Firefox-Tor-Browser auf Sicherheit überprüft

Sicherheitsforscher von iSEC Partners haben im Auftrag der Tor-Entwickler den Web-Browser Firefox auf Sicherheitslücken untersucht. Firefox dient als Basis für das Tor-Browser-Paket. Eine Analyse auch über ältere Versionen hinweg zeigte, dass die meisten Lücken sogenannte "Use-After-Free"-Fehler sind.

Bei "Use-After-Free"-Fehlern greift der Browser auf Speicherbereiche zurück, die er aber schon wieder freigegeben hatte. Dadurch hat Windows unter Umständen diese Speicherbereiche bereits mit anderen Daten überschrieben. Wenn Firefox dann versucht auf diese für ihn ungültigen Daten zuzugreifen, kann es zum Absturz des Browser kommen.

Zweithäufigste Fehlerursache war ein fehlerhafter Heap. Dabei handelt es sich um einen dynamischen Zwischenspeicher, der während der Laufzeit des Firefox-Browsers erstellt wird.

Für iSEC Partners war der wichtigste Punkt die deaktivierte "Adress Space Layout Randomization" (ASLR) des Tor-Browsers. Durch ASLR weist das jeweilige Betriebssystem den Programmen Adressbereiche auf zufälliger Basis zu, um ihr Verhalten unvorhersehbar zu machen. Dadurch soll die Funktion Angriffe durch den bekannten "Buffer-Overflow" – den Pufferüberlauf – verhindern.

Die Tor-Browser-Entwickler wollen die Sicherheitslücken nach und nach aus ihrer Browser-Basis Firefox entfernen. Auch ist ein Sicherheits-Schieberegler geplant, über den Nutzer schrittweise Funktionen wie Javascript, HTML5-Medien und SVG – skalierbare Vektor-Grafiken – deaktivieren können. Zudem freut sich das Team auf die zukünftige Sandbox-Funktion von Firefox, die auch das Tor-Browser-Paket sicherer machen wird.

Laut eigeben Angaben sei das jetzige Tor-Browser-Paket aber immer noch die beste Wahl, wenn es um Privatsphäre und sicherers Surfen im Internet geht.