— Гость (19/04/2013 10:43)   
Помещено в ((https://bugzilla.mozilla.org/show_bug.cgi?id=863246 багзиллу), будут патчить в апстриме лет через 10. Но если даже исправят, никто не будет портировать в esr. Такие ошибки ничего нового в браузере firefox не раскрывают, и разработчики не думают о таких вещах совсем.

— Гость (19/04/2013 10:45)   
Ждём исправлений непосредственно в торбраузере^[link2].

— Гость (19/04/2013 11:48)   

Новый wwwPoC

JavaScript запрещены и ничего не видно. Что я делаю не так?? ))

— Гость (19/04/2013 12:09)   

JavaScript запрещены и ничего не видно. Что я делаю не так?? ))

Ты слишком самоуверен, и ничего не проверяешь на себе, пример:
resource:///defaults/profile/bookmarks.html
resource:///*/update.locale
Опять же css,rdf,jsm.
+ на отключеный js побоку, уязвимость срабатывает.

— Гость (19/04/2013 12:30)   

Так букмарки не получить. Там их нет.

— Гость (19/04/2013 12:32)   

Ты слишком самоуверен,

с чего это сделан такой вывод?? скажу больше, я не с TBB зашел по ссылке, а просто с браузера через Tor с выключеным JavaScript. и сразу в лицо: ТЫ МУДАК!
с чего бы это?

— Гость (19/04/2013 12:38, исправлен 19/04/2013 13:08)   

resource:///*/update.locale

так наверно resource:///update.locale
по крайней мере у меня так.

— Гость (19/04/2013 12:39)   
что не так текст запостился (((((

— Гость (19/04/2013 12:48)   
можно задать такой вопрос:
А что данные на 2ip.ru, whoer.net ничего не значат?
получается что они вводят в заблуждение об информации исходящей от меня?

— Гость (20/04/2013 17:58)   

POC:
OS:
Language:
Is Tor Browser:

Все поля пустые. ЧЯДНТ?

Ты слишком самоуверен, и ничего не проверяешь на себе, пример:
resource:///defaults/profile/bookmarks.html
resource:///*/update.locale

Такую ссылку можно вставить в веб-странице и получить оттуда данные? А то, может, мы скоро дойдём до «file://path/to/file показывает список файлов!»?

А что данные на 2ip.ru, whoer.net ничего не значат?
получается что они вводят в заблуждение об информации исходящей от меня?

Сайты-чекеры выполняют некий запрос/алгоритм и показывают результат. Времена меняются, бразуеры меняются, новые алгоритмы появляются, старые исчезают. Рано или поздно кто-то находит очередной хитрожопый метод, из-за которого косвенно можно судить о том, что за браузером скрывается. Вопрос «почему» бессмысленен, потому что mozilla баги в анонимности багами не считает.

— Гость (20/04/2013 18:47)   

Все поля пустые. ЧЯДНТ?

Ходите с запрещенными скриптами. Это конечно хорошо, но как же вконтактик смотреть. И потом не факт, что нельзя получить доступ к содержимому ссылок без скриптов. Скрипты это быстрый и самый явный способ.

Такую ссылку можно вставить в веб-странице и получить оттуда данные? А то, может, мы скоро дойдём до «file://path/to/file показывает список файлов!»?

Содержимое resource:// доступно вебприложению, в отличии от file://

— Гость (20/04/2013 18:51)   

Прошло два дня, они даже не почесались хоть что-то сделать с багрепортом в багзилле. Для них это не просто не бага, а самая специальная фича. И только несмышленные анонимусы этого не понимают.

— Гость (20/04/2013 20:56)   

Ходите с запрещенными скриптами

Включил скрипты. Всё так же. Версия TBB не самая последняя, но вряд ли дело в этом.

— Гость (20/04/2013 21:42)   

Версия TBB не самая последняя, но вряд ли дело в этом.

Смотря какая. В версии с 17.0.4esr они что-то там облегчали в настройках и патчах. Может раньше оно и не работало, потому и PoC не было, ведь это всё документировано мозиллой.

— Гость (20/04/2013 22:30)   

Признаю, правда ваша. В самой свежей версии всё работает:

OS:
unix

Language:
en-US

Is Tor Browser:
true

Значит, Дуров Миллиашвили теперь про меня всё знает.
TBB-девы собираются это исправлять в новом релизе, и если да, то как скоро он выйдет?

— Гость (28/07/2013 20:59)   
Баг так и остаётся непофикшенным. :(
Есть полный список того, что таким образом можно узнать? Я так понял, что известны ОС, локаль и список закладок. Что-то ещё?

— Гость (02/02/2015 09:19)   
У меня не работает чего-то

File not found

Firefox can't find the file at resource:///update.locale.

— Гость (02/02/2015 17:28)   

Как вы добились таких замечательных успехов? У меня только это:

Maintenance Mode

white_sheep is currently undergoing scheduled maintenance.

Please try back again soon.

Sorry for the inconvenience.

Судя по другим ссылкам, баг не закрыт до сих пор. ☹ Баги с пересчётом шрифтов, интересно, тоже не закрыты?

— Гость (02/02/2015 17:39)   

Есть ссылки в тему [1]^[link3], [2]^[link4], [3]^[link5].

— Гость (02/02/2015 18:11)   
Что такое PoC и зачем он нужен? Зашел по ссылке, но ниччо не понял.
Хотя название темы интригует :)

— Гость (03/02/2015 16:42)   

Как вы добились таких замечательных успехов? У меня только это

Если только resource то появляется это:

chrome.manifest
chrome/
components/
defaults/
modules/

файлов update* там нет нигде. Где этот файл должен быть? Может его выпилили из ТBB специяльно
Если по "resource" пожно получить доступ к внутренним файлам и еще изменять их то его нужно убрать везде.

— Гость (03/02/2015 17:26)   

Если пройти по ссылке resource:///, то будет:

— cypherpunks (07/01/2016 22:49)   

Баг так и остаётся непофикшенным.

Справедливо по сегодняшний день^[link6]. Включен js – утекает информация о платформе (ос).

Canvas^[link7] с js тоже утекает? Уникальный отпечаток.

— cypherpunks (08/01/2016 17:58, исправлен 08/01/2016 18:01)   

Нет, по умолчанию, на запрос изображения возвращает одно и тоже у всех.
Можете сравнить:

Signature A4E1854E

Image File Details

File Size 166 bytes
Number of Colors 1
SHA256 EB4A39555F18F8599CC883205F7B82C8E96D84AA07A46AE494BBF0DB6F0C8204
? Canvas Protection was detected, it seems that Tor Browser is here!

— Гость_ (08/01/2016 19:51)   

Можете сравнить

У меня так же.

Есть ещё один сомнительный тест^[link8]. Платформу не показывает, линукс не детектит, зато якобы угадывает настройки сокса (IP, порт). После смены порта на другой тест продолжил "определять" стандартный 9150.

— cypherpunks (10/01/2016 13:09)   
а если вы используете TOR, можно найти вас по mac-адресу, который отлично светится по IPv6^[link9]
Ваши комментарии?

— pgprubot (11/01/2016 16:54, исправлен 11/01/2016 16:58)   

T^[link10]he IPv6 subnet size is standardized by fixing the size of the host identifier portion of an address to 64 bits to facilitate an automatic mechanism for forming the host identifier from link layer addressing information (MAC address).

Сам по себе IPv6 позволяет в ряде случае трафику уйти в обход, поэтому тотальное блокирование IPv6^[link11] — первое, с чего начинается настройка файерволла, заточенного под анонимность.