Tor プロジェクトは、プライバシー重視の匿名ツールの主な利点を損なう、Firefox の驚くべき脆弱性が発見されたことを受けて、Windows の使用をやめるよう勧告している。
このゼロデイ脆弱性により、未知の侵入者が悪意のある JavaScript を利用して、The Onion Router (TOR) ネットワークを使用して一部の Web サイトにアクセスしたコンピューターの重要な識別情報を収集することが可能になった。
Torプロジェクトが月曜日に投稿したセキュリティ勧告には、「実際のところ、Windowsから切り替えることは、多くの理由からセキュリティ面で良い対策である可能性が高い」と記されている。
Torプロジェクトの推論は、ゼロデイ脆弱性を悪用した悪意のあるJavaScriptの特性に基づいています。このスクリプトは、TORを使用してウェブサイトを閲覧できるようにカスタマイズされたブラウザのバージョンであるFirefox 17 ESR（Extended Support Release）を実行しているWindowsコンピュータを標的として作成されました。
LinuxとOS Xのユーザーは影響を受けなかったが、将来的に標的にされないわけではない。「これはFirefoxの最初の脆弱性ではなく、最後でもないだろう」とTorプロジェクトは警告した。
このJavaScriptは、攻撃者が訪問者を把握したい特定のウェブサイトに埋め込まれた可能性が高い。このスクリプトは、ユーザーのコンピュータのホスト名とMAC（メディアアクセス制御）アドレスを収集し、リモートコンピュータに送信していた。これはまさに、Torユーザーがインターネット閲覧中に漏洩を避けたいと考えているデータである。
「このエクスプロイトは汎用マルウェアのようには見えません。Torブラウザバンドルのユーザーの身元を明らかにすることに特化したもので、ホストにバックドアを実際にインストールする必要はありません」と、コードを解析したセキュリティ研究者のVlad Tsyrklevich氏は電子メールで述べた。彼は自身のウェブサイトで解析結果を公開した。
Tor プロジェクトはまた、Tor ブラウザ内の緑の玉ねぎの横にある青い「S」をクリックして JavaScript をオフにするようユーザーにアドバイスしました。
「JavaScriptを無効にすると、今回のような他の攻撃に対する脆弱性は軽減されますが、一部のウェブサイトが期待通りに動作しなくなる可能性があります」とTorは述べています。「Torブラウザバンドルの将来のバージョンでは、JavaScript設定をより簡単に行えるインターフェースが提供される予定です。」
この脆弱性はMozillaによってFirefoxの最新バージョンで修正されましたが、一部のユーザーは依然としてTorブラウザバンドルの古いバージョンを使用している可能性があります。Firefoxをベースにしたこのバンドルブラウザは、ウェブ閲覧中の匿名性を保護するように設計されており、「https://idnxcnkne4qt76tg.onion/」のようなURLを持つTORサイトにアクセスできるように特別に設定されています。
[読む: レビュー: Tor ブラウザバンドルで匿名でブラウジング]
Tor 上の Web サイトへのリクエストは、コンピューターの IP アドレスやその他のネットワーク情報を隠し、コンピューターとユーザーを結び付けやすくするように設計された、世界中のサーバーのネットワークを通る迂回ルートをたどります。
6 月 26 日から 4 日間にわたって、複数の Tor ブラウザ バンドル バージョンが修正されました。ブラウザ バンドルは新しいバージョンを自動的にチェックしますが、一部のユーザーがアップグレードしなかった可能性があり、その場合、危険にさらされる可能性があります。
Torプロジェクトは、「攻撃者が現在、これらの隠しサービスにアクセスした脆弱なTorユーザーのリストを入手していると結論付けるのは妥当だ」と述べている。
確認はされていないものの、コンピューターセキュリティの専門家は、このマルウェアは、Freedom Hostingという会社がサポートする特定のTorウェブサイトを閲覧した人々に関する情報を収集するために法執行機関によって使用された可能性があると推測している。
このホスティング会社は、28歳の男性、エリック・エオイン・マルケスと関係があるとみられている。アイルランドの新聞「インディペンデント」によると、マルケスは児童ポルノの配布と宣伝の容疑で米国からの身柄引き渡し要請を受け、アイルランド当局に拘留されている。
FBIは月曜日、この事件についての問い合わせに対し、捜査の一環として何者かが逮捕されたと発表したが、その人物の身元は明らかにしなかった。
