Размеры окна браузера тор

Размеры окна браузера тор

При запуске Tor Browser, окно браузера открывается в маленьком окне для защиты FingerPrint. Какой параметр в about:config позволяет управлять этим? Чтобы открывалось полностью окно, как у обычных браузеров.

Ответить | Правка | Cообщить модератору

Оглавление

  • Фича называется LetterboxingЧертЕгоЗнает каким именно параметром оно отключается, DiabloPC (ok), 10:31 , 18-Ноя-19, (1)
    • Не помогло, это фича просто добавляет белые области в окне, но у меня другое, бр, GreysTS (ok), 13:07 , 18-Ноя-19, (2)
      • Имхо, это проблема Wm и его настроекЗыЕщё может быть что оно запускается если з, DiabloPC (ok), 03:55 , 23-Ноя-19, (3)

  • Необходимо в about config изменить параметр privacy resistFingerprinting letterb, Havk (ok), 22:06 , 06-Мрт-20, (4)

1,4

Сообщения [Сортировка по времени | RSS]

Фича называется Letterboxing
ЧертЕгоЗнает каким именно параметром оно отключается, но можно по about:config пробежаться поиском с запросом Letterboxing

1. «Как изменить размер окно браузера Tor ?» + / –
Сообщение от DiabloPC (ok), 18-Ноя-19, 10:31
Ответить | Правка | Наверх | Cообщить модератору

2. «Как изменить размер окно браузера Tor ?» + / –
Сообщение от GreysTS (ok), 18-Ноя-19, 13:07

> Фича называется Letterboxing
> ЧертЕгоЗнает каким именно параметром оно отключается, но можно по about:config пробежаться
> поиском с запросом Letterboxing

Не помогло, это фича просто добавляет белые области в окне, но у меня другое, браузер открывается в в маленьком окне, это как нажать вверху справа (Свернуть в окно)

Ответить | Правка | Наверх | Cообщить модератору

3. «Как изменить размер окно браузера Tor ?» + / –
Сообщение от DiabloPC (ok), 23-Ноя-19, 03:55

>> Фича называется Letterboxing
>> ЧертЕгоЗнает каким именно параметром оно отключается, но можно по about:config пробежаться
>> поиском с запросом Letterboxing
> Не помогло, это фича просто добавляет белые области в окне, но у
> меня другое, браузер открывается в в маленьком окне, это как нажать
> вверху справа (Свернуть в окно)

Имхо, это проблема Wm и его настроек
Зы
Ещё может быть что оно запускается (если запускать с меню) с неким параметром. Стоит попробовать запускать с комм строки по имени бинарника

Ответить | Правка | Наверх | Cообщить модератору

4. «Как изменить размер окно браузера Tor ?» + / –
Сообщение от Havk (ok), 06-Мрт-20, 22:06

> При запуске Tor Browser, окно браузера открывается в маленьком окне для защиты
> FingerPrint. Какой параметр в about:config позволяет управлять этим? Чтобы открывалось
> полностью окно, как у обычных браузеров.

Источник

TOR. Правильная настройка. Анонимность.

Приветствую друг, сегодня рассмотрим как правильно установить и настроить Tor. Первым делом правильно настроим расширение NoScript, мои, эти хардкорные настройки больше применимы для даркнета, для обеспечения максимальной анонимности и противостоянию деанонимизации со стороны всевидящего ока и хакеров.

Если вы хотите с помощью Тор зайти на заблокированный сайт или просто сменить IP-адрес, тогда вам эти настройки не нужны! Можете использовать Тор прямо из коробки.

Настройка расширения NoScript

Разработчики Tor оснастили свой софт очень важным и полезным плагином NoScript, который устанавливается по умолчанию, но увы по умолчанию не настраивается.

Для настройки NoScript в левой части браузера нажмите на иконку дополнения. В появившемся меню выберите пункт «Настройка».

На вкладке «Белый список» уберите галочку с поля «Глобальное разрешение скриптов…»

Перейдите на вкладку «Встроенные объекты» и отметьте галочкой необходимые поля. Все в точности как показано на скрине ниже.

Настройка скрытых параметров браузера

Теперь настроим сам Браузер, для этого необходимо зайти в скрытые настройки.

Итак, в адресной строке пишем «about:config» и нажимаем на ввод. После этого появится окно предупреждения, в котором жмем на синюю кнопку «Я обещаю что…» и идем дальше.

Здесь нам нужно найти и изменить некоторые критические настройки. В первую очередь изменяем загрузку и обработку Javascript. Сделать это можно с помощью изменения параметра «javascript.enable».

В поисковой строке, которая находится под адресной строкой, пишем «javascript.enable» и нажимаем ввод. Теперь правой кнопкой мышки нажимаем на пункт «Переключить», что изменит данный параметр с «True»на «False».

Таким же образом находим параметр «network.http.sendRefererHeader» и изменяем его со значения «2» на значение «0».

Отключение HTTP Referer

Находим параметр «network.http.sendSecureXsiteReferrer» и изменяем его значение на «False».

Находим параметр «extensions.torbutton.saved.sendSecureXSiteReferrer» и меняем его значение на «False».

Находим параметр «network.cookie.cookieBehavior» и изменяем его значение с «1» на «2».

После этих изменений некоторые сайты могут некорректно работать в данном браузере. Но вы всегда можете вернуть прежние настройки, что я конечно-же очень не советую делать.

Как пользоваться Tor

После того как вы произвели все настройки, я хочу рассказать как правильно пользоваться Tor. Вот список правил которые необходимо соблюдать каждому, кто использует Tor :

  • Не устанавливать в Браузер лишние и непроверенные расширения.
  • Не под каким предлогом не отключать дополнение NoScript.
  • Часто обновлять цепочку нодов и перегружать браузер.
  • Не открывать браузер Tor (Mozzila Firefox) во весь экран.
  • Не работать с браузером Tor с админ правами.
  • Никогда не заходить используя свой логин и пароль на свою главную почту или в свои реальные аккаунты социальных сетей, в которых имеется какая-то информация о вас или которые как-то связаны с вашими настоящими аккаунтами. Исключение только формы авторизации Onion сайтов и форумов. И конечно для таких сайтов желательно использовать отдельный почтовый ящик, который также не связан с вашей настоящей почтой.
  • Все скаченные в DeepWeb файлы проверяйте на вирусы. Запускайте эти файлы только на виртуальной системе.
  • Своевременно обновлять браузер Tor.

Также советую использовать анонимную операционную систему Tails или другую анонимную ОС.

Анонимность Tor зависит только от вас и вашего поведения в сети, не один даже самый анонимный Браузер не защитит вашу систему и вашу информацию от кривых рук пользователя. Будьте бдительны, не давайте себя ввести в заблуждение. Если возникают сомнения, то лучше не нажимать, не переходить по ссылке и конечно же не скачивать.

Deep Web — это далеко не всегда дружественная среда. Там вам может перепасть и от людей в костюмах, если вы делаете что-то не очень незаконное. И от хакеров или просто кидал, если вы пушистый, наивный пользователь-одуванчик.

Источник

Браузер Tor удаленно можно распознать по размеру окна

Эксперту-криминалисту Нилу Кравецу удалось найти три несложных способа, позволяющих определить, использует ли человек в данный момент анонимный браузер Tor или же нет. На первый взгляд такая информация может показаться совершенно безобидной, но на самом деле она представляет очень большую опасность.

Если атакующему удастся установить сам факт использования Tor, то в дальнейшем он сможет использовать эту информацию для совершения разного рода атак, которые могут нанести очень серьезный ущерб безопасности пользователя.

Криминалист подробно описал 3 показателя, по которым хакеры могут выяснить, каким браузером пользуется человек: анонимным Tor или обычным веб-обозревателем. Первым показателем является размер окна браузера. Чаще всего если пользователь работает с обычным браузером, то размер его окна немного меньше размера экрана используемого устройства. В случае с Tor размер окна веб-обозревателя совпадает с размером экрана. На такие меры создатели пошли специально, чтобы лишить хакеров или спецслужбы возможности считывать цифровые отпечатки пользователя. Однако именно поэтому параметру злоумышленники могут понять, что на компьютере используется именно Tor. Как только это станет известно атакующему, он сразу же сможет заблокировать доступ к своему ресурсу или применить соответствующий эксплоит.

Второй метод тоже использует данные по размерам. В частности, он заключается в том, как именно браузер определяет размер открытого окна. Если используется браузер Firefox который создан на базе «огненного лиса», то ширина открытого окна веб-обозревателя должна быть кратной 200 пикселям, а высота — 100 пикселям. Например, на macOS внизу расположено меню, поэтому эти параметры определяются не совсем корректно. Из-за того, что окно браузера Tor намного больше обычного, то при сопоставлении этих параметров можно установить, что используется именно анонимный веб-обозреватель.

