Нет ничего идеального: Tor позволял узнать реальный адрес пользователя

Популярный во все мире браузер пользовался славой надежного помощника в анонимизации. Многие считали, что для базовой защиты конфиденциальности достаточно просто пользоваться всем известной луковицей. Но вот Tor Project заявила, что не так все радужно и даже у Tor бывают проблемы.

Что же произошло?

Исследователь одной из итальянской компаний случайно наткнулся на брешь в Tor, которую впоследствии назвали TorMoil. Значительная уязвимость позволяла вычислить настоящий IP пользователя в версии браузера под MacOS и Linux.

Такая неприятная ситуация сложилась из-за наличия этой уязвимости в Firefox. Кто не знает или забыл – именно на основе огнелиса и создавался Tor. Уязвимость связана со спецификой обработки url-адресов. Для пользователей Firefox это не несет никакой угрозы, а вот для любителей Tor это грозит деанонимизацией.

В чем основная суть уязвимости

Казалось бы, что url-адрес не может нести в себе никакой угрозы, но в умелых руках и зубочистка – оружие. Умельцы нашли способ вынудить пользовательскую систему подключиться к удаленному хосту в обход Tor, т. е. напрямую. Таким образом, можно было получить настоящий IP адрес.

TorMоil не нашла широкого распространения у злоумышленников и на данный момент компании Tor Project неизвестно никаких доказательств ее эксплуатации. Тем не менее, разработчики настоятельно рекомендуют обновить версии своих браузеров для поддержания безопасности своей операционной системы.

TorMoil – это серьезный удар по браузеру, так как с устранением уязвимости в коде проблему никуда не ушла. Злоумышленники могут с помощью анализа кода выявить все внесенные изменения и, приложив немного усилий, выработать новую стратегию деанонимизации пользователей. Иными словами, метод атаки не изменится – поменяются только его технические моменты. Руководство Tor Project пока никак не комментирует ситуацию, но по слухам уже принялось за разработку решения нависшей угрозы. Никаких предварительных дат выхода устойчивой к TorMoil версии не называется.