JavaScript-blokkade beschermt Tor Browser tegen Firefox-lek
Gebruikers van Tor Browser die JavaScript blokkeren waren niet kwetsbaar voor het zerodaylek in Firefox, zo heeft het Tor Project laten weten. Vanwege de kwetsbaarheid, waardoor een aanvaller in het ergste geval systemen kon overnemen, kwam Firefox afgelopen dinsdag met een noodpatch.
Volgens de browserontwikkelaar werd het beveiligingslek actief gebruikt om Firefox-gebruikers aan te vallen voordat de update beschikbaar was. Tor Browser is op Firefox gebaseerd en bevat daardoor ook het betreffende lek. De browser biedt echter verschillende beveiligingsniveaus waarmee gebruikers de bescherming kunnen opschroeven. Volgens het Tor Project waren gebruikers die het beveiligingsniveau "safer" en "safest" hadden staan niet kwetsbaar.
Om de kwetsbaarheid uit te buiten moet een aanvaller namelijk JavaScript kunnen uitvoeren en dat wordt op deze twee niveaus respectievelijk deels en volledig geblokkeerd. In het geval van "safer" wordt het uitvoeren van JavaScript op http-sites geblokkeerd, terwijl het safest-niveau alle JavaScript tegenhoudt.
Het Tor Project heeft nu een nieuwe versie (8.5.2) van de browser uitgebracht die de kwetsbaarheid verhelpt. Voor gebruikers van Tor Browser voor Android is er nog geen nieuwe versie. Het ontwikkelteam is onderweg naar een evenement en heeft daardoor geen toegang tot de token waarmee de Androidversie wordt gesigneerd. In afwachting van de update krijgen Androidgebruikers dan ook het advies om het beveiligingsniveau op "safer" of "safest" te zetten.
https://support.mozilla.org/en-US/questions/954712
Het zijn nu klik-opties die gebruik maken van zgn. radiobuttons die je aan moet klikken om over te schakelen.
Beveiligingsslider is verleden tijd.
(er is zelfs een indicatie dat ik misschien in die stand ben aangevallen: het beeld ging 5 a 10 seconden op zwart,
en kwam daarna weer op)
Wat nog wel kan, is dat de instellingen van browserextensie NoScript je eventueel zouden kunnen beschermen
in geval Noscript zo is ingesteld dat geen javascript wordt uitgevoerd.
altijd steeds juist zoveel toelaten als voor minimaal goed functioneren van de website in kwestie nodig is. Dat toggelen bij uMatrix bijvoorbeeld is niet zo'n helse klus, zeker voor power users en de website savvy folks.
Bij twijfel steeds blokkeren. Script blockers blokkeren namelijk altijd tegen alle mogelijke scriptbedreigingen: die van vroeger, die van heden en zelfs die in de mogelijke toekomst.
Komt u voor het eerst op een site dan zijn er tal van manieren om uit te vinden of er IDS alerts bestaan voor een bepaalde site.
Het domein kan een `weggever` zijn, zoals www dot bladibla dot su, of een PHISHING alert. Sommige zaken worden gemist door veel scanners, zoals Admob adware via amazon en gaat dan onder de radar. Er is nogal wat verschil in detectie patronen en listings tussen bijvoorbeeld Bitdefender -, DrWeb en bijvoorbeeld avast extensies in de browser. VTchromiser is ook altijd handig en voor developersde retire.js en Web Developer extensie.
luntrus
De bug waarmee men uit de sandbox kon breken is vandaag gefixt in Firefox 67.0.4 en 60.7.2 ESR.
https://www.zdnet.com/article/mozilla-fixes-second-firefox-zero-day-exploited-in-the-wild/
In de komende dagen is dus nogmaals een nieuwe versie van TorBrowser te verwachten ( 8.5.3(?) ) waarin ook
de zeroday m.b.t de escape uit de sandbox is gefixt.
Standaard blokker ik globaal (optie *) zoveel mogelijk (bovenste regel 'alle'), per site geef ik dan éénmalig aan wat toestemming mag hebben en sla dit eventueel op. Mijn inziens beste manier voor de maximale beveiliging en de minste handelingen.
Raad iedereen uMatrix aan, met een beetje geduld kan echt iedereen mee overweg. Als je daarbij Bluhell firewall (onlangs gelukkig weer geüpdatet, kun je alleen aan en uit zetten) gebruikt is internetten veilig(er), inclusief jouw privacy, leuker/sneller zonder dat je browser ook maar enigszins traag wordt.
En een extra pluspunt van Bluhell is dat hij standaard de site van het AD volledig blokt :-). Draait blijkbaar zoveel persgroep-troep mee dat dat als (terecht) onveilig gezien wordt.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Adviseur Informatiebeveiliging
Je bent een belangrijke speler om invulling te geven aan de gemeentelijke ambities op het gebied van informatiebeveiliging. Deze ambities neem jij op in het Informatie-beveiligingsbeleid Gemeente Zoetermeer. Wil je helpen bij het verbeteren van de informatiebeveiliging in Zoetermeer en het versterken van het cyberbewustzijn binnen onze organisatie? Wacht dan niet en kom ons team informatiebeveiliging versterken!
Toezichthouder informatiebeveiliging Overheid
Rijksinspectie Digitale Infrastructuur (RDI)
Vind je het leuk om als toezichthouder bij te dragen aan de verdere groei in informatie-beveiliging van de overheid en in contact te staan met (belangen) organisaties binnen de overheid? Dan kun je komen bouwen aan toezicht op een veilige en betrouwbare Digitale Infrastructuur in Nederland.
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.