Еще один способ, позволяющий отследить, какой браузер используется на конкретном компьютере, основывается на данных по размеру скролла, то есть полосы прокрутки. Для каждого веб-обозревателя и операционной системы эти параметры будут уникальными. Например, в Tor для ОС Windows ширина скролла составляет 17 пикселей, для macOS — 15 пикселей, а для Linux она варьируется в пределах 10-16 пикселей.

Источник

Настройка Tor Browser

Продолжая тему сохранения анонимности в современном интернете, мы переходим к практической части — установке, настройке и азам грамотного использования Tor Browser, являющегося сегодня наиболее популярным решением в этой области. Статья окажется полезной тем, кому действительно важно сохранение анонимности, а не только обход блокировок Роскомнадзора.

Кстати, перед прочтением этого материала мы рекомендуем ознакомиться с предыдущими работами по теме: «Анонимность в сети» и «Противники анонимности и их методы» — это позволит лучше понимать, что мы имеем в виду, говоря об анонимности, и почему она так важна в наше время.

Tor Browser — версия 10.0

Если у вас есть причины заботиться о собственной анонимности и безопасности в современном информационном поле, то, скорее всего, Tor Browser станет одним из наиболее часто употребляемых вами инструментов.

Вероятно, он не нуждается в особом представлении, так как популярность Tor в России неуклонно растёт Количество ежедневных подключений из России с 2012 года выросло от 20 тысяч до 300-400 тысяч, и продолжает расти. Несложно догадаться, что это связано как с закручиванием гаек властью в ответ на любые действия, трактуемые ею как протест, так и с жёстким регулированием интернета в интересах крупного медиа-бизнеса, требующего блокировать ресурсы, популярные среди простых людей. В десятке лидеров по количеству пользователей Tor наша страна занимает почётное второе место, уступая только США. , но на всякий случай уточним, что Tor Browser это сборка обычного Mozilla Firefox ESR от проекта Tor, в комплекте с программой-маршрутизатором, направляющей весь сетевой трафик браузера через Tor-сеть.

Firefox создавался в первую очередь как обычный браузер, поддерживающий современные WEB -стандарты, но изначально не ориентированный на анонимность и безопасность конечного пользователя. Это даёт нам удобство использования, и вместе с ним — разнообразные известные и пока неизвестные недочёты, ставящие под удар анонимность пользователя. Разработчики Tor Browser обычно не распространяются о недостатках браузера, потому мы постараемся помочь им, заострив внимание на известных нам проблемах и методах их решения.

В интернете можно найти много информации, посвящённой дополнительной настройке Firefox . Обычно она сводится к методичке по изменению настроек, и рассчитана на профессиональных параноиков квалифицированных IT специалистов, небезосновательно опасающихся тотальной слежки.

Наши материалы рассчитаны на обычного пользователя, не знающего множества фундаментальных понятий и далеко не всегда понимающего, откуда может грозить опасность. В этой и последующих статьях, мы будем рассматривать обычно игнорируемые темы, связанные с практическими аспектами использования и опасностями человеческого фактора, возникающими при работе с Tor Browser . Поэтому, материал может оказаться интересным также и для IT специалистов.

При написании мы рассчитывали, что читателем может оказаться человек, никогда ранее не использовавший Tor Browser , потому начинаем с самых основ, с установки и настройки.

Примечания:
1. Все скриншоты по настройке браузера выполнены под одним из современных дистрибутивов Linux. Настройки не зависят от операционной системы (ОС), и актуальны независимо от используемой вами ОС.
2. Некоторые настройки и скриншоты выполнены для старых версий браузера, но полностью сохраняют актуальность для версии 10.0.5.
3. Некоторые скриншоты отредактированы с целью удаления информации, способной указать на время их создания.
4. Некоторые скриншоты не обновлялись с версии Tor Browser 8.0.8, так как их содержимое не зависит от версии браузера.

Установка

Заходим на официальную страницу проекта и кликаем по «Download Tor Browser»:

Для скачивания нужно кликнуть по логотипу вашей операционной системы и сохранить установочный файл на свой компьютер. Обратите внимание, что мы рекомендуем всегда использовать английский вариант браузера, как наиболее распространённый, а потому — дополнительно затрудняющий идентификацию пользователя.

Кроме того, мы рекомендуем обязательно проверять электронную подпись («сигнатуру») скачанного браузера, для чего возвращаемся на страницу загрузки, кликаем правой кнопкой по надписи Signature и скачиваем сам файл подписи:

Скачиваемый установочник Tor Browser и файл электронной подписи нужно сохранить в один каталог. В наших примерах используется каталог /tmp .

Никогда не скачивайте Tor Browser из ненадёжных источников, например, файлообменников или торрентов

Проведём проверку электронной подписи, чтобы убедиться, что мы скачали действительно оригинальный Tor Browser , а не то, что подложили нам спецслужбы или прочие организации, заинтересованные во взломе проекта Tor. Ниже приводится пример проверки подписи в Linux при помощи доступного во всех популярных дистрибутивах пакета gpg, о том как сделать это в других ОС смотрите в официальном руководстве.

Учтите, что со сменой версий Tor Browser , будут меняться имена скачиваемых и проверяемых файлов.

Запускаем любое приложение командной строки (терминал), и выполняем набор команд:

cd /tmp
gpg —auto-key-locate nodefault,wkd —locate-keys torbrowser@torproject.org

Результатом последней команды должен быть вывод:

Если команда завершилась с ошибкой.

То для загрузки ключа можете попробовать выполнить команду:

Или, если у вас не установлен curl, то:

Результат должен быть:

Отпечатки ключей в выводе команд должны соответствовать тем, что приведены в официальном руководстве, они могут устареть и оказаться не обновлены в нашей статье, потому всегда сверяйтесь с руководством на сайте проекта. Ссылка на его актуальную версию всегда доступна на странице загрузок, под надписью «Verify Tor Browser signature».

Теперь, выполняем команду проверки электронной подписи:

gpg —verify tor-browser-linux64-10.0.5_en-US.tar.xz.asc

Результирующий вывод должен быть примерно таким:

Обратите внимание, что если в выводе отсутствует текст:

Good signature from «Tor Browser Developers (signing key) «

Для русской версии:

Действительная подпись от «Tor Browser Developers (signing key) «

Или аналогичный им по смыслу Изменение текста может быть связано с обновлением версии gpg, однако его смысл всегда должен оставаться тем же. , то, скорее всего, взломали либо ваш компьютер, либо сайт проекта.

Использовать браузер, не прошедший проверку подписи, опасно!

Отнеситесь к этому пункту серьёзно, если вам действительно важны анонимность и безопасность.

Первый запуск

Открываем каталог, в который мы сохранили архив с браузером, и распаковываем его. Либо через контекстное меню — кликнув правой кнопкой мыши и выбрав что-то вроде «Распаковать. », либо через командную строку:

Подразумевается что скачанный файл tor-browser-linux64-10.0.5_en-US.tar.xz сохранён в каталоге /tmp .

Переходим в каталог, куда мы распаковали браузер, и запускаем Tor Browser Setup :

Возможно, ваш дистрибутив блокирует запуск таких файлов из графического интерфейса, или пытается открыть их в текстовом редакторе. Как это исправить, написано в FAQ проекта. Также можно запустить Tor Browser из командной строки:

При первом запуске открывается окно предварительной конфигурации программы-маршрутизатора :

Скорее всего, вы не используете прокси-сервер (proxy) для доступа к интернету — домашние подключения обычно обходятся без них. И скорее всего, ваш провайдер не блокирует Tor Представители российской власти давно ведут об этом разговоры и даже как бы приняли соответствующий закон, чтобы не отставать от коллег из Республики Беларусь, принявших аналогичный закон в конце 2016 года. Тем не менее, пока это не имеет сколь-нибудь заметного практического эффекта как в России, так и в Беларуси. , в таком случае — смело нажимайте кнопку Connect .

Если вам всё-таки нужно настроить использование прокси-сервера, или обойти блокировку Tor провайдером, то нажимайте кнопку Configure . Настройка подключения через прокси сервер не отличается от настроек любых других программ, работающих через прокси, и зависит от вашей конкретной ситуации. Как настроить Tor Browser для работы в случае блокировки провайдером, вы можете узнать здесь.

После нажатия кнопки Connect , появится окно Tor Status , которое показывает статус запуска программы-маршрутизатора , обеспечивающего анонимизацию трафика Tor Browser . В зависимости от качества вашего интернет-соединения, а также некоторой удачи, время запуска маршрутизатора составляет от нескольких секунд (чаще всего), до минуты и более.

Если процесс запуска на несколько минут завис на этом окне, то, вероятнее всего, вам нужен либо прокси-сервер, либо обход блокировки Tor трафика. Но в первую очередь, стоит проверить, работает ли интернет — в обычном браузере, клиенте мгновенных сообщений и т.п.

Обратите внимание!
Запуск Tor Browser не анонимизирует интернет-трафик других программ

Итак, надеемся, что у вас всё получилось и браузер успешно запустился. В таком случае, перед вами откроется окно:

На что здесь следует обратить внимание?

