Härtung des Tor Browsers steht und fällt mit Firefox-Bugs

Die Entwickler des auf Privatsphäre angelegten Fork von Firefox haben Sicherheitsforscher auf ihr Projekt angesetzt. Dabei ist unter anderem raus gekommen, wo Firefox die meisten Sicherheitsprobleme hat.

In Pocket speichern vorlesen Druckansicht 90 Kommentare lesen
Lesezeit: 3 Min.
Von
  • Fabian A. Scherschel

Der Tor Browser basiert auf Firefox und erbt damit auch dessen Lücken

Die Entwickler des auf Firefox basierenden Tor Browsers haben ihre Software von den unabhängigen Spezialisten von iSEC Partners untersuchen lassen. Ziel der Studie war es, Wege aufzuzeigen, wie der Tor Browser weiter gehärtet werden kann. Die Software soll Nutzern den Einsatz des Anonymisierungs-Netzes Tor so einfach wie möglich machen. Darüber hinaus wollen die Entwickler ihre Software als Browser-Alternative für Nutzer etablieren, die Wert auf ihre Privatsphäre im Netz legen.

Als wichtigsten Punkt merken die Pentester von iSEC an, dass die Speicherverwürfelung ASLR sowohl bei der Windows- als auch der Mac-Ausgabe des Browsers deaktiviert ist. Das Problem auf Windows war den Entwicklern bekannt, man arbeite bereits an einer Lösung. Dass das Sicherheitsfeature bei ihrem Browser auch auf OS X deaktiviert ist, war den Entwicklern allerdings neu. Das Problem ist, dass es keine 64-Bit-Version des Tor Browsers für den Mac gibt. Das wollen die Entwicklern nun ebenfalls beheben.

Zusätzlich empfiehlt iSEC, dass die Tor-Entwickler einen Preis beim Pwn2Own-Wettbewerb ausschreiben und Hacker dafür bezahlen, Sicherheitslücken im Browser im Rahmen dieses Wettbewerbs zu melden. Um das Preisgeld zusammen zu bekommen, suchen die Entwickler nun Sponsoren. Allerdings halte man es für unwahrscheinlich bereits beim nächsten Wettbewerb im März teilnehmen zu können, da die Härtung des Browsers noch nicht weit genug fortgeschritten sei.

Die Tester von iSEC haben sich außerdem die historische Verteilung von Firefox-Sicherheitslücken angesehen. Dabei kam heraus, dass die meisten Lücken in Mozillas Browser auf Use-After-Free-Fehler zurückgehen – also der Zugriff auf Speicher, den das Programm eigentlich schon freigegeben hatte. Der zweithäufigste Fehler sind allgemeine Probleme bei der Verarbeitung des Heap. Deswegen will man sich in Zukunft die Speicherverwaltung des Browsers vornehmen und zusätzliche Schutzmaßnahmen beim Kompilieren des Tor Browsers aktivieren.

In zukünftigen Versionen der Software soll ein Schieberegler schrittweise bestimmte Funktionen, wie etwa JavaScript-JIT, HTML5-Multimedia-Tags und die SVG-Darstellung, deaktivieren. So soll sich jeder Nutzer die eigene Mischung aus Nutzbarkeit und Sicherheit zusammenstellen können. Man will trotz der sicherheitsrelevanten Bugs in Firefox aber trotzdem bei dem Browser bleiben, da es keine Alternative gebe, bei der sich die Privatsphäre-Funktionen des Tor-Bundles einfacher und sicherer umsetzen ließen. Die Zusammenarbeit mit Google an einer Chrome-Variante war ins Stocken geraten, da die Firma von den Entwicklern vorgeschlagene Änderungen nicht umsetzen wollte.

Der ausführliche Bericht der Pentester ist auf GitHub einsehbar. (fab)