Corregida vulnerabilidad en Tor Browser 9.07 que permitiría revelar tu identidad

The Tor Project ha publicado la versión 9.0.7 del navegador Tor Browser para corregir un fallo en su seguridad que permitiría ejecutar código JavaScript en las páginas web, lo que podría revelar información sobre tí.

Hace como dos semanas que el Proyecto Tor anunció una vulnerabilidad grave en su navegador para Tor, que podría permitir ejecutar JS en sitios web aunque se hubiera denegado expresamente por parte del usuario.

Por si no lo sabes, la característica de bloqueo de código Javascript es algo básico si queremos usar la red Tor de forma privada e impedir que otros puedan saber qué estamos haciendo en ella (fingerprinting)

El equipo de desarrollo anunció que estaba ya trabajando en una solución, y ya tenemos la respuesta en forma de nueva versión Tor Browser.

Correción a vulnerabilidad en el nuevo Tor Browser 9.0.7

Este tipo de scripts, los de tipo JS, son además utilizados normalmente por agencias de seguridad o espionaje de diversos países. El FBI admitió haber atacado el proveedor Freedom Hosting en 2013, posiblemente el operador de Tor más importante de su época.

Así describe el desarrollador parte de estos cambios:

Esta versión contiene importantes novedades en la seguridad. Actualiza Tor a 0.4.2.7 y NoScript a 11.0.19. Además, esta versión deshabilita Javascript para todo el sitio web cuando se selecciona el nivel de seguridad Safest. Esto podría romper la experiencia de usuario si previamente habías permitido Javascript en algunos sitios utilizando NoScript.

Advisory

Para solventar el problema de la experiencia, podemos restaurar el comportamiento para JS anterior y permitirlo así:

• Abrir about:config
• Buscar la opción javascript.enabled
• Fijarnos en el valor, que debería ser false
• Botón derecho sobre el campo y seleccionar modificar (toggle) o doble clic para hacer esto mismo

Esto es algo temporal, mientras se determina si NoScript bloquea como debería este tipo de contenidos.

Otros cambios en el navegador Tor

Además, se ha actualizado HTTPS-Everywhere a la versión 2020.3.16 para dar soporte al nuevo modo EASE (Encrypt All Sites Eligible). El usuario medio no debería habilitar esta característica. Este nuevo modo permite hacer un whitelisting (lista blanca) para cada sitio.

Sin embargo se advierte que el uso de estar característica podría mermar en cierta medida la privacidad. Cuando se utiliza el modo EASE, no siempre funciona bien.

Changelog

Tor Browser 9.0.7 -- March 20 2020 * All Platforms * Bump NoScript to 11.0.19 * Bump Https-Everywhere to 2020.3.16 * Bug 33613: Disable Javascript on Safest security level * Windows + OS X + Linux * Bump Tor to 0.4.2.7