  • Security Level — стилизованное изображение щита, находящееся правее адресной строки, позволяющее открыть настройки уровня безопасности браузера, рассматриваемые далее.
  • New Identity — стилизованное изображение метёлки, находится ещё правее, позволяет перезапустить сессию работы с Tor Browser , чтобы оборвать свой «цифровой след» в интернете. При нажатии на неё происходит построение новой Tor-цепочки, закрытие всех существующих окон браузера и очистка всех временных данных браузера, включая данные авторизации. Для пользователя это фактически равнозначно перезапуску всего браузера.

Стоит заметить, что в последнее время разработчики Tor Browser , судя по всему, больше озабочены изменениями интерфейса браузера, нежели решением действительно серьезных проблем функционала и безопасности. Например, по сравнению с версией 8.0, в версии 8.5+ кнопка Torbutton переехала слева направо, кнопка управления настройками NoScript удалена из вида по умолчанию, порядок следования настроек безопасности перевёрнут с ног на голову (самый высокий уровень — внизу, самый низкий — наверху).

Подобные изменения в лучшем случае никак не сказываются на функционале и безопасности работы. В худшем — делают работу в браузере менее безопасной для новичков и неудобной для опытных пользователей. При этом важные проблемы остаются не решёнными , и что хуже — к ним добавляются новые, такие, как невозможность скрыть реальную операционную систему пользователя.

Более подробно настройки безопасности мы рассмотрим далее, пока же оставляем всё в значениях по умолчанию.

Важная деталь: если вы измените размер окна браузера, или развернёте его на весь экран, то заметите появление серых полос по краям страницы:

Тем самым, Tor Browser подгоняет размер отображаемой страницы под заранее предустановленные рамки, одинаковые для всех пользователей Tor Browser . Это сделано для предотвращения отслеживания пользователя через JavaScript или CSS , по размеру развёрнутого окна браузера, позволяющего определить размерность дисплея и элементов оформления, являющихся достаточно уникальными характеристиками вашего компьютера. Что можно использовать для идентификации пользователя, несмотря на использование им Tor с постоянно меняющимися выходными узлами.

Тест анонимности

Итак, браузер установлен и запущен. Теперь проверим, всё ли работает так, как мы ожидаем, и насколько мы действительно анонимны.

Общеизвестно, что установить личность интернет пользователя можно по его IP адресу. Однако стоит понимать, что IP адрес является важным, но не единственным идентификатором пользователя в интернете Подробнее разнообразных способах идентификации пользователей в интернете мы расскажем в отдельном материале. . Потому, пройдём расширенное тестирование анонимности, воспользовавшись специальным сайтом:

Причины, по которым мы предлагаем использовать именно этот сайт, несмотря на то, что он не обновляется с 2017 года, изложены в конце материала. Там же вы можете найти существующие альтернативы.

Он не только проверит ваш IP адрес на соответствие выходной точке Tor-сети, но и проведёт множество других тестов, затрагивающих непосредственно функционал браузера и его устойчивость к попыткам отслеживания в интернете.

При настройках Tor Browser по умолчанию, загрузка главной страницы «IP Check» может занять достаточно много времени — базовая проверка анонимности осуществляется сразу, проверяется не только ваш IP адрес, но и то, насколько корректно настроен ваш браузер и Tor-соединение. Результат отображается в виде символической зелёной луковицы, если в целом всё в порядке:

В противном случае, цвет луковицы может быть иным, например — несвежим жёлто-оранжевым.

В последнее время сайт иногда сообщает, что вы вышли не через Tor, даже при использовании Tor Browser . На это можно не обращать внимание, так как остальной функционал сайта по-прежнему хорошо работает. Убедиться, что вы действительно вышли через Tor, можно, например, на официальной странице проекта Tor, проверяющей, что ваш IP адрес принадлежит одному из выходных узлов Tor.

Кликаем ссылку START TEST! для прохождения более полного тестирования и ожидаем результат. , что выразится в исчезновении бегающего влево-вправо шарика в заголовке вкладки. Для этого может потребоваться пара минут. Результаты тестирования отображаются в виде трёх таблиц Подробное описание результатов и применяемых технологий тестирования можно прочитать на странице документации сайта IP Check. , критичность выявленных проблем отмечена цветами — зелёным (всё в порядке), оранжевым (небольшая угроза), красным (критически опасная угроза):

Подробное рассмотрение всех результатов теста выходит за рамки нашей статьи О возможностях идентификации пользователей через особенности браузера мы опубликуем отдельный материал. Кроме того, некоторые подробности можно получить из нашей старой статьи «Анонимность и Tor Browser», написанной для Tor Browser 6.5 и к настоящему моменту. , потому остановимся только на наиболее важных проблемах.

  • JavaScript (JS) — активирован, что само по себе создаёт множественные риски вашей анонимности. От дополнительных возможностей взлома браузера [1][2][3] через незакрытые уязвимости или идентификацию через звуковые маячки, и заканчивая технически «легальным» применением, например, для регистрации движений мышью и манеры печати на клавиатуре, уникальных для каждого пользователя.
  • User-Agent — это поле выделено красным, т.к. база сайта не обновляется с 2017 года и ориентируется на устаревшие версии Tor Browser . Потому это предупреждение можно пропустить. Стоит заметить, что остальные методы тестирования сайта ip-check.info полностью сохраняют свою актуальность.
  • Tab history — обозначает возможность любого сайта узнать сколько страниц вы открывали ранее в этой же вкладке. В комплекте с прочими данными может быть использовано для идентификации пользователя. Современный Tor Browser сохраняет по умолчанию до 50 элементов истории каждой вкладки. К сожалению, начиная с версии 9 возможность что-либо сделать с этой проблемой была сломана, и судя по всему, никогда не будет починена.
  • WebGL — позволяет рисовать произвольные объекты на странице. Может использоваться сайтами для рисования диаграмм, графиков и т.п. Разрешение этой возможности значительно повышает опасность эксплуатации уязвимостей в вашем компьютере. Стоит заметить, что разрешение WebGL по умолчанию появилось только в последних версиях Tor Browser , что в очередной раз заставляет задуматься о «развитии» браузера в сторону «удобства», в ущерб безопасности.
  • Browser Type — значение в скобках ( X11 ) однозначно указывает на то, что браузер работает не под Windows, об этом см. следующий пункт.
  • System (результат подчёркнут красным) — используемая операционная система (ОС), в данном случае — Linux. К сожалению, начиная с Tor Browser 8 информация о реальной используемой ОС теперь легкодоступна каждому из посещаемых вами сайтов через механизмы JavaScript. Использовать Windows (или MacOS) для анонимной работы категорически не рекомендуется, потому никаких вариантов кроме Linux не остаётся. Однако, раскрытие браузером типа ОС выделяет вас из подавляющей массы Windows пользователей, тем самым значительно повышая вероятность идентификации вашей личности. Как с этим бороться, мы расскажем ниже.

Однако, если ваша цель состоит лишь в том, чтобы обойти блокировки Роскомнадзора или прикинуться на каком-нибудь сайте пользователем не из вашей страны проживания, то этого достаточно.

Если же есть основания серьёзно опасаться за собственную анонимность и безопасность, то мы рекомендуем выполнить дополнительную настройку Tor Browser .

Дополнительная настройка Tor Browser

  • Повышение безопасности любой системы практически всегда приводит к снижению удобства её использования.
  • Некоторые сайты могут частично или полностью перестать работать. Явление, характерное для сайтов, перегруженных сложным функционалом.
  • Никакие инструменты и настройки не помогут, если вы не будете соблюдать хотя бы базовые правила безопасной и анонимной работы.

Выбор уровня безопасности

По умолчанию браузер настроен на наиболее комфортную работу пользователя. Настройки безопасности разрешают использование большинства современных Web технологий, ценой некоторого снижения уровня безопасности и повышения потребления ресурсов системы.

Мы исходим из приоритета безопасности и анонимности, потому рассмотрим дополнительные варианты настроек безопасности, предлагаемые Tor Browser . Для этого кликаем на кнопке настроек безопасности правее адресной строки, затем. на Advanced Security Settings. :

Для начала выберем средний ( Safer ) уровень безопасности:

Особенности «более безопасного» ( Safer ) уровня:

  • JavaScript выключен по умолчанию на сайтах, не поддерживающих HTTPS , защищающего ваше соединение от прослушки и злонамеренного изменения данных. Таким образом, гарантируется что загружаемые скрипты, несущие дополнительные риски безопасности, не были подменены «по дороге» злоумышленником.
  • HTML5 видео и аудио (например на таких сайтах как youtube.com ) будет проигрываться только после явного клика мышкой по проигрывателю и активации через меню NoScript, но об этом позже.
  • Некоторые шрифты и отображение сложных математических формул и уравнений будут отключены, это может затронуть например Wikipedia.org — вместо формул со сложными дробями, математическими знаками интегралов и сумм вы увидите мешанину из символов и ключевых слов языка разметки формул.

