Tor Browser 4.0 : mise à jour automatique, Firefox 31 et désactivation de SSLv3

Tor Browser 4.0 : mise à jour automatique, Firefox 31 et désactivation de SSLv3

Meek partout, censure nulle part

Avatar de l'auteur
Sébastien Gavois

Publié dans

Logiciel

16/10/2014 3 minutes
38

Tor Browser 4.0 : mise à jour automatique, Firefox 31 et désactivation de SSLv3

Tor vient d'annoncer la mise en ligne de la version 4.0 de son bundle Tor Browser. Cette mouture est basée sur Firefox 31.2.0 en version ESR (Extended Support Release) et SSLv3 a été désactivé afin d'éviter que la faille POODLE puisse être exploitée. Mais plusieurs autres nouveautés sont de la partie.

Tor Browser 4.0 : Firefox 31 ESR et SSLv3 désactivé par défaut

Comme nous l'indiquions hier, une importante faille a été identifiée dans SSLv3. Ses conséquences peuvent être fâcheuses puisque toutes les données qui circulent de manière chiffrée peuvent potentiellement être interceptées. Une solution est de désactiver le support de SSLv3, ce qui n'est généralement pas le cas par défaut sur les navigateurs. Des mises à jour devraient donc rapidement arriver.

 

Hasard ou pas du calendrier, Tor Browser vient de passer en version 4.0 et apporte son lot de nouveautés. Pour rappel, ce bundle intègre Firefox avec de nombreuses extensions et exploite le réseau Tor afin d'offrir un certain niveau de confidentialité et d'anonymat. Firefox passe ainsi de la version 24 ESR (Extended Support Release) à la 31, toujours avec support étendu, et qui propose de nombreux correctifs de sécurité, dont sept jugés comme critiques. Afin d'éviter la faille POODLE, SSLv3 a été désactivé par défaut. 

Contournement de la censure et mise à jour automatique 

Cette nouvelle version propose également un système de contournement de la censure, pour la Chine par exemple : meek. Il s'agit en fait d'utiliser le protocole HTTP afin de faire circuler des données chiffrées via TLS (Transport Layer Security). Ce trafic est ensuite relayé par un serveur tiers, comme un CDN, qui est rarement bloqué. L'équipe indique ainsi que meek-amazon et meek-azure, qui passent par les services d'Amazon et Microsoft, devraient fonctionner sans problème en Chine, sans avoir besoin d'obtenir l'adresse d'un bridge. Rien n'est précisé pour meek-google, qui devrait donc ne pas être opérationnel dans ce cas.

 

Mais ce n'est pas le seul changement et d'autres modifications plus profondes ont été effectuées afin d'ajouter une fonctionnalité intéressante : des mises à jour automatiques. Pour cela l'arborescence des fichiers a été entièrement revue et corrigée. Néanmoins, cela signifie qu'il sera impossible de copier les fichiers de Tor Browser 4.0 sur une installation 3.6.6.

 

Du côté de NoScript (qui passe en version 2.6.9.1), il est désormais possible d'autoriser ou de refuser l'exécution de tous les sous-éléments d'une page en une seule fois au lieu de les faire un par un. Notez enfin que, comme Google avec Chrome, Tor laissera bientôt tomber OS X en version 32 bits pour se concentrer sur la version 64 bits.

 

Tous les détails des notes de versions se trouvent par ici, tandis que pour télécharger Tor Browser, c'est par là que ça passe.

 

Tor

Écrit par Sébastien Gavois

Tiens, en parlant de ça :

Sommaire de l'article

Introduction

Tor Browser 4.0 : Firefox 31 ESR et SSLv3 désactivé par défaut

Contournement de la censure et mise à jour automatique 

next n'a pas de brief le week-end

Le Brief ne travaille pas le week-end.
C'est dur, mais c'est comme ça.
Allez donc dans une forêt lointaine,
Éloignez-vous de ce clavier pour une fois !

