Tor Browser 15.0.14 уже доступен. The Tor Project пишет, что релиз можно скачать со страницы загрузки Tor Browser и из distribution directory проекта.
Это не релиз с большим набором новых функций. Главное здесь — обслуживание и безопасность: Tor Browser 15.0.14 приносит security fixes из Firefox и обновляет базу Firefox ESR и GeckoView до 140.11.0esr. В заметке указаны платформы Windows, Linux и Android.
Для большинства пользователей вывод простой: если Tor Browser входит в вашу схему приватности или обхода цензуры, обновитесь. Исправления безопасности в браузере — не косметика. Они находятся прямо на границе между недоверенным веб-контентом и устройством, с которого вы в него заходите.
Что изменилось в Tor Browser 15.0.14#
В заметке The Tor Project приведён короткий список изменений после Tor Browser 15.0.13.
Основные пункты:
- перенесены security fixes из Firefox 151;
- Firefox обновлён до 140.11.0esr;
- GeckoView обновлён до 140.11.0esr;
- исправлен clean section в
rbm.local.conf.example; - обновлён URL к
versions.iniвrelprep.py.
Первые три пункта важнее всего для обычных пользователей. Tor Browser построен на Firefox ESR — ветке браузера Mozilla с расширенной поддержкой. Когда Firefox получает исправления безопасности, проекты на его базе должны переносить эти исправления дальше. Tor Browser 15.0.14 делает это для своей релизной ветки.
GeckoView важен для Android. Это встраиваемый браузерный движок Mozilla для Android-приложений. Его обновление держит Android-сборку на той же линии обслуживания базового движка.
Два исправления, связанные со сборкой, больше нужны сопровождающим Tor Browser и тем, кто работает с build system. Они не выглядят как изменения поведения, заметные пользователю. В исходной заметке нет заявлений о новых функциях приватности, новом поведении цепочек или новых защитах от fingerprinting в этом релизе.
Почему небольшой апдейт всё равно важен#
Tor Browser — не обычный браузер с темой про приватность. Его задача сложнее: снижать трекинг, сопротивляться fingerprinting и направлять трафик через Tor network, чтобы дать пользователю более безопасную базу в недружественных сетевых условиях.
Поэтому регулярные обновления важнее, а не менее важны.
Браузер каждый день сталкивается с произвольным кодом и контентом. Страницы, скрипты, медиа, шрифты и обработчики протоколов проходят через широкую поверхность атаки. Даже если в публичной заметке нет названного экстренного исправления, security backports из Firefox — достаточная причина обновиться быстро.
Особенно это касается тех, кто полагается на Tor Browser в условиях повышенного риска:
- людей, обходящих цензуру;
- журналистов и исследователей, которым нужен доступ к заблокированным источникам;
- активистов и гражданских организаций под давлением наблюдения;
- пользователей, которые ради безопасности разделяют личности и контексты браузинга;
- всех, кто использует Tor Browser потому, что не доверяет локальной сети.
Отложенное обновление браузера может превратить инструмент приватности в устаревшую цель. Tor помогает с приватностью на сетевом уровне. Он не делает старый браузер безопасным от багов браузерного движка.
Что не стоит преувеличивать#
Заметка о релизе короткая. В ней не сказано, что Tor Browser 15.0.13 активно эксплуатируют. В ней не описана уязвимость, специфичная для Tor. В предоставленном исходном тексте нет списка CVE. Там также не сказано, что все платформы получили полностью одинаковые внутренние изменения за пределами указанного охвата Windows, Linux и Android.
Это важное различие.
Security update — достаточная причина поставить патч. Но это не повод придумывать инцидент. Пока The Tor Project или Mozilla не опубликуют более конкретные детали, этот релиз стоит воспринимать как maintenance-релиз с security backports.
Также стоит отделять Tor Browser от самой Tor network. Этот релиз касается браузерного пакета. В исходном материале нет изменений onion routing, поведения релеев, bridges, directory authorities или логики transport для обхода цензуры.
Для пользователей это означает практическое действие на стороне браузера: обновить приложение, которым вы пользуетесь. Не надо считать, что этот релиз меняет работу сети.
Что сделать пользователям сейчас#
Если вы уже используете Tor Browser, обновитесь через официальный интерфейс Tor Browser или скачайте его с официального сайта The Tor Project. В заметке сказано, что Tor Browser 15.0.14 доступен со страницы загрузки и из distribution directory.
Базовые проверки:
- убедитесь, что получаете Tor Browser от The Tor Project, а не со случайного зеркала или из перепакованной сборки;
- обновите его на Windows, Linux и Android там, где используете;
- перезапустите браузер после обновления;
- не продолжайте чувствительные сессии в старом окне браузера, когда обновление уже доступно;
- если ваш threat model серьёзный, проверяйте загрузки по документированному процессу верификации The Tor Project.
Пользователям Android стоит внимательно смотреть, откуда они устанавливают приложение. Перепаковка браузеров — реальный риск в более широкой Android-экосистеме. Если вы не можете проверить путь установки, не считайте приложение доверенным только потому, что в нём есть бренд Tor.
Для пользователей настольных систем главный риск — привычка. Многие держат privacy tools установленными, но не проверяют, актуальны ли они. Tor Browser помогает только тогда, когда браузерный слой поддерживается в свежем состоянии.
Что заметят сопровождающие и технические читатели#
Исправления build system узкие, но это полезные сигналы. tor-browser-build#41781 исправляет clean section в rbm.local.conf.example. tor-browser-build#41798 обновляет URL к versions.ini в relprep.py.
Это не эффектные изменения. Они относятся к release engineering — работе, которая не даёт воспроизводимым и повторяемым сборкам деградировать со временем. Для проекта вроде Tor Browser это важно: доверие держится не только на финальном бинарнике. Важно и то, остаётся ли процесс сборки проверяемым, ремонтопригодным и связанным с исходным кодом.
В заметке о релизе также просят не использовать нерелевантные посты о релизах как каналы поддержки или баг-репортов. Это нормальная операционная гигиена. Если вы нашли баг или хотите предложить улучшение, используйте предусмотренные проектом каналы поддержки и отчётности.
Итог#
Tor Browser 15.0.14 — maintenance-релиз с важными обновлениями безопасности браузерного движка. Драматизировать его не нужно. Игнорировать — тоже.
Если Tor Browser есть в вашем рабочем процессе, обновите его из официального источника The Tor Project и продолжайте работу.