Если вы предполагаете часто посещать сайты со множеством динамического контента, такие как социальные сети или видеохостинги, то этот режим будет являться разумным балансом между безопасностью и удобством использования.

Если же в приоритете безопасность и анонимность, то мы рекомендуем использовать максимальный уровень:

Отличия «наиболее безопасного» ( Safest ) режима от предыдущего уровня:

  • JavaScript отключён по умолчанию для всех сайтов.
  • Отключена поддержка векторных ( SVG ) рисунков.

Имейте в виду, что на этом уровне безопасности . Но даже после его включения, многие сайты могут отображаться неправильно (например, ВК), а некоторые и вовсе перестают работать (например, YouTube)
В Tor Browser версии 9.0.7, при выборе наивысшего режима безопасности, невозможно включить Java Script через настройки NoScript (подробнее см. здесь).

Дополнение NoScript

Начиная с Tor Browser версии 8.5 кнопка управления настройками NoScript удалена с панели инструментов браузера, тем не менее, само дополнение по-прежнему входит в сборку браузера

Это дополнение может блокировать выполнение JavaScript (JS) кода и некоторых других потенциально опасных объектов, создающих интерактивность Web-страниц, и по совместительству — повышенное энергопотребление компьютера, и множество потенциальных уязвимостей. К сожалению, современные сайты в большинстве своём очень сильно завязаны на возможность выполнять JS код, и многие из них (например, VK, Facebook) без JS не будут работать вовсе. Именно это является причиной того, что по умолчанию в Tor Browser блокировка JS отключена, т.е. всем посещаемым страницам разрешается выполнять почти любой JS код.

Мы рекомендуем добавить кнопку дополнения NoScript на панель браузера, чтобы иметь возможность управлять настройками дополнения самостоятельно, а не так, как это показалось правильным разработчикам Tor Browser . О том как это сделать рассказано ниже.

Итак, представим, что вы задали средний уровень безопасности (Safer) и зашли на YouTube.com. На первый взгляд проблем нет и всё работает. Но при попытке просмотра видео вы получите либо чёрный фон со вращающимся значком загрузки в центре, либо запрещающий знак NoScript. Чтобы всё-таки просмотреть видео, нужно кликнуть на значок NoScript справа от адресной строки. В раскрывшемся меню будет от одной до нескольких строк, каждая из которых состоит из:

  • — в левой части. Каждый из уровней обозначен отдельным значком:
    • — разрешения по умолчанию, зависят от заданного уровня безопасности.
    • — добавить сервер во временный список доверенных, которым разрешено выполнять активное содержимое. Разрешения сбросятся в значение по умолчанию после перезапуска браузера.
    • — добавить сервер в постоянный список доверенных, т.е. однажды заданные настройки разрешения будут сохранены и после перезапуска браузера. Не рекомендуем использовать этот пункт, так как во-первых вы можете забыть об этих разрешениях, но сайт будет их продолжать использовать В частности, для слежки за вами по всему интернету, особенно если это какой-нибудь интернет-гигант вроде Google, Facebook или Mail.ru с её множеством сервисов включая VK. . Во-вторых, это может затруднить отрицание причастности в случае изъятия у вас компьютера — сложно будет объяснить зачем у вас в разрешениях есть сайт, который вы якобы не посещали.
    • — запретить всё активное содержимое.
    • — задать настройки разрешений вручную.
  • для которого задаются настройки — в правой части.

Современные сайты чаще всего содержат ссылки на скрипты, расположенные на сторонних ресурсах, в таком случае строк будет несколько, как и в нашем примере. В общем случае, желательно следовать правилу:

Чем меньше разрешений — тем лучше для вашей анонимности и безопасности

В ситуации с YouTube следует начать с разрешения только самого YouTube, для чего нужно кликнуть по выделенному красным кружком значку в первой строке, левее надписи . youtube.com :

После чего нужно закрыть меню NoScript , кликнув в любом месте на странице, или на красный крест в верхнем левом углу. Страница автоматически обновится, а меню NoScript примет подобный вид:

В случае с YouTube этого скорее всего будет достаточно для нормального воспроизведения видео. Если вдруг это не помогло, то можно постепенно добавлять разрешения для всех остальных серверов из списка NoScript . При этом, лучше избегать разрешения рекламных и аналитических сервисов, сервера которых часто содержат слова вроде «ads», «click», «spy», «banner», «metric», «counter», «top», «analytics» и другие, связанные с рекламной деятельностью и интернет-аналитикой.

Отдельно стоит остановиться на задании разрешений вручную. Использование его хотя и не обязательно, но предпочтительно, т.к. позволяет выбрать тот необходимый минимум, который действительно следует разрешить. Возьмём для примера наш сайт:

В нашем примере использован самый высокий (Safest) уровень безопасности

Итак, если вы кликнете на значок , то откроется подменю, например такое:

В нём есть список из флажков (checkbox), установка галочки на которых обозначает разрешение соответствующей технологии для данного сервера:

  • script — разрешить непосредственно Java Script, и другие языки скриптов. Чаще всего именно этот пункт вам нужно разрешить, чтобы страничка «ожила».
  • object — используется достаточно редко, рекомендуется разрешать только если по-прежнему ничего не работает.
  • media — различные мультимедиа технологии, в частности видео. Таким образом, для работы YouTube и других современных видеосервисов этот параметр должен быть разрешён.
  • frame — используется нечасто, но не несёт значимой опасности, потому разрешён по умолчанию.
  • font — позволяет использовать шрифты, заданные создателем сайта. Без него страница может хуже выглядеть, некоторые элементы оформления могут не отображаться. Имейте в виду, что включение этой возможности вместе с разрешёнными скриптами (script) позволяет сайту определить, какие шрифты установлены на вашем компьютере, тем самым снизив ваш уровень анонимности.
  • webgl — о том что это такое, и чем опасно, говорилось выше, разрешайте только при реально существующей необходимости.
  • fetch , ping , other — используется некоторыми видами скриптов, можно разрешить если все обычное разрешение скриптов не помогло привести страницу в работоспособное состояние.

Обратите внимание, что возможности, действительно запрашиваемые сайтом, выделяются красным фоном. В нашем примере это возможность font . Все остальные пункты, не подсвеченные красным, в действительности сайтом не используются и разрешать их не имеет смысла.

Несколько слов о значках в верхней строке меню NoScript :

Значки обозначают, соответственно: закрыть меню NoScript , обновить страницу и открыть настройки самого NoScript . Можно сказать, что они достаточно бесполезны, т.к. меню NoScript закрывается автоматически при клике в любом месте страницы, при этом автоматически обновляется страница. Использовать какие-то особые настройки NoScript тоже бессмысленно, потому что они сбрасываются при перезапуске браузера.

Первые три значка обозначают разрешение всего активного контента глобально (т.е. для всех сайтов), отмену ограничений для активной вкладки и добавление текущей страницы в список временно доверенных. Использование этих кнопок разрешает выполнение активного контента без разбора либо для всех сайтов вообще, либо для отдельных сайтов или вкладок. Потому мы не рекомендуем использовать эти кнопки, если вам важны анонимность и безопасность.

Впрочем, кнопка разрешающая все скрипты для отдельной вкладки , в некоторых случаях может оказаться полезной. Например, когда вам временно необходимо привести в работоспособное состояние сайт, загружающий скрипты с пары десятков серверов. Разумеется, делать это вручную как неудобно, так и опасно — ведь некоторые из этих серверов могут использоваться и на других вкладках, на которых вы не собираетесь разрешать JavaScript. В таком случае, правильней всё-таки разрешить все скрипты для данной вкладки, сделать в ней то что нужно, и закрыть вкладку. После чего случае все временные разрешения для всего множества разрешённых серверов автоматически сбросятся.

Последняя, самая правая кнопка из верхнего ряда отменяет все выданные ранее временные разрешения для всех сайтов. Это значит, что после нажатия на неё все временные разрешения добавленные через кнопку вернутся в значение по умолчанию для выбранного уровня безопасности. Кнопка полезная, но важно не забывать, что в случае с самым высоким уровнем (Safest) это обозначает запрет всех скриптов во всех вкладках и окнах браузера, следовательно — т.е. приостановку работы современных социальных сетей, видео-хостингов и прочих сайтов, насыщенных активным контентом.

Ограничение автоматических подключений

Материал этого раздела
актуален и для обычного
Firefox

Даже если вы не проявляете какой-либо активности в интернете и отключили JavaScript , способный выполнять запросы к серверам без вашего участия, ваш браузер всё равно будет время от времени автоматически создавать подключения к различным серверам в интернете.

Например — он может выполнять проверку и закачку обновлений самого браузера и установленных дополнений, обновлять различные служебные страницы. В некоторых случаях браузер может для вашего удобства (так решили разработчики) создавать подключения к серверам в зависимости от ваших действий, хотя вы уверены, что не выполняете ничего такого, что должно привести к подключению к серверам в интернете.

