stromnetzspeicher

  4. Unternehmen

    1&1 Versatel bietet Gigabit für Frankfurt

  5. Microsoft

    Xbox One emuliert 13 Xbox-Klassiker

  6. DMT Bonding

    Telekom probiert 1 GBit/s ohne Glasfaser aus

  7. Telekom-Software

    Cisco kauft Broadsoft für knapp 2 Milliarden US-Dollar

  8. Pubg

    Die blaue Zone verursacht künftig viel mehr Schaden

  9. FSFE

    "War das Scheitern von Limux unsere Schuld?"

  10. Code-Audit

    Kaspersky wirbt mit Transparenzinitiative um Vertrauen



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
ZFS ausprobiert: Ein Dateisystem fürs Rechenzentrum im privaten Einsatz
ZFS ausprobiert
Ein Dateisystem fürs Rechenzentrum im privaten Einsatz
  1. Librem 5 Purism zeigt Funktionsprototyp für freies Linux-Smartphone
  2. Pipewire Fedora bekommt neues Multimedia-Framework
  3. Linux-Desktops Gnome 3.26 räumt die Systemeinstellungen auf

Verschlüsselung: Niemand hat die Absicht, TLS zu knacken
Verschlüsselung
Niemand hat die Absicht, TLS zu knacken
  1. RSA-Sicherheitslücke Infineon erzeugt Millionen unsicherer Krypto-Schlüssel
  2. TLS-Zertifikate Zertifizierungsstellen müssen CAA-Records prüfen
  3. Certificate Transparency Webanwendungen hacken, bevor sie installiert sind

Zotac Zbox PI225 im Test: Der Kreditkarten-Rechner
Zotac Zbox PI225 im Test
Der Kreditkarten-Rechner

  1. Und warum nicht einfach ein Pad mit z.B. 100...

    rubberduck09 | 07:58

  2. Re: Problem = Nutzer

    FreiGeistler | 07:56

  3. Da kommen viele Interessenskonflikte zusammen

    ckerazor | 07:51

  4. Re: HA HA, Reactive, Non-blocking am A****

    dice2k | 07:50

  5. Re: Golem - Die Apple-Hater!

    maci23 | 07:49


  1. 07:34

  2. 07:22

  3. 07:11

  4. 18:46

  5. 17:54

  6. 17:38

  7. 16:38

  8. 16:28


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel