Die Überprüfung der Sicherheit des Tor-Browsers deckt 2 große Sicherheitslücken auf
Das Tor-Browser-Projekt hat die Sicherheitstester von Cure53 gebeten, Kernkomponenten des Projekts zu überprüfen. Zu den Komponenten gehörten die BridgeDB-Software, die Netzinfrastruktur, spezifische Änderungen am Tor-Browser und die rdsys-Software. Der Tor-Browser ist ein auf Firefox basierender Webbrowser, der speziell für den Zweck entwickelt wurde, seine Benutzer anonym zu halten und zensierten Benutzern den Zugang zu gesperrten Ressourcen zu ermöglichen.
Eine allgemeine Analyse der Codebasis des Firefox-Webbrowsers gehörte nicht zum Umfang der Untersuchung.
Cure53 analysierte die sechs Hauptkomponenten über einen Zeitraum von 72 Tagen, beginnend im Februar 2023. Bei der Analyse wurden die Komponenten in sechs verschiedene Arbeitspakete unterteilt. Acht erfahrene Tester, die über die entsprechenden Fähigkeiten verfügten, machten sich in dem vorgegebenen Zeitraum an die Arbeit.
Das Team fand insgesamt neunzehn Schwachstellen, von denen drei als Sicherheitslücken und die restlichen sechzehn als sonstige Schwachstellen eingestuft wurden, da sie nur ein geringes Ausnutzungspotenzial aufweisen.
Die zwei als hoch eingestuften Sicherheitsprobleme und das eine als mittel eingestufte Sicherheitsproblem wurden vom Tor-Projekt kurz nach Ende des Überprüfungszeitraums behoben.
Eines der Probleme wurde im rdsys-Quellcode gefunden. Das Resource Distribution System wird benutzt, um zensierten Nutzern den Zugang zu Ressourcen zu ermöglichen. Es fehlte eine Endpunktregistrierung für die Ressourcenregistrierung, was es Angreifern ermöglicht hätte, "beliebige bösartige Ressourcen zur Verteilung an Benutzer zu registrieren".
Das zweite große Problem, das die Forscher entdeckten, lag in der zurückgesendeten Bridge-List, da diese nicht kryptografisch signiert war. Dies könnte es Angreifern ermöglichen, die Verbindung abzuhören oder "mit Zugriff auf den Server, der die Bridge-List bereitstellt".
Das dritte und letzte Problem, das als mittel eingestuft wurde, war eine Erweiterung der Rechte von nobody auf rdsys im Deploy-Skript.
Das Projekt implementierte "robuste Authentifizierungsmechanismen" für alle Endpunkte und "kryptographische Mittel, um Tor als Verteiler zu verifizieren". Dies sollte das Risiko von unautorisiertem Zugriff und Manipulationen deutlich reduzieren.
Alles in allem lobten die Prüfer das Projekt für "eine bewundernswert robuste und abgesicherte Sicherheitsposition und solide Designentscheidungen".
Tor Browser ist ein spezieller Webbrowser, der die Privatsphäre seiner Nutzer schützen und sie im Internet anonym halten soll. Er basiert auf Firefox ESR, enthält aber eine Reihe von Änderungen und Funktionen, die Firefox fehlen oder nicht standardmäßig aktiviert sind.
Der vollständige Prüfbericht wurde als PDF-Dokument auf der Webseite des Tor-Projekts veröffentlicht.
Das Tor-Projekt kündigte an, regelmäßige Sicherheitsüberprüfungen durchzuführen und die Ergebnisse mit der Öffentlichkeit zu teilen.
Die Anzahl der Probleme, die während der Prüfung entdeckt wurden, ist für ein Projekt dieser Größe nicht ungewöhnlich. Nur drei von ihnen wurden als Sicherheitsprobleme eingestuft, die restlichen 16 wurden als gering oder nur informativ eingestuft.
Dennoch ist es für die Nutzer des Tor-Browsers erfreulich, dass das Team schnell gehandelt hat und plant, in Zukunft regelmäßige Sicherheitsüberprüfungen durchzuführen, um die allgemeine Sicherheit des Projekts zu erhöhen.