Перечислим потенциальные угрозы безопасности, связанные с автоматической установкой соединений.

  1. Затруднение отрицания причастности при экспертизе вашего компьютера. Все подключения с вашего IP адреса, включая автоматически создаваемые Tor Browser , фиксируются у вашего провайдера, что уже мешает вам сказать «ничего не знаю, наверное у меня даже компьютер в это время был выключен». Но если вы выходили в интернет с публичной точки доступа, то можно списать всякую активность Tor на неизвестного соседа по точке доступа. Это гарантированно не сработает в случае, если у вас в интересующий момент времени выполнилось автоматическое обновление Tor Browser или одного из дополнений. Соответствующие им изменения на вашем компьютере сможет обнаружить любой квалифицированный специалист, следовательно будет понятно, что компьютер, с которого вы используете Tor Browser был включен, имел подключение к интернету и на нём был запущен Tor Browser .
  2. В случае качественно проведённого взлома проекта Tor , или одного из дополнений, идущих в поставке Tor Browser , вы рискуете автоматически скачать и установить заверенное всеми необходимыми цифровыми подписями обновление, содержащее деанонимизирующий код, до того как взлом будет раскрыт и скомпрометированные установочные файлы будут удалены с сервера.
  3. Возможно, у вас очень дорогой доступ в интернет и объём трафика ограничен, используется в основном для систем мгновенных сообщений, потребляющих мало трафика, а обновления вы предпочитаете выкачивать на альтернативном, более быстром и дешёвом канале вручную. В таком случае лишние несколько мегабайт, потраченные на автообновление, могут лишить вас связи в самый неудачный момент.

Также стоит вспомнить общий принцип — чем больше компьютер проявляет активности в интернете, тем обычно проще его отследить. Но, в случае с Tor Browser , у нас нет достоверных данных, подтверждающих этот принцип, и потому мы рассматриваем данную угрозу как наименее опасную из возможных. Примем с благодарностью и обязательно опубликуем опровержение или подтверждение нашего предположения, если оно будет подкреплено информацией из достоверных источников или практическим примером.

Отключение автоматического обновления Tor Browser

Начиная с Tor Browser версии 9, стало невозможным отключение автоматической проверки наличия обновлений через интерфейс настройки, однако по прежнему можно отключить их автоматическую загрузку и установку.

Для отключения автоматической загрузки и установки обновлений Tor Browser открываем настройки:

Пишем слово «update» в поиск в правом верхнем углу вкладки настроек, после чего выбираем опцию «Never check for updates (not recommend)»:

При выборе опции «Check for updates but let you choose to install them» проверка обновлений выполняется автоматически, но скачивание происходит только после явного подтверждения пользователем.

Отключение проверки обновлений

Несмотря на невозможность выключить проверку обновлений через настройки браузера, это по прежнему можно сделать используя политики Firefox.

Не забывайте, что полностью отключив проверку обновлений вы берёте на себя ответственность за отслеживание выпуска новых версий браузера!

Чтобы сделать это, нужно сперва перейти в каталог где находится исполняемый файл браузера и создать там каталог с именем distribution , внутри которого создать файл policies.json следующего содержимого:

После чего перезапустить браузер.

Например, если браузер распакован в /tmp , то нужным нам каталогом будет /tmp/tor-browser_en-US/Browser . В командной строке необходимые действия можно сделать так:

Отключение автоматического обновления дополнений

Выбираем в меню пункт Add-ons :

В разделе Extensions открываем настройки и снимаем галку с соответствующего пункта:

После этого сбрасываем настройки автоматического обновления всех установленных дополнений в режим проверки вручную:

Отключение протокола OCSP

Когда вы посещаете HTTPS сайты (коих сегодня большинство), Tor Browser проверяет при помощи протокола OCSP действительность сертификата шифрования используемого посещаемым сайтом. В ходе этой проверки он может устанавливать соединение с третьей стороной, обладающей информацией по действительности сертификата. А значит, о том, что вы посетили некий сайт, становится известно не только вам и серверу, на котором находится сайт, но и третьей стороне.

С нашей точки зрения — безопасней отключить эту проверку, потому что случаи отзывов сертификатов достаточно редки, а HTTPS сайты вы посещаете постоянно и их число с течением времени только увеличивается.

Открываем настройки, пишем «OCSP» в поиск в правом верхнем углу вкладки настроек, после чего снимаем галку с пункта Query OCSP responer server to . :

Сброс закачек

Если вы запустили закачку большого объёмного файла, но он не успел докачаться до того, как вы отключились от интернета, то закачка автоматически возобновится как только у Tor Browser появится доступ в интернет.

Если вам это не нужно, то вы можете открыть закачки и удалить ненужные файлы:

Редактор настроек Tor Browser — about:config

Через обычный пользовательский интерфейс нам доступна лишь незначительная часть из возможных настроек Tor Browser . Полный доступ ко всем настройкам браузера можно получить через специальный инструмент about:config . Чтобы его запустить, откройте новую вкладку браузера, в адресной строке введите: about:config и нажмите Enter. Вы увидите предупреждение:

К этому предупреждению стоит отнестись со всей серьёзностью, потому что некорректные настройки могут привести не только к нестабильной работе браузера, но и к деанонимизации пользователя. Жмите большую синюю кнопку, но соблюдайте необходимую осторожность и не меняйте значения параметров, смысл которых для вас не ясен.

Перед вами откроется расширенный интерфейс настройки браузера:

По умолчанию отображается только поисковая строка, при вводе текста в которую будут отображаться соответствующие поисковому слову параметры. Для отображения всех настроек сразу можно кликнуть ссылку «Show All»:

Это полный список всех доступных настроек браузера и установленных дополнений.

  • В самой левой колонке отображены имена параметров, разбитые по группам, в которых имя группы от имени конкретного параметра или подгруппы отделяется точкой.
  • Во второй колонке отображено непосредственно значение параметра. Оно может быть строковым ( string ), целым числом ( number ) или логическим ( boolean ) и принимать значения true или false .
  • Третья колонка содержит значки, при клике на которые появится строка редактирования для числовых и строковых параметров. Для логических параметров автоматически произойдёт изменение значения на противоположенное, т.е. true заменится на false или наоборот. Такого же эффекта можно добиться двойным щелчком в любом месте строки конфигурации.

Обратите внимание, что имя и значение параметра выделяются жирным шрифтом, если значение было изменено и отличается от значения по умолчанию. Также, в крайней справа колонке появляется значок стрелки влево, позволяющий вернуть значение по умолчанию, т.е. таковым каким оно было установлено разработчиками при выпуске браузера.

Если вам нужно добавить новый, не существующий в списке параметр, то вы можете написать его имя в строке поиска, выбрать желаемый тип параметра — boolean , number или string , нажать значок «плюс» в правой части строки, после чего задать и сохранить значение параметра.

Расширенные настройки Tor Browser

Материал этого раздела
актуален и для обычного
Firefox

Теперь займёмся более тонкой настройкой Tor Browser . В интернете можно найти множество рекомендаций по настройке Firefox для более безопасного использования, и многие из них по умолчанию выполнены в Tor Browser . Здесь мы указываем только параметры, которые стоит настроить самостоятельно.

В нижеследующем списке настроек предлагается отключение множества разнообразных возможностей, встроенных в браузер. Для этого есть как минимум две причины:

  • Часть отключаемых возможностей могут быть непосредственно использованы технологиями слежки за пользователем в интернете.
  • Кроме того, некоторые из возможностей имеют достаточно сложную внутреннюю реализацию, потенциально позволяющую нарушить безопасность пользователя и позволить эксплуатировать уязвимости в браузере и операционной системе.

Для удобства, список предлагаемых настроек разбит на три части, в зависимости от степени влияния на безопасность и удобство использования браузером.

Параметры указаны в формате:

имя.параметра ⇒ значение-параметра
Заметно: может ли быть отслежено внешним наблюдателем
Описание параметра.

Под возможностью отслеживания параметра внешним наблюдателем подразумевается возможность узнать значение конкретного параметра в вашем браузере, без вашего непосредственного участия. Т.е. может ли владелец сайта, на который вы зашли, определить значение какой-то конкретной настройки. Это часть возможностей технологии, называемой «Browser Fingerprinting», т.е. буквально «снятие отпечатков пальцев браузера», и может быть использовано для идентификации конкретно вашего браузера в сети. Что хотя и не лишает вас анонимности, но в некоторых случаях может позволить определить, что несколько разных посещений разных сайтов сделаны не разными людьми, а одним и тем же человеком, пусть и остающимся анонимным.

Тем самым, чем больше в вашем браузере настроек, чьё значение не равно значению по умолчанию и может быть определено без вашего участия, тем больше потенциальной возможности прослеживать ваш анонимный след в интернете Противоречиям между анонимностью, безопасностью и незаметностью будет посвящён отдельный материал, кроме того, вы можете ознакомиться с разделом «Защищённость против незаметности» из нашего старого материала. . Не забывайте об этом, когда тюнингуете свой браузер.

