Fałszywy Tor Browser w App Store. Apple milczy w tej sprawie od miesięcy
Apple niejednokrotnie zapewniało nas, że jego App Store,zamknięty sklep z aplikacjami dla iOS-a, to gwarancja naoprogramowanie wolne od wszelkich zagrożeń (w tym i obyczajowych).Krytycy Apple'a nie do końca w to wierzyli, twierdząc, że nie obezpieczeństwo Apple chodzi, ale o pełną kontrolę nad ekosystememoprogramowania dla jego urządzeń mobilnych, przekładającą sięna bardzo wymierne zyski. I chyba faktycznie trochę z tymiopowieściami o bezpieczeństwie Cupertino przesadza: od kilkumiesięcy w App Store znaleźć można ewidentnie szkodliwąaplikację, która mimo zgłoszeń użytkowników nie zostałastamtąd usunięta.
Tor Browser jest projektem dobrze znanym bardziej doświadczonyminternautom. Chroniąca anonimowość w Sieci przeglądarka,zbudowana na bazie Firefoksa ESR z odpowiednimi rozszerzeniami iklienta cebulowego routera Tor, rozwijana jest przez deweloperówprojektu Tor, w wersjach dla trzech wiodących desktopowych systemówoperacyjnych: Windows, OS-a X i Linuksa.
Nie ma Tor Browsera dla urządzeń mobilnych... chyba że zajrzymydoAppStore. Tam zobaczyć można darmową aplikację proxy,która pozwala innym aplikacjom na bezpieczniejsze korzystanie zSieci. Tor Browser wykorzystuje Tora, by zaszyfrować ruch sieciowy iukryć go, przekierowując przez ciąg komputerów na całym świecie.Tor jest wolnym oprogramowaniem i otwartą siecią, która pomaga cibronić się przed inwigilacją zagrażającą osobistej wolności,prywatności, poufnym przedsięwzięciom biznesowym i relacjom, orazdziałaniami organów prowadzących analizę ruchu sieciowego.
Na pierwszy rzut oka wszystko wyglądaświetnie. Ostatnia aktualizacja aplikacji jest z listopada 2013roku, na stronie widzimy oficjalny logotyp projektu Tor, ocenyużytkowników wyglądają bardzo dobrze (cztery lub pięć gwiazdek)– nic tylko instalować i chronić swoją prywatność. Problemjednak w tym, że Tor Browser w ogóle nie jest tym, czym sięwydaje.
Pod koniec grudnia zeszłego rokuphobos, jeden z szanowanych członków społeczności Tora, zgłosiłdo App Store, że Tor Browser dostępny w tym sklepie z aplikacjamito fałszywka, wypełniona adware i spyware. Apple odpowiedziałokilka dni później, informując, że daje autorowi aplikacji szansęwytłumaczenia się. Potem nastała cisza – zgłoszenia do AppStore wysyłane przez innych użytkowników Tora pozostawały bezodpowiedzi. W końcu zaproponowano, by pominąć biurokratycznebariery w Cupertino, kontaktując się bezpośrednio z WindowSnyder i Jonem Callasem, związanymi z Apple ekspertami odbezpieczeństwa. Jeśli i to by nie pomogło, to ostatecznościąbyłoby rozpoczęcie kampanii na Twitterze, w której publiczniepytano by, dlaczego Apple lubi szkodzić ludziom dbającym o swojąprywatność.
Odpowiedzi z Apple na razie wciążbrak, a Tor Browser wciąż straszy w App Store. Zapewne trafił ontam jak każda inna aplikacja, a moderator zatwierdził go w ciągukilku chwil, po rzuceniu okiem na pozornie bezpieczny kod. Pozorniebezpieczny, gdyż znane są metody zdalnego uzłośliwieniaaplikacji. Było tak w wypadku słynnej przeróbki aplikacji News:yc,którą badacze z Georgia Institute of Technology zdołali w zeszłymroku wprowadzić do sklepu Apple'a, mimo że stworzony przez nichtrojan potajemnie publikował wpisy na Twitterze, wysyłał SMS-y ie-maile, robił zdjęcia bez wiedzy użytkownika, wykorzystywałprzeglądarkę Safari do pobierania złośliwego kodu ze stron WWW, anawet atakował jądro systemu i inne aplikacje.
Prawdę mówiąc mamy nadzieję, żetak właśnie było, gdyż alternatywa jest jeszcze bardziejniepokojąca. Co jeśli „Tor Browser” nie trafił do App Storeprzypadkiem, a autor aplikacji wytłumaczył po prostu, że nienależy aplikacji wycofywać, gdyż w grę wchodzi kwestiaBezpieczeństwa Narodowego? Można sobie wyobrazić, że fałszywyTor dla iOS-a, dający swoim użytkownikom fałszywe poczuciebezpieczeństwa, jest po prostu przynętą, pułapką zastawionąprzez którąś z tych słynnych agencji o trzyliterowym skrócienazwy.
Osoby zainteresowane anonimowymsurfowaniem po Sieci na smartfonie czy tablecie muszą uzbroić sięw Androida: jedynie na system Google'a dostępny jest pakiet Orbot,będący oficjalną, wspieraną przez Tor Project implementacjąTora. Pobrać go można ze sklepu Google Play, albo bezpośrednio zestrony GuardianProject, będącej zaufanym repozytorium oprogramowaniachroniącego prywatność i bezpieczeństwo komunikacji.