Tor Project ha publicado una nueva versión de su navegador Tor Browser 10.0.18 para corregir numerosos errores, incluida una vulnerabilidad que permite a los sitios rastrear a los usuarios mediante la toma de huellas digitales de las aplicaciones instaladas en el dispositivo.

En mayo, la firma de huellas dactilares de JavaScript FingerprintJS reveló una vulnerabilidad de “inundación de esquemas” que permite el seguimiento de los usuarios a través de diferentes navegadores en función de las aplicaciones instaladas en su dispositivo.

 FingerPrintJS

La técnica de rastrear a los usuarios mediante la toma de huellas digitales de las aplicaciones instaladas por el usuario fue documentada por expertos de FingerprintJS en mayo. Los investigadores idearon una nueva técnica de toma de huellas, llamada inundación de esquemas, que podría permitir identificar a los usuarios mientras navegan por sitios web utilizando diferentes navegadores de escritorio, incluido el navegador Tor. La técnica de inundación de esquemas aprovecha los esquemas de URL personalizados para determinar las aplicaciones instaladas por los usuarios.

Esta técnica permite perfilar a los usuarios mientras visitan sitios web con un navegador normal, como Safari, Chrome y Firefox, e identificar su actividad en línea incluso cuando intentan proteger su anonimato utilizando el navegador Tor.

Para rastrear a los usuarios, se crea un perfil de rastreo para un usuario al intentar abrir varios controladores de URL de la aplicación, como zoommtg: //, y verificar si el navegador inicia un mensaje, como el de Zoom a continuación.

• https://fingerprintjs.com/blog/external-protocol-flooding/
  

Si se muestra el mensaje de la aplicación, se puede suponer que la aplicación está instalada en el dispositivo. Al verificar numerosos controladores de URL, la vulnerabilidad puede crear una identificación basada en la configuración única de las aplicaciones instaladas en el dispositivo del usuario.

Los expertos probaron con éxito la técnica en Chrome 90 (Windows 10, macOS Big Sur), Firefox 88.0.1 (Ubuntu 20.04, Windows 10, macOS Big Sur), Safari 14.1 (macOS Big Sur), Tor Browser 10.0.16 (Ubuntu 20.04, Windows 10, macOS Big Sur), Brave 1.24.84 (Windows 10, macOS Big Sur), Yandex Browser 21.3.0 (Windows 10, macOS Big Sur) y Microsoft Edge 90 (Windows 10, macOS Big Sur). 

Luego, esta identificación se puede rastrear en diferentes navegadores, incluidos Google Chrome, Edge, Tor Browser, Firefox y Safari.

Esta vulnerabilidad es especialmente preocupante para los usuarios de Tor que usan el navegador para proteger su identidad y dirección IP para que no se registren en sitios. Como esta vulnerabilidad rastrea a los usuarios a través de los navegadores, podría permitir que los sitios web, e incluso las fuerzas del orden, rastreen la dirección IP real de un usuario cuando cambian a un navegador no anonimizado, como Google Chrome.

En el caso de los usuarios de Tor, esta vulnerabilidad es especialmente preocupante ya que, como se permite el rastreo a través de los navegadores, podría permitir que cualquiera rastree la dirección IP real de un usuario cuando cambian a un navegador no anonimizado, como Google Chrome.

Con el lanzamiento de Tor Browser 10.0.18, el Proyecto Tor ha introducido una solución para esta vulnerabilidad al establecer la configuración ‘network.protocol-handler.external’ en falso para evitar que el navegador invoque una aplicación externa una vez que se procesa un controlador de esquema de URL personalizado incorporado

Esta configuración predeterminada evitará que el navegador pase el manejo de una URL en particular a una aplicación externa y, por lo tanto, ya no active las solicitudes de la aplicación.

Registro de cambios completo

El registro de cambios completo para Tor 10.0.18 es:

• Todas las plataformas
  • Actualiza Tor a 0.4.5.9
• Androide
  • Actualice Fenix ​​a 89.1.1
  • Actualice NoScript a 11.2.8
  • Error 40055 : Rebase los parches de componentes de Android en 75.0.22 para Fenix ​​89
  • Error 40165 : anuncia la desactivación del servicio de cebolla v2 en about: tor
  • Error 40166 : Ocultar la pestaña “Normal” (nuevamente) y la pestaña Sincronizar en TabTray
  • Error 40167 : Ocultar “Guardar en colección” en el menú
  • Error 40169 : Rebase de parches de fenix a fenix v89.1.1
  • Error 40170 : Error al compilar tor-browser-89.1.1-10.5-1
  • Error 40432 : evitar el sondeo de aplicaciones instaladas
  • Error 40470 : Rebase de los parches 10.0 en 89.0
• Sistema de construcción
  • Androide
    • Error 40290 : actualización de componentes para Fenix ​​basado en mozilla89

Puede actualizar a Tor Browser 10.0.18 abriendo el menú, yendo a  Ayuda y seleccionando  Acerca de Tor Browser , que buscará e instalará automáticamente cualquier nueva actualización.

También puede descargar el navegador más reciente desde la  página de descarga del navegador Tor  y el  directorio de distribución .

Tormap, el mapa con los nodos de la red Tor

Tormap es un proyecto de código abierto en el que se recopila información sobre estos nodos de Tor y se localizan sobre un mapa gracias a la tecnología de OpenStreetMap, de forma que podemos ver como están distribuidos estos nodos por el mundo.

• https://tormap.void.gr/
  

Fuentes:

https://derechodelared.com/tor-soluciona-una-vulnerabilidad-que-te-rastrea-usando-las-aplicaciones-instaladas/

https://blog.underc0de.org/tor-browser-10-0-18/