Neue Tor-Version: sicherer und anonymer

Die Entwickler des Anonymisierungsdienstes Tor haben in der neuen Version 0.1.2.15 mehrere Sicherheitslücken geschlossen. Durch die in den Release-Notes aufgeführten Schwachstellen können Angreifer in den Vorgängerversionen der Software unter Umständen die Kontrolle über Tor-Rechner erlangen, übertragene Daten manipulieren und Informationen über das Nutzerverhalten erlangen. Ein weiterer Bugfix sorgt für eine allgemein verbesserte Anonymität im Tor-Netz.

Die kritischste Lücke betrifft BSD-Nutzer, die Tor zusammen mit dem NAT-Daemon natd verwenden. Durch einen Programmierfehler im natd-Code kann es laut den Entwicklern zu einem Pufferüberlauf kommen, der sich möglicherweise zum Einschleusen von Schadcode ausnutzen lässt. Außerdem liefern aktuelle Tor-Proxys nun zum Abbau einer Verbindugsstaffette (Circuit) nun keinen Grund mehr für die Beendigung. Dies sollte laut Protokollspezifikation ohnehin der Fall sein, da es den beteiligten Tor-Routern Rückschlüsse auf das Nutzerverhalten ermöglichen kann.

Weiterhin wurde eine Schwachstelle bei der Behandlung von Stream-IDs behoben, die Tor-Routern unter Umständen die Manipulation der Daten in durchgereichten Verbindungen ermöglicht. Der vierte Bugfix sorgt dafür, dass sich die lokal auf einem Tor-Proxy abgespeicherte Liste stets zu verwendender Start-Knoten, die so genannte Guard-Liste, nicht unnötig verlängert. Je kleiner die Guard-Liste ist, desto geringer die allgemeine Wahrscheinlichkeit, sowohl für Eingangs- als auch Ausgangsknoten einen kompromittierten Knoten zu erwischen – das bedeutendste Angriffszenario gegen die Anonymität im Tor-Netz.

Neben den sicherheitsrelevanten Problemen wurden auch verschiedene allgemeine Programmierfehler behoben, die schlimmstenfalls zu Abstürzen führen können. Die Entwickler legen allen Tor-Nutzern nahe, auf die neue Version zu aktualisieren. (cr)