Eigentlich ist das Anonymisierungsnetzwerk Tor dafür gedacht, die Identität seiner Nutzer zu verschleiern. Das funktioniert freilich nur dann, wenn die Software fehlerfrei arbeitet, setzen doch gerade Geheimdienste einiges daran, passende Bugs aufzuspüren, um diese Schutzfunktion auszuhebeln. Und dabei waren die Tor-Gegner nun offenbar einmal mehr erfolgreich.

Zero-Day

Im Netz ist ein bereits aktiv genutzter Zero-Day-Exploit gegen den Tor Browser aufgetaucht, über den die wahre IP-Adresse der jeweiligen User herausgefunden werden kann. Der Begriff "Zero-Day" bedeutet, dass die betreffende Lücke bisher unbekannt war, also im Verborgenen eingesetzt wurde, ohne dass der Hersteller etwas davon wusste.

Bestätigung

Beim Tor-Projekt bestätigt man das Problem mittlerweile, und betont bereits gemeinsam mit Softwarehersteller Mozilla an einer Lösung zu arbeiten. Dessen Firefox bildet nämlich die Basis des Tor Browsers. Ein Update, das den Fehler bereinigt, soll in den kommenden Tagen sowohl für Firefox als auch den Tor Browser folgen. Betroffen sind alle Firefox-Version zwischen 41 und 50.

Bis zur Verfügbarkeit eines Updates raten die Experten von Cert.at dazu, Javascript zu deaktivieren, gerade wenn man Tor einsetzt. Immerhin nutzt der aktuelle Exploit Javascript, um den Fehler zu triggern. Alternativ wäre auch ein temporärer Wechsel auf einen anderen Browser möglich.

Zu einfach

Allerdings bringt der Vorfall den beiden Projekten auch neue Kritik ein. Handelt es sich bei dem Exploit doch nur um eine leichte Abwandlung jenes Angriffs, mit dem schon 2013 Tor-User deanonymisiert wurden, wie Arstechnica berichtet. Zudem sei der Exploit vergleichsweise trivial, streicht etwa Sicherheitsexperte Dan Guido von Trail of Bits heraus. Dass dies möglich sei, liege nicht zuletzt daran, dass der Firefox im Vergleich zu anderen Browsern deutlich schlechter gegen Angriffe geschützt sei. Entsprechend rät Guido von der Nutzung des Tor Browsers generell ab, aus einer Sicherheitsperspektive seien die User derzeit mit Chrome oder Edge wesentlich besser bedient. (apo, 30.11.2016)