Bij recente releaserondes van de Tor-browser is een hardened testversie van de software verschenen die van technologie is voorzien die de browser moet beschermen tegen exploits zoals de FBI die gebruikt. De techniek moet de anonimiteit van gebruikers beter waarborgen.
De nightly van de 'geharde' Tor-browser verscheen eerder dit jaar, maar onderzoekers van de University of California, Irvine doen nu in een paper uit de doeken hoe de beveiligingstechnologie met de naam Selfrando werkt. Volgens de onderzoekers gaat het om een load-time randomization-techniek die beschermt tegen kwetsbaarheden met betrekking tot geheugencorruptie.
Selfrando is een veiliger alternatief voor de huidige address space layout randomization of aslr die browsers gebruiken, waaronder Firefox. De Tor-browser is gebaseerd op de browser van Mozilla, waardoor exploits die voor deze software gevonden worden, ook werken bij de Tor-browser. De FBI misbruikt deze kwetsbaarheden om gebruikers van de Tor-browser te ontmaskeren. De Amerikaanse opsporingsdienst wist onder andere gebruikers van een kinderpornosite te achterhalen, al is niet bekend hoe de FBI daarbij precies te werk ging.
Address space layout randomization rangschikt de posities van de geheugenadressering van delen van code willekeurig. De onderzoekers gebruiken voor Selfrando echter address space layout permutation, of aslp, dat de locatie van elke functie individueel willekeurig verdeelt. Deze verregaanderandomization beschermt tegen de technieken die gebruikt worden om aslr te omzeilen.
Het voordeel van aslp bij Selfrando is dat ontwikkelaars nauwelijks werk hoeven te verrichten voor de implementatie ervan. Gebruik van Selfrando zou vergelijkbaar zijn met het toevoegen van een nieuwe compiler aan bestaande buildscripts, schrijven de onderzoekers. Daarnaast zou de techniek nauwelijks voor overhead zorgen. De makers claimen bij benchmarks een overhead van 1 procent waar te nemen. Ze hebben de code voor Selfrando vrijgegeven op GitHub en presenteren de techniek volgende maand bij het Privacy Enhancing Technologies Symposium in het Duitse Darmstadt.
Bron: Tweakers.net