Все настройки, выполняемые в Tor Browser не затрагивают другие браузеры и программы, установленные в вашей системе, а потому никак не влияют на вашу анонимность и безопасность при работе в других программах

Можно избежать утомительной настройки всех параметров вручную, воспользовавшись способом, указанным в разделе «Автоматическая настройка Tor Browser » в конце статьи.

Базовый уровень

Настройки базового уровня минимально влияют на удобство использования браузера, но могут значительно повысить безопасность работы и снизить вероятность случайной утечки данных. Мы рекомендуем включать их всегда, если вы применяете Tor Browser для чего-то более серьёзного, чем посещение заблокированных сайтов с «пиратским» контентом.

В некоторых настройках этого раздела применяется адрес: https://127.0.0.1:65535/ — это специальный URL , указывающий в качестве назначения ваш собственный компьютер вместо сервера в интернете. Т.к. ваш компьютер не является сервером, то он их отвергнет. Тем самым, гарантированно блокируются некоторые автоматические запросы браузера потенциально способные разрушить вашу анонимность.

  • browser.cache.disk.capacity ⇒ 0
    browser.cache.disk.smart_size.enabled ⇒ false
    Заметно: Нет
    Полностью отключаем дисковый кэш данных, для избежания «оседания» данных посещённых сайтов на диске.
  • breakpad.reportURL ⇒ https://127.0.0.1:65535/
    toolkit.crashreporter.infoURL ⇒ https://127.0.0.1:65535/
    Заметно: Нет
    Заменяем адрес для отправки отчётов о проблемах с браузером.
  • devtools.chrome.enabled ⇒ false
    devtools.debugger.remote-enabled ⇒ false
    Заметно: Нет
    Отключаем удалённую отладку браузера, т.к. это подразумевает возможность подключаться к браузеру с других компьютеров и получать доступ к его внутренним данным.
  • app.normandy.api_url ⇒ https://127.0.0.1:65535/
    app.normandy.enabled ⇒ false
    Заметно: Нет
    Mozilla иногда проводит сбор данных о том, используется браузер на случайных группах пользователей. На всякий случай отключаем эту возможность.
  • network.dns.disablePrefetchFromHTTPS ⇒ true
    network.prefetch-next ⇒ false
    Заметно: Да
    Отключаем технологию упреждающей загрузки ( prefetch ), позволяющей Web-странице «подсказать» браузеру страницу, ссылка на которую скорее всего будет кликнута в ближайшем будущем. Браузер загружает указанную ссылку в фоновом режиме, и когда пользователь кликает по ней мышкой — он сразу же показывает её, не тратя время на загрузку по сети, что может существенно ускорить отзывчивость сайта. Например, такое решение может использоваться при пролистывании галереи из множества изображений, или для неявного отслеживания пользователя. При использовании упреждающей загрузки возрастает и расход трафика — ведь вовсе не обязательно, что вы решите продолжить просмотр и будете делать это именно в той последовательности, в которой предполагает разработчик сайта.
  • social.directories ⇒ https://127.0.0.1:65535/
    social.remote-install.enabled ⇒ false
    social.share.activationPanelEnabled ⇒ false
    social.shareDirectory ⇒ https://127.0.0.1:65535/
    social.toast-notifications.enabled ⇒ false
    social.whitelist ⇒ false
    Заметно: Неизвестно
    Отключаем возможности интеграции с социальными сетями как априори небезопасными для анонима сервисами.
  • browser.startup.homepage_override.mstone ⇒ ignore
    browser.startup.homepage_override.torbrowser.version ⇒ ignore
    Заметно: Нет
    Указывает версию, для которой загружается страница, содержащая краткую информацию о изменениях в обновлённой версии браузера, тем самым создавая очередное самопроизвольное подключение к серверам в интернете. Потому отключаем. При необходимости эти сообщения можно читать в новостях к релизу после обновления.
  • dom.ipc.plugins.flash.subprocess.crashreporter.enabled ⇒ false
    dom.ipc.plugins.reportCrashURL ⇒ false
    experiments.manifest.uri ⇒ https://127.0.0.1:65535/
    experiments.supported ⇒ false
    network.allow-experiments ⇒ false
    toolkit.telemetry.archive.enabled ⇒ false
    toolkit.telemetry.cachedClientID ⇒ «» (пустая строка)
    toolkit.telemetry.infoURL ⇒ @https://127.0.0.1:65535/ @
    toolkit.telemetry.rejected ⇒ true
    toolkit.telemetry.server ⇒ https://127.0.0.1:65535/
    Заметно: Неизвестно
    Отключаем телеметрию В контексте Web-технологий под телеметрией подразумевается сбор информации о том, как (и когда) пользователь работает с браузером. и потенциальную возможность различных экспериментов, переодических производящихся компанией Mozilla с браузерами пользователей.
  • beacon.enabled ⇒ false
    Заметно: Неизвестно
    Отключаем интерфейс асинхронной передачи HTTP данных, используемый для интернет-аналитики, т.е. слежки за пользователем.
  • browser.bookmarks.max_backups ⇒ 0
    Заметно: Нет
    Сбрасываем количество резервных копий закладок в 0. В Tor Browser в принципе не стоит использовать закладки, чтобы не оставлять информации о посещаемых сайтах. Но даже если вы их не используете, то по умолчанию будут создаваться резервные копии пустых закладок, на основании чего можно будет определить, в какое время был запущен браузер.
  • browser.cache.disk_cache_ssl ⇒ false
    Заметно: Нет
    Отключаем возможность кэширования, т.е. сохранения на диске, содержимого страниц, доступных по зашифрованному протоколу HTTPS (SSL).
  • browser.casting.enabled ⇒ false
    Заметно: Неизвестно
    Отключаем возможность проецировать экран компьютера на устройства в локальной сети, такие как Chromecast и подобные.
  • browser.discovery.enabled ⇒ false
    Заметно: Нет
    Создаём настройку, блокирующую потенциальную возможность подгружать рекомендации для пользователя с серверов Mozilla.
  • browser.startup.homepage ⇒ about:blank
    Заметно: Неизвестно
    Отключаем «домашнюю страницу», т.е. то, что браузер показывает при запуске. По умолчанию Tor Browser показывает нам окно с своеобразным фоном и крупной надписью «Explore Privately», отлично узнаваемое, даже если человек лишь мельком издалека бросил взгляд на ваш монитор. Мы находим очень полезным проект Tor, и считаем, что он должен быть известен как можно большему количеству людей, но всё-таки личная безопасность дороже. Потому, заменяем значение этого параметра на about:blank — теперь при запуске будет отображаться пустая белая страница.
  • browser.tabs.crashReporting.sendReport ⇒ false
    Заметно: Нет
    Блокируем возможность отправки отчётов о проблемах с браузером.
  • browser.uitour.enabled ⇒ false
    Заметно: Нет
    Ещё одна настройка, позволяющая собирать телеметрию о пользователе и его предпочтениях в работе с браузером, также отключается.
  • browser.urlbar.trimURLs ⇒ false
    Заметно: Нет
    Отключает отбрасывание типа соединения (http:// или http s://) из адреса страницы отображаемого в адресной строке браузера. Разница между http соединением и https в том, что первое — не шифрованное и может быть беспрепятственно перехвачено и изменено сторонним наблюдателем (например — администратором выходной точки Tor). Второе соответственно шифрованное, и возможность его перехвата варьируется от «очень сложно» до «невозможно».