Fermer

Commentaires (38)


Humm m’en vait l’utiliser avec le module d’encryptage des noeuds tor tiens


GuiJo
Le 16/10/2014 à 08h 17

Et FF est passé en version 33 aujourd’hui.


David_L Abonné
Le 16/10/2014 à 08h 22







GuiJo a écrit :



Et FF est passé en version 33 aujourd’hui.





Oui :&nbsphttp://www.nextinpact.com/news/90409-firefox-33-openh264-pour-videoconferences-e…



Mais Tor n’utilise jamais la dernière version en date.



Kirito
Le 16/10/2014 à 08h 23

Interesting


bakou Abonné
Le 16/10/2014 à 09h 05

Je n’ai jamais utilisé ce navigateur Tor mais j’y pense.

Des retours d’inpactiens éclairés? Y a-t-il des désavantages à utiliser ce navigateur?


Koxinga22
Le 16/10/2014 à 09h 09

Leur site est refusé par le proxy de la boite :/

Je voulais regarder de plus près comment ce client était configuré : c’est un noeud Tor ? Plus y a de gens qui l’utilisent, plus le truc est efficace ?


Glyphe
Le 16/10/2014 à 09h 11







bakou a écrit :



Je n’ai jamais utilisé ce navigateur Tor mais j’y pense.

Des retours d’inpactiens éclairés? Y a-t-il des désavantages à utiliser ce navigateur?





Tor n’est normalement pas utilisé en remplacement total d’un navigateur “traditionnel”. Il sert plutôt à côté de celui-ci à accéder des à des sites peu surs, des sites qu’on ne connait pas ou l’on ne souhaite pas laisser de “traces” ou à accéder aux sites en hidden service qui ne sont par définition accessible uniquement par le réseau Tor.









Koxinga22 a écrit :



Leur site est refusé par le proxy de la boite :/



Je voulais regarder de plus près comment ce client était configuré :

c’est un noeud Tor ? Plus y a de gens qui l’utilisent, plus le truc est

efficace ?





 Le Tor Browser Bundle inclut évidemment la possibilité de se connecter aux noeuds Tor mais n’est pas à proprement parlé un noeud Tor par défaut. Il n’est de base qu’une sorte de client qui se connecte au réseau Tor. Pour se transformer en noeud de relai il faut activer des paramètres volontairement pour pouvoir relayer les connexions d’autres personnes via soi. Il est toujours préférable d’installer un nœud Tor sur une machine dédiée évidemment parce qu’il doit tourner h24 et va consommer des ressources système mais aussi réseau.









Koxinga22 a écrit :



Leur site est refusé par le proxy de la boite :/

Je voulais regarder de plus près comment ce client était configuré : c’est un noeud Tor ? Plus y a de gens qui l’utilisent, plus le truc est efficace ?





Tu peux l’utiliser en tant que simple client, ou le configurer pour en faire un relai.



Et plus il y a de relais, plus l’anonymat est renforcé.



FRANCKYIV
Le 16/10/2014 à 09h 12







bakou a écrit :



Je n’ai jamais utilisé ce navigateur Tor mais j’y pense.

Des retours d’inpactiens éclairés? Y a-t-il des désavantages à utiliser ce navigateur?







Clairement la vitesse … si tu espères surfer à toute vitesse, il ne faut pas l’utiliser.



Fantassin
Le 16/10/2014 à 09h 22

SSLv3 est désactivé dans la version classique de FF 33 ou faut le faire à la manu ?


Uther Abonné
Le 16/10/2014 à 09h 48







Fantassin a écrit :



SSLv3 est désactivé dans la version classique de FF 33 ou faut le faire à la manu ?





A partir de la version 33 de Firefox, c’est désactivé automatiquement, il n’y a rien a faire.



Commentaire_supprime
Le 16/10/2014 à 09h 55







Glyphe a écrit :



Tor n’est normalement pas utilisé en remplacement total d’un navigateur “traditionnel”. Il sert plutôt à côté de celui-ci à accéder des à des sites peu surs, des sites qu’on ne connait pas ou l’on ne souhaite pas laisser de “traces” ou à accéder aux sites en hidden service qui ne sont par définition accessible uniquement par le réseau Tor.









