Categories: Sicherheit

Forscher der TU Darmstadt härten Tor Browser

Forscher einer Reihe internationaler Universitäten haben geholfen, den Tor Browser für anonymen Internetzugriff zu „härten“, also gegen eventuelle Angriffe zu schützen. In ihrem Papier „Securing the Tor Browser against De-anonymization Exploits“ (PDF) schlagen sie vor, ein neues System namens Selfrando als Alternative zu Address Space Layout Randomization (ASLR) zu verwenden. Drei der neun an dem Projekt Beteiligten kommen von der Technischen Universität Darmstadt.

Wie es IBMs Team für Security Intelligence beschreibt, sorgt ASLR dafür, dass sich bestimmte Codeteile nicht immer im gleichen Speicherbereich befinden, um Ausleseversuche zu erschweren. Selfrando verbessert dieses System noch, indem es Code feinkörnig in seine einzelnen Funktionen unterteilt und deren Speicheradressen randomisiert.

Dies würde die Sicherheit des Tor Browser mutmaßlich massiv verbessern. Angreifer könnten nicht vorhersagen, wo im Speicher Code ausgeführt wird, und daher keine Angriffe mittels Speicherkorruption durchführen.

Einem Hinweis auf Reddit zufolge ist die Technik bereits in der jüngsten Alpha-Version des Tor Browser, 6.5a1, enthalten. Das Tor Project selbst wollte dazu gegenüber The Inquirer nicht äußern. In dem Forschungsbericht heißt es zumindest, Selfrando würde derzeit mit dem Tor Browser getestet.

Eine ausführliche Beschreibung von Selfrando findet sich auf den GitHub-Seiten zu dem Programm. Dort heißt es, in C und C++ geschriebene Software sei nun einmal anfällig für Speicherkorruption. Selfrando sei „von der in der Natur auftretenden Biodiversität inspiriert“ und randomisiere jede Funktion einzeln. Das mache es schwerer, Exploits zu schreiben.

HIGHLIGHT

Admin-Tipps für Office 365

Office 365 ermöglicht vielfältige Einstellungsmöglichkeiten für Anwender und Administratoren. Kostenlose Zusatztools und die PowerShell helfen dabei, Office 365 optimal zu konfigurieren.

Selfrando ist zu der Compilerfunktion Address Sanitizer kompatibel, die Speicherkorruption aufdecken soll. Sie kommt in einer gehärteten Variante des Tor Browser zu Einsatz – und dort neuerdings im Zusammenspiel mit Selfrando. Lauf der Beschreibung der Wissenschaftler ist das neue Randomisierungsverfahren aber auch für Android und selbst Lösungen mit geschlossenem Quelltext wie Windows nutzbar.

Das Tor Project anonymisiert seine Nutzer, indem es ihren Traffic verschlüsselt durch eine Kette von Knoten leitet. Das russische Innenministerium hat 2014 eine Prämie von 3,9 Millionen Rubeln (100.000 Euro) für eine Methode ausgeschrieben, um Nutzer zu verfolgen, die den Anonymisierungsdienst Tor einsetzen. Von Edward Snowden verfügbar gemachte Dokumente zeigten ein Jahr zuvor, dass auch die US-amerikanische National Security Agency nach einer Möglichkeit forschte, Tor zu knacken. Die US-Bundespolizei FBI und die britische National Cybercrime Unit (NCCU) bemühten sich ebenfalls um einen Ansatz. In Einzelfällen soll ein Tracking schon gelungen sein, einen systematischen Exploit gibt es bisher möglicherweise noch nicht.

[mit Material von Charlie Osborne, ZDNet.com]

Tipp: Wie gut kennen Sie sich mit Open-Source aus? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.

Florian Kalenda

Seit dem Palm Vx mit Klapp-Tastatur war Florian mit keinem elektronischen Gerät mehr vollkommen zufrieden. Er nutzt derzeit privat Android, Blackberry, iOS, Ubuntu und Windows 7. Die Themen Internetpolitik und China interessieren ihn besonders.

Recent Posts

Taugen Kryptowährungen als Unterstützer der Energiewende?

Bankhaus Metzler und Telekom-Tochter MMS testen, inwieweit Bitcoin-Miner das deutsche Stromnetz stabilisieren könnten.

1 Stunde ago

Supercomputer-Ranking: El Capitan überholt Frontier und Aurora

Mit 1,7 Exaflops ist El Capitan nun der dritte Exascale-Supercomputer weltweit. Deutschland stellt erneut den…

5 Stunden ago

Ionos führt neue AMD-Prozessoren ein

Der deutsche Hyperscaler erweitert sein Server-Portfolio um vier Angebote mit den neuen AMD EPYC 4004…

6 Stunden ago

Lags beim Online-Gaming? DSL-Vergleich und andere Tipps schaffen Abhilfe

Beim Online-Gaming kommt es nicht nur auf das eigene Können an. Auch die technischen Voraussetzungen…

7 Stunden ago

GenKI-Fortbildung immer noch Mangelware

Fast jedes zweite Unternehmen bietet keinerlei Schulungen an. In den übrigen Betrieben profitieren oft nur…

7 Stunden ago

Netzwerk-Portfolio für das KI-Zeitalter

Huawei stellt auf der Connect Europe 2024 in Paris mit Xinghe Intelligent Network eine erweiterte…

9 Stunden ago