Übersichtliche Einstellungen zur Privatsphäre

Neu ist der Schieberegler im Dialogfeld Privatsphäre- und Sicherheitseinstellungen, das über das Zwiebelsymbol in der Menüleiste geöffnet werden kann. Dort lassen sich schnell Sicherheitslevels in vier Stufen definieren, von "gering" bis "hoch". In der voreingestellten niedrigsten Stufe sind sämtliche Funktionen im Browser freigegeben, was für weitgehend uneingeschränktes Surfen sorgen soll. Werden die Einstellungen geändert, muss eine bereits angesteuerte Webseite jedoch neu geladen werden.

• 

Dort können beispielsweise nach und nach Einstellungen zu Javascript geändert ...

Lediglich der private Modus ist dabei aktiv, so dass weder Cookies noch Verlaufsdaten gespeichert werden. Außerdem werden Detailinformationen geändert, die eindeutige Merkmale des Browsers übertragen. Nicht alle können aber deaktiviert werden, etwa die Informationen über die Fenstergröße des Browsers, die Webseiten benötigen, um Inhalte korrekt darzustellen. Folgerichtig warnt der Tor-Browser, wenn er im Vollbildmodus läuft. Die damit übertragenen Informationen zur Bildschirmauflösung könnten zu einer eindeutigen Identifizierung des Benutzers verwendet werden. Ebenfalls deaktiviert sind das Speichern von Cookies von Drittanbietern und auch Browser-Erweiterungen wie der Flash-Player. Diese Einstellungen zur Privatsphäre lassen sich einzeln und unabhängig von den Einstellungen der Sicherheitslevels deaktivieren.

Noscript sorgt für mehr Sicherheit

Wird der Schieberegler auf die zweite Stufe - genannt "unteres Mittel" - gesetzt, werden HTML5-Videos und Audiodateien nur auf Wunsch des Benutzers angezeigt und abgespielt. Dafür sorgt die integrierte Erweiterung Noscript. Zusätzlich wird das Laden von Java-Dateien im JAR-Format verhindert und das Anzeigen mancher mathematischen Formeln - sprich MathML - deaktiviert. Einige Ausführungsoptimierungen für Javascript werden unterbunden, darunter Mozillas Just-in-Time-Compiler Ionmonkey, ASM.js-Code und die Verarbeitung von Typinferenzen. Das kann laut Tor-Entwicklern dazu führen, dass Scripts auf einigen Webseiten langsamer laufen.

In der nächsten Stufe namens "oberes Mittel" sind hingegen sämtliche Javascript-Optimierungen deaktiviert. Ist eine Webseite nicht über HTTPS erreichbar, wird dort Javascript komplett ausgeschaltet. Über eine Schaltfläche kann der Benutzer Javascript für einzelne Webseiten wieder aktivieren. Auch hier sorgt Noscript für das Blockieren. Außerdem wird die Verarbeitung von Fonts in Webseiten eingeschränkt, weder SVG- noch Graphite-Schriften werden verarbeitet.

Externe Fonts werden nicht geladen

Die Fonts werden dann in der höchsten Sicherheitsstufe nochmals begrenzt, so dass die Fonts der Webseiten nicht mehr verwendet, sondern stattdessen lokale Schriftarten genutzt werden. Zusätzlich wird hier auch das Anzeigen von SVG-Bildern verhindert und der Just-in-Time-Compiler von Javascript komplett deaktiviert. Diese Einstellungen folgen den Empfehlungen des Unternehmens iSec Partners, das die Historie von Schwachstellen in Browsern untersuchte.