Question de noob : pour les hidden services de Tor, est-ce qu’il existe des annuaires ou des moteurs de rechercher pour les trouver ?



Merci par avance pour la réponse.



Koxinga22
Le 16/10/2014 à 10h 12







ActionFighter a écrit :



Tu peux l’utiliser en tant que simple client, ou le configurer pour en faire un relai.



Et plus il y a de relais, plus l’anonymat est renforcé.





Hmm. Il y a donc un mode “leecher”. Ca devrait favoriser l’adoption du produit par le public.



psn00ps
Le 16/10/2014 à 10h 23

Des mises à jour automatiques sur le Tor Browser… pas cool côté sécurité amha.


Glyphe
Le 16/10/2014 à 10h 42







psn00ps a écrit :



Des mises à jour automatiques sur le Tor Browser… pas cool côté sécurité amha.





Si tu l’as téléchargé depuis le site officiel (https://www.torproject.org/ ), il n’y a pas fondamentalement de problème de sécurité étant donné qu’un MITM est possible aussi sur la récupération des nouvelles version sur le site web lui-même.









Glyphe a écrit :



Si tu l’as téléchargé depuis le site officiel (https://www.torproject.org/ ), il n’y a pas fondamentalement de problème de sécurité étant donné qu’un MITM est possible aussi sur la récupération des nouvelles version sur le site web lui-même.





Tout dépend si les mises à jour du browser écrase la configuration, notamment la désactivation du JS.



Glyphe
Le 16/10/2014 à 10h 58







ActionFighter a écrit :



Tout dépend si les mises à jour du browser écrase la configuration, notamment la désactivation du JS.





Réinstaller le nouveau TBB par l’ancienne méthode écrasait de toute façon les réglages (sur OSX en tout cas). Donc sur certaines plateformes ça n’aura pas de désavantage supplémentaire. 



Takaï
Le 16/10/2014 à 11h 08







Commentaire_supprime a écrit :



Question de noob : pour les hidden services de Tor, est-ce qu’il existe des annuaires ou des moteurs de rechercher pour les trouver ?



Merci par avance pour la réponse.





Demande à google une liste de sites en .onion 



Il y a de bonnes chances que plusieurs sites en fournissent. Par contre, pour avoir jeté un oeil une fois, attends toi à tomber sur des intitulés de contenu franchement pas jojo. (comme à chaque fois qu’on tape dans de “l’underground”)



FRANCKYIV
Le 16/10/2014 à 11h 18







Takaï a écrit :



Demande à google une liste de sites en .onion 



Il y a de bonnes chances que plusieurs sites en fournissent. Par contre, pour avoir jeté un oeil une fois, attends toi à tomber sur des intitulés de contenu franchement pas jojo. (comme à chaque fois qu’on tape dans de “l’underground”)







Encore quelqu’un qui ne sait pas dire “moteur de recherche” et se sens obligé de citer une marque …



Glyphe
Le 16/10/2014 à 11h 18

Oui il n’y a pas de référencement officiel de sites en .onion évidemment étant donné que la motivation principale de la plupart de ces sites est de rester très discret.



Après on trouve assez facilement des listes compilées sur les moteurs de recherche.



Il y a aussi des sites très connus qui ont leur propre hidden service comme Duckduckgo : http://3g2upl4pq6kufc4m.onion/


frscot
Le 16/10/2014 à 11h 19







Takaï a écrit :



Demande à google une liste de sites en .onion 



Il y a de bonnes chances que plusieurs sites en fournissent. Par contre, pour avoir jeté un oeil une fois, attends toi à tomber sur des intitulés de contenu franchement pas jojo. (comme à chaque fois qu’on tape dans de “l’underground”)





En effet juste sur le premier lien google il y a certains site “limites” http://thehiddenwiki.org/ : UK guns, drugs…!).