  • dom.battery.enabled ⇒ false
    Заметно: Неизвестно
    Отключаем программный интерфейс ( API ) для определения параметров батареи устройства на котором запущен браузер.
  • dom.allow_cut_copy ⇒ false
    Заметно: Неизвестно
    Запрещаем web-страницам обращаться к буферу обмена, чтобы защитить информацию которая может в нём оказаться, но при этом быть не связанной с посещаемым сайтом.
  • dom.vibrator.enabled ⇒ false
    Заметно: Неизвестно
    Отключаем API для управления устройством-вибратором, если таковое имеется.
  • extensions.blocklist.enabled ⇒ false
    Заметно: Нет
    Обновление чёрного списка дополнений браузера. Выключение этого обновления не рекомендуется Mozilla т.к. вы получаете риск продолжать использовать вредоносное дополнение после того, как оно уже будет помечено опасным и должно быть блокировано. Но, разработчики Tor Browser рекомендуют вообще не устанавливать какие-либо дополнения кроме установленных по умолчанию. Если вам всё же действительно нужно стороннее дополнение, то его статус всегда можно проверить, зайдя на сайт официального репозитория дополнений Firefox .
  • extensions.systemAddon.update.enabled ⇒ false
    Заметно: Нет
    Отключаем возможность обновлений системных дополнений, позволяющих Mozilla Компания, выпускающая Firefox, на котором базируется Tor Browser. производить исправление проблем браузера «на лету». Потому что далеко не каждое исправление может оказаться полезным для Tor Browser , а также потому, что это ещё один канал самопроизвольного создания подключений в интернет.
  • extensions.update.enabled ⇒ false
    Заметно: Неизвестно
    Отключаем не только автоматическую загрузку обновлений для дополнений (Add-ons), но и автоматическую проверку наличия этих обновлений. Что помогает сократить количество самопроизвольных подключений браузера в интернет.
  • geo.wifi.uri ⇒ https://127.0.0.1:65535/
    Заметно: Нет
    Отключаем возможность отправки данных об обнаруженных рядом с компьютером Wi-Fi сетях, используемый при включении технологии геолокации. Едва ли работая анонимно вам захочется кому-либо сообщать эти данные.
  • browser.search.geoSpecificDefaults.url ⇒ «» (пустая строка)
    Заметно: Нет
    Отключаем зависимость результатов поиска и используемых поисковых движков от географического расположения
  • keyword.enabled ⇒ false
    Заметно: Нет
    Отключает возможность поиска из адресной строки браузера. В случае, когда вы туда ввели что-то, что «показалось» браузеру непохожим на адрес Web-страницы, он отправляется искать это в поисковике, заданном настройками по умолчанию. В некоторых ситуациях, например, когда вы опечатаетесь в набираемом адресе, браузер не опознаёт его как адрес и потому пытается найти в интернете.
    Если это адрес скрытого ресурса, известный только узкому кругу лиц, и вы допустили такую ошибку — значит, случилась утечка информации. Теперь этот адрес, пусть и в не совсем правильном виде, стал известен поисковику, к которому обратился ваш браузер. Чтобы избежать подобных ситуаций мы отключаем эту настройку.
    Для использования поиска не заходя вручную на сайт поисковика, вы можете добавить поисковую строку на панель браузера, о том, как это сделать написано ниже.
  • media.getusermedia.screensharing.enabled ⇒ false
    Заметно: Нет
    Запрещаем возможность открывать ваш экран для просмотра другим пользователям. Может применяться совместно с устройствами вроде Google Chromecast.
  • network.http.speculative-parallel-limit ⇒ 0
    Заметно: Нет
    Настройка задаёт количество предварительно устанавливаемых соединений к сайтам, на которые вы возможно зайдёте в ближайшее время. Например, если вы используете режим отображения миниатюр самых посещаемых сайтов на новой вкладке (в Tor Browser отключено по умолчанию), то каждый раз, когда вы проводите мышкой над соответствующей миниатюрой — устанавливается соединение с соответствующим сайтом. Максимальное количество устанавливаемых в фоне соединений равно значению этого параметра.
    Обратите внимание, достаточно только провести мышкой над миниатюрой, не кликая по ней — соединение уже будет установлено, и осядет в системе СОРМ у вашего провайдера. Значит, о вашей активности за компьютером будет известно, даже если вы только подумали зайти на сайт, но так и не решились это сделать, или же вовсе случайно провели мышью над окном браузера. Вполне возможно, что эта возможность используется (или будет использована в дальнейшем) и для другого функционала браузера. Настоятельно рекомендуем отключить её как в Tor Browser так и в обычном Firefox , установив значение в .
  • accessibility.force_disabled ⇒ 1
    Заметно: Неизвестно
    Запрещаем возможность включения подключения к браузеру инструментов для людей с ограниченными возможностями, т.к. эта возможность позволяет активно вмешиваться в работу браузера. Разумеется, это не нужно делать, если вы используете подобные инструменты.
  • browser.sessionstore.max_tabs_undo ⇒ 10 (по умолчанию: 25)
    Заметно: Нет
    Сокращаем количество записей о закрытых ранее вкладках со значения по умолчанию — 25. Информация о них доступна через меню History → Recently Closed Tabs (Журнал → Недавно закрытые вкладки). Это может сказаться положительно как на отрицании причастности в случае изъятия у вас компьютера с запущенным браузером, так и в отношении потребления браузером памяти. В предыдущих версиях Tor Browser это значение было равно 10.
  • dom.ipc.processCount ⇒ 1 (по умолчанию: 8)
    Заметно: Нет
    Данная настройка задаёт максимальное количество обработчиков Web-содержимого страниц. Теоретически, чем выше этого параметра, тем быстрее браузер обрабатывает ваши запросы, ценою повышенного потребления ресурсов системы (памяти и процессора). На практике же, гарантируется только повышенное потребление ресурсов, так как если возможности вашего компьютера не безграничны, то рост количества очень прожорливых процессов-обработчиков может привести к зависанию системы в целом. Особенно актуальным это может оказаться для если вы используете маломощный компьютер, или виртуальные машины на базе специализированных дистрибутивов (таких как Tails и Whonix), имеющие строгие ограничения по памяти. Негативным эффектом изменения данной настройки может стать незначительное снижение скорости работы браузера, а также одномоментное «падение» всех вкладок при возникновении сбоя в одной из них, так как все они будут обрабатываться одним и тем же процессом. Однако, вероятность этого события крайне низка.
  • toolkit.legacyUserProfileCustomizations.stylesheets ⇒ true (по умолчанию: false)
    Заметно: Нет
    Разрешаем обработку файла userChrome.css, используемого нами для редактирования контекстного меню с целью сокрытия из него пунктов способных привести к утечке данных.