Par contre avec les recentes annonces sur le fait que le reseau ne soit pas si anonyme que ca (NSA) comment ce fait-il que le projet soit toujours la avec des sites de ce style?



kamuisuki
Le 16/10/2014 à 11h 21

nextinpact.onion


Takaï
Le 16/10/2014 à 11h 24







FRANCKYIV a écrit :



Encore quelqu’un qui ne sait pas dire “moteur de recherche” et se sens obligé de citer une marque …





Blah Blah Blah…



Si t’as rien de mieux à faire que de me chercher des poux là dessus retourne sur ton pied d’Estale et fiche moi la paix, merci. 



Glyphe
Le 16/10/2014 à 11h 30







frscot a écrit :



En effet juste sur le premier lien google il y a certains site “limites” http://thehiddenwiki.org/ : UK guns, drugs…!).

Par contre avec les recentes annonces sur le fait que le reseau ne soit pas si anonyme que ca (NSA) comment ce fait-il que le projet soit toujours la avec des sites de ce style?





Evitons de trop simplifier aussi : le réseau Tor n’a jamais été cassé et ne contient à l’heure actuelle aucune faille fondamentale dans son architecture ou son fonctionnement. La NSA n’a d’ailleurs aucun outil fiable à l’heure actuelle pour casser son chiffrement et écouter massivement ce réseau. (Oui se transformer en nœud de sortie permet en effet d’écouter les paquets non chiffrés par TLS qui en sortent mais ce n’est pas une faille, c’est une conséquence systémique)



Le cas de SilkRoad était différent parce que le FBI s’était attaqué non pas au réseau mais à l’hébergement du hidden service lui-même. Cibler le facteur humain est toujours plus simple.  Et se faire héberger dans des endroits ou les USA ont leur juridiction n’était probablement pas très intelligent d’ailleurs.



Ensuite le projet Tor n’a strictement rien à voir avec les sites eux-même, tout le monde peut transformer son site web en hidden service “sur Tor”. Le projet ne travaille qu’au développement du réseau et des développements logiciels pour s’y connecter (navigateur, relais, etc).



Takaï
Le 16/10/2014 à 11h 35







Glyphe a écrit :



Evitons de trop simplifier aussi : le réseau Tor n’a jamais été cassé et ne contient à l’heure actuelle aucune faille fondamentale dans son architecture ou son fonctionnement. La NSA n’a d’ailleurs aucun outil fiable à l’heure actuelle pour casser son chiffrement et écouter massivement ce réseau. (Oui se transformer en nœud de sortie permet en effet d’écouter les paquets non chiffrés par TLS qui en sortent mais ce n’est pas une faille, c’est une conséquence systémique)



Le cas de SilkRoad était différent parce que le FBI s’était attaqué non pas au réseau mais à l’hébergement du hidden service lui-même. Cibler le facteur humain est toujours plus simple.  Et se faire héberger dans des endroits ou les USA ont leur juridiction n’était probablement pas très intelligent d’ailleurs.



Ensuite le projet Tor n’a strictement rien à voir avec les sites eux-même, tout le monde peut transformer son site web en hidden service “sur Tor”. Le projet ne travaille qu’au développement du réseau et des développements logiciels pour s’y connecter (navigateur, relais, etc).





Sans compter les possibilités de contournement de blocage pour accéder au Web “conventionnel” qu’apporte ce réseau au besoin. 



Le principe de l’outil et de l’usage en somme.



Dr.Wily
Le 16/10/2014 à 12h 24

Et du coté de PCi ça se passe comment pour TOR ? parce que ‘en ce moment le site est tout simplement impraticable, à chaque nouvelle page on a le droit à un captcha Cloudflare.


frscot
Le 16/10/2014 à 12h 24







Glyphe a écrit :



Evitons de trop simplifier aussi : le réseau Tor n’a jamais été cassé et ne contient à l’heure actuelle aucune faille fondamentale dans son architecture ou son fonctionnement. La NSA n’a d’ailleurs aucun outil fiable à l’heure actuelle pour casser son chiffrement et écouter massivement ce réseau. (Oui se transformer en nœud de sortie permet en effet d’écouter les paquets non chiffrés par TLS qui en sortent mais ce n’est pas une faille, c’est une conséquence systémique)



Le cas de SilkRoad était différent parce que le FBI s’était attaqué non pas au réseau mais à l’hébergement du hidden service lui-même. Cibler le facteur humain est toujours plus simple.  Et se faire héberger dans des endroits ou les USA ont leur juridiction n’était probablement pas très intelligent d’ailleurs.



Ensuite le projet Tor n’a strictement rien à voir avec les sites eux-même, tout le monde peut transformer son site web en hidden service “sur Tor”. Le projet ne travaille qu’au développement du réseau et des développements logiciels pour s’y connecter (navigateur, relais, etc).





<img data-src=" />

Pardon si j’etais trop simpliste, et merci pour les explications.



JoePike
Le 16/10/2014 à 12h 27







David_L a écrit :



Oui :&nbsp;http://www.nextinpact.com/news/90409-firefox-33-openh264-pour-videoconferences-e…



Mais Tor n’utilise jamais la dernière version en date.





Grande preuve de sagesse

I’ve been there <img data-src=" />









Glyphe a écrit :



Réinstaller le nouveau TBB par l’ancienne méthode écrasait de toute façon les réglages (sur OSX en tout cas). Donc sur certaines plateformes ça n’aura pas de désavantage supplémentaire.&nbsp;





C’est pas faux. Il vaut mieux dans tous les cas vérifier les options après MAJ <img data-src=" />



Keats`
Le 16/10/2014 à 13h 35







Takaï a écrit :



pied d’Estale





Mon dieu…






HarmattanBlow
Le 16/10/2014 à 15h 49







Takaï a écrit :



Si t’as rien de mieux à faire que de me chercher des poux là dessus retourne sur ton pied d’Estale et fiche moi la paix, merci.





Fatality - énucléation instantanée.



KaKi87 Abonné
Le 16/10/2014 à 16h 47

Le meek-google fonctionne : je l’ai testé avec un pare-feu qui bloque normalement les connexions standard avec le réseau Tor.


KaKi87 Abonné
Le 16/10/2014 à 16h 48

Le meek-google fonctionne : je l’ai testé quand Tor version 4 était encore en bêta.


Jarodd Abonné
Le 16/10/2014 à 16h 55







David_L a écrit :



Oui :&nbsp;http://www.nextinpact.com/news/90409-firefox-33-openh264-pour-videoconferences-e…



Mais Tor n’utilise jamais la dernière version en date.





Je comprends qu’ils ne puissent pas mettre la dernière version Mais ça signifie qu’on a toujours une version sans certains correctifs de sécurité alors ? C’est ballot, pour l’usage de Tor…



xhark
Le 16/10/2014 à 17h 15
vampire7
Le 16/10/2014 à 17h 34







Jarodd a écrit :



Je comprends qu’ils ne puissent pas mettre la dernière version Mais ça signifie qu’on a toujours une version sans certains correctifs de sécurité alors ? C’est ballot, pour l’usage de Tor…





Les versions ESR continuent d’être mises à jour avec les correctifs de sécurité. Et Tor est également mis à jour avec ces correctifs.

Par exemple, le précédent Tor Browser était basé sur Firefox 24, mais la version indiquée dans mon Tor Browser actuel est la 24.8.1.



Nerkazoid
Le 16/10/2014 à 21h 01







Keats` a écrit :



Mon dieu…





On parle de moi ????&nbsp;<img data-src=" />



Glyphe
Le 17/10/2014 à 08h 56







xhark a écrit :



info sslv3 si vous avez un NAS Synology&nbsp;http://blogmotion.fr/internet/securite/faille-sslv3-cve-2014-3566-12180





J’ai chopé ton tweet là dessus sur Twitter, j’ai suivi ton tuto et j’en ai profité pour modifier les suites de chiffrement en plus de supprimer le SSLv3 !&nbsp;

Un tout grand merci à toi pour tout ce taff ! <img data-src=" />