Средний уровень

Включение этих настроек может иметь заметные негативные последствия для удобства работы: на отдельных сайтах могут пропасть элементы оформления, перестать отображаться сложные математические формулы, производительность Java Script может быть снижена

  • permissions.default.camera ⇒ 2
    permissions.default.microphone ⇒ 2
    Заметно: Неизвестно
    По умолчанию запрещаем использование камеры и микрофона. Возможные значения: 0 — всегда спрашивать, 1 — всегда разрешать, 2 — всегда запрещать.
  • gfx.direct2d.disabled ⇒ true
    layers.acceleration.disabled ⇒ true
    Заметно: Неизвестно
    Отключаем аппаратное ускорение для затруднения «Browser Fingerprinting», основанного на особенностях графической подсистемы. Из побочных эффектов может наблюдаться изменение отображения шрифтов и снижение производительности видео. Однако, наш опыт показывает, что заметных изменений в худшую сторону при обычном сёрфинге не отмечено. Также из дополнительных положительных эффектов можно отметить потенциальное снижение потребляемой оперативной памяти.
  • javascript.options.baselinejit ⇒ false
    javascript.options.ion ⇒ false
    javascript.options.native_regexp ⇒ false
    Заметно: Нет
    Отключаем оптимизацию Java Script кода, скорость работы сайтов, нагруженных динамическим функционалом может быть несколько снижена.
    Автоматически устанавливается на среднем (Safer) уровне безопасности.
  • geo.provider.ms-windows-location ⇒ false
    geo.provider.use_corelocation ⇒ false
    geo.provider.use_gpsd ⇒ false
    Заметно: Неизвестно
    Отключаем возможность использования сервиса геолокации встроенного в операционную систему.
  • gfx.font_rendering.opentype_svg.enabled ⇒ false
    svg.disabled ⇒ true
    svg.in-content.enabled ⇒ false
    Заметно: Неизвестно
    Отключаем обработку элементов страницы в формате SVG
    На страницах могут пропасть некоторые рисунки и элементы управления.
    Автоматически устанавливается на среднем (Safer) уровне безопасности.
  • webgl.disabled ⇒ true
    webgl.enable-debug-renderer-info ⇒ false
    Заметно: Да
    Мы настоятельно рекомендуем выключать технологию WebGL, т.к. при её посредстве может быть осуществлена атака не только на браузер, но и на ядро операционной системы. На практике, очень мало сайтов требуют работы этой технологии, потому отключение её для работы в анонимном режиме чаще всего не имеет никаких последствий для пользователя В нашем опыте пока не нашлось ни одного случая требующего её включения.
    Тем не менее, стоит помнить о выключенном WebGL, в случае если у вас возникли проблемы с сайтами, использующими 3D-модели, различные интерактивные графики, диаграммы и подобное.
  • browser.send_pings.require_same_host ⇒ true
    Заметно: Нет
    Отключаем возможность отправки ping-запросов к сторонним ресурсам в момент клика по ссылкам.
  • dom.event.clipboardevents.enabled ⇒ false
    Заметно: Нет
    Отключаем возможность работы с буфером обмена, позволяющую узнать когда и что пользователь скопировал, вставил или вырезал на странице. Функционал, полезный для сложных онлайновых текстовых редакторов, и конечно же, для отслеживания поведения пользователя.
  • intl.locale.matchOS ⇒ false
    Заметно: Нет
    Отключаем возможность определения локали операционной системы Т.е. набора параметров, определяющих «локализацию» пользователя: таких, как язык ввода по умолчанию, формат отображения даты, времени и т.п. Т.е. всё то, на основании чего можно сделать вывод о вашей стране проживания или происхождения. , в таком случае Tor Browser будет использовать локаль по умолчанию.
  • javascript.use_us_english_locale ⇒ true
    Заметно: Нет
    Явно задаём использование английской локали для работы Java Script. Напомним, что мы рекомендуем использовать англоязычную версию Tor Browser чтобы быть минимально выделяющимися в общей массе пользователей.
  • mathml.disabled ⇒ true
    Заметно: Неизвестно
    Блокируем обработку языка разметки сложных математических формул. После включения этой настройки вы увидите мешанину из символов и ключевых слов языка разметки формул.
    Автоматически устанавливается на среднем (Safer) уровне безопасности.
  • media.webaudio.enabled ⇒ false
    Заметно: Неизвестно
    Отключаем работу с аудио-устройствами из Web-страниц.
    Автоматически устанавливается на среднем (Safer) уровне безопасности.
  • network.http.sendRefererHeader ⇒ 0 (по умолчанию: 2)
    Заметно: Да
    Настройка управляет отправкой заголовка Referer к серверу, на котором расположен посещаемый сайт Подробнее об этом и других технических моментах позволяющих организовывать отслеживание пользователя в интернете мы расскажем в отдельном материале. . Возможные значения:
    2 — отправляется всегда, при всех запросах, используется по умолчанию.
    1 — отправляется только для в запросе самой страницы, т.е. при клике по ссылке, но не отправляется при автоматически генерируемых запросах. Например, за картинками загружаемыми на странице.
    — не отправляется никогда.
    Выбор значения зависит от задач, для которых вы используете Tor Browser . Например, нет смысла менять этот параметр, если вы время от времени запускаете Tor Browser для непродолжительного Web-сёрфинга.
    Если сеансы вашей работы в браузере более длительны, и вы считаете что есть смысл минимизировать риск возможной интернет-слежки, то стоит установить значение 1. Такое значение отсечёт часть сервисов, использующих подгрузку невидимого пикcеля для отслеживания пользователей в интернете.
    Если вы постоянно работаете в Tor Browser и посещаете через него закрытые ресурсы, чей адрес по возможности не должен быть известным в «большом интернете», то лучше всего поставить значение . Это исключит утечку адреса закрытого ресурса в ситуации, когда вы кликаете в нём ссылку, ведущую на ресурс публичного интернета. Такое поведение браузера может сломать некоторые сайты, но это достаточно редкое явление (в нашем опыте таких случаев не отмечено).
  • media.autoplay.allow-muted ⇒ false
    Заметно: Да
    По умолчанию — видео с отключенным звуком могут автоматически запускаться, следствием чего является как повышенный расход трафика, так и дополнительные возможности деанонимизации пользователя. Отключаем этот функционал.
  • full-screen-api.enabled ⇒ false
    Заметно: Неизвестно
    Отключаем возможность переключать воспроизведение видео в полноэкранный режим. Это предотвращает возможность утечки информации о разрешении экрана, которая может быть использована для идентификации пользователя.
  • media.video_stats.enabled ⇒ false (по умолчанию: true)
    Заметно: Да
    Ограничиваем возможность сбора статистики при воспроизведении видео на Web-сайтах. Подобная статистика может использоваться для идентификации пользователя исходя из особенностей воспроизведения видео его компьютером.
  • media.webspeech.synth.enabled ⇒ false (по умолчанию: true)
    Заметно: Неизвестно
    Отключаем функционал синтезирования речи, как потенциально небезопасный.
  • media.gmp-gmpopenh264.enabled ⇒ false (по умолчанию: true)
    Заметно: Неизвестно
    Отключаем автоматическую загрузку и использование H.264 видеокодека Cisco, используемого в WebRTC — технологии позволяющей обеспечивать видеосвязь между пользователями.

Высокий уровень

Включение этих настроек может в той или иной степени негативно сказаться на удобстве и возможности работы с большинством сайтов

  • browser.cache.memory.capacity ⇒ 0
    browser.cache.memory.enable ⇒ false
    dom.caches.enabled ⇒ false
    Заметно: Да
    Отключаем кэширование данных сайтов — файлов Web-страниц, скриптов, картинок, шрифтов и т.п. Браузер перестаёт отправлять HTTP -заголовок If-Modified-Since, и частично отключает сохранение полученных данных в памяти (кэширование). В ряде случаев это приводит к повторной отправке запросов за ранее полученными файлами, однако, т.к. полностью кэширование всё равно не отключается, то при использовании хорошего интернет-канала вносимая задержка практически не ощущается.
    Отключенное в браузере кэширование в некоторых случаях затрудняет определение (со стороны сервера) посещали вы уже определённую страницу, или нет. Но не стоит полагаться на это слишком сильно, т.к. при необходимости, сайт может определить что вы на нём не в первый раз, например при помощи установки Cookie-файлов.
    Кроме того, отключенное кэширование может снизить потребление памяти браузером.
  • browser.display.use_document_fonts ⇒ 0
    Заметно: Да
    Полностью запрещаем возможность сайту использовать шрифты, отличные от имеющихся в браузере по умолчанию. Это гарантированно защищает от возможности идентификации браузера по набору шрифтов, а также от атак через специальным образом сформированные файлы шрифтов, которые могут быть загружены в браузер с вредоносных сайтов.
    Однако, многие сайты могут отображаться неправильно — возможна порча форматирования, или даже полное исчезновение отдельных элементов управления и навигации сайта.
  • clipboard.autocopy ⇒ false
    Заметно: Нет
    Отключает автоматическое копирование в буфер обмена текста, выделенного мышью на странице. Актуально только для пользователей Linux.
  • network.IDN_show_punycode ⇒ true
    Заметно: Нет
    Включает отображение Punycode имён сайтов, вместо имён на национальных языках. Например, после включения этой настройки, перейдя по ссылке http://россия.рф/ вы увидите не исходный адрес, а http://xn--h1alffa9f.xn--p1ai/ — адрес, в котором все кириллические буквы заменены на однозначно соответствующую им комбинацию латинских букв. Подобное преобразование может производиться для любых символов, не входящих в латинский алфавит, например для символов греческого и немецкого алфавитов.
    Отнесение этой настройки к разряду повышающих безопасность работы обусловлено тем, что использование национальных доменов открывает широкие возможности фишинга. Например, сравните адреса: https://россия.рф и https://роccия.рф . Видите разницу? И мы не видим, но она есть. Во втором случае в слове «россия» используются две латинские буквы «c» вместо соответствующих кириллических. Для человека разницы никакой, но технически это совершенно разные адреса, которые могут вести на совершенно разные сервера.
    Если же вы включите эту настройку, то в первом случае вы увидите — xn--h1alffa9f.xn--p1ai , а во втором — xn--cc-xlcvj8g.xn--p1ai . Согласитесь — разница существенная, при условии что вы помните как должен выглядеть домен россия.рф переведённый в Punycode. Мы рекомендуем включать эту настройку только в тех крайне маловероятных случаях, когда у вас есть действительно регулярная потребность посещать сайты с именами на национальных языках и вы запомнили как они хотя бы примерно выглядят.
  • pdfjs.disabled ⇒ true
    Заметно: Нет
    Отключаем встроенный движок для чтения PDF файлов, как сложную систему, потенциально содержащую незакрытые уязвимости.
    , потому как: 1) использование встроенного просмотрщика PDF избавляет вас от необходимости сохранять файл локально, что может привести к оседанию на диске компрометирующей вас информации; 2) избавляет от необходимости использовать отдельный просмотрщик PDF, который может содержать уязвимости, сохранять данные об открытых документах на диске (и даже отправлять в интернет), а также может скомпрометировать вас при клике на ссылку внутри документа, выполнив запрос за этой ссылкой через внешний браузер в обход TOR, тем самым раскрыв ваше настоящее расположение.
    Мы без особой необходимости и уверенности в том, что вы сможете обеспечить собственную анонимность, используя внешний просмотрщик PDF. Однако, она может оказаться полезной в ситуациях, когда, например, стало известно о наличии незакрытой уязвимости во встроенном просмотрщике PDF браузера — в таком случае лучше применить эту настройку до тех пор, покуда уязвимость не будет закрыта.

Добавление NoScript и поисковой строки

Выше мы рекомендовали добавить кнопку дополнения NoScript на панель браузера и отключить возможность поиска из адресной строки браузера чтобы избежать случайных утечек конфиденциальной информации. Здесь мы покажем как можно вернуть кнопку NoScript и отдельную поисковую строку, незаслуженно удалённые разработчиками браузера в угоду тенденциям примитивизации интерфейса, следующими за примитивизацией среднего пользователя.

Для этого, нужно кликнуть правой кнопкой мыши справа или слева от адресной строки, например, на значке обновления страницы и в контекстном меню выбрать пункт «Customize. » («Персонализация. »):

Источник

Читайте также:  Чем отмыть грунтовку со стекла окна
Поделиться с друзьями