Tor是一款常用的網絡隱私保護工具，漏洞經紀人Zerodium目前正在收集Tails Linux/Windows環境下運行的Tor瀏覽器(禁用JavaScript)的零日漏洞，并設置了一百萬美元的獎池。

不論你使用Tor的匿名瀏覽是為了保護隱私、逃避審查還是進行暗網交易，你恐怕不會喜歡這個消息：Tor已經成為了靶子，原因是一家漏洞經紀人正在懸賞Tails Linux/Windows環境下運行的Tor瀏覽器的零日漏洞。這些零日漏洞將賣給在政府雇員Johnny Law。

漏洞經紀人Zerodium今天宣布，將懸賞一百萬美元收集Tor瀏覽器的未知漏洞：

注意：征集Tor瀏覽器的零日漏洞，獎池100萬美元。詳情見：https://t.co/2Vz6RqTnBQ。

——Zerodium 2017年9月13日

根據Tor懸賞的說明，漏洞經紀人Zerodium公開征集Tails Linux/Windows環境下運行的Tor瀏覽器的零日漏洞。獎池共有一百萬美元，將持續開放到美國東部時間到2017年11月30日6點，一旦獎金被領取殆盡，該懸賞也會提前關閉。

Zerodium并沒有提到Tor網絡的隱私保護和安全功能，而是宣稱Tor經常“助紂為虐——惡棍們用它實施販毒、虐待兒童等罪行。

我們之所以針對Tor瀏覽器設立這個特殊懸賞，是為了幫助政府客戶打擊犯罪，也是為每個人營造一個更好也更安全的世界。

要想獲得懸賞，就必須在禁用JavaScript的情況下找到該瀏覽器的零日漏洞。這是因為Tor瀏覽器捆綁了NoScript功能，該功能在默認情況下啟用JavaScript攔截，用戶必須進行額外的安全操作才能關掉這個功能。

Zerodium的原文如下：

我們的期望很高：我們需要JavaScript禁用的狀態下的Tor瀏覽器漏洞!JavaScript啟用狀態下的漏洞也可獲得賞金，但是金額會有所降低。

根據獎金細則，Zerodium只要功能完全的漏洞，即可以“在目標操作系統上執行遠程代碼，無論使用當前用戶的權限還是無限制的根/系統特權。”攻擊過程必須保持悄無聲息地進行，不需要用戶交互、不觸發警告消息或彈出窗口。

Tails Linux/Win10環境下的Tor瀏覽器的零日漏洞值多少錢?

Tails 3.x (64bit)和Windows 10 RS3/RS2 (64bit)環境下的Tor瀏覽器漏洞顯然是最值錢的。如果能同時實現JavaScript禁用前提下的遠程代碼執行(RCE)和根/系統的本地權限提升(LPE)，獎金可達25萬美元。如果只有JavaScript禁用前提下的遠程代碼執行功能，獎金則是18.5萬美元。

如果提交的零日漏洞只能在開啟JavaScript的情況下進行RCE和LPE，獎金會縮水到12.5萬美元。只能在JavaScript開啟情況下進行RCE的漏洞則只值8.5萬美元。

Zerodium是一家位于華盛頓的公司，由前Vupen合伙創始人Chaouki Bekrar于2015年創立。該公司于8月份提高了針對安全通訊應用的零日漏洞懸賞額度。該公司表示，漏洞獎金為50萬美元，目標除了移動端郵箱應用，還涵蓋了WhatsApp、Signal、 Telegram、Facebook Messenger、iMessage、Viber和微信等。

Zerodium這樣的漏洞經紀人能比大多數供應商提供更高的漏洞賞額，但是受影響的供應商并不會得到漏洞通知。因此，這些零日漏洞也得不到修補。該漏洞經紀人宣稱只會把零日漏洞賣給政府監管組織，但是這恐怕對社會透明度或政府監管水平沒什么幫助。有些事情從過去到現在從沒變過，財大氣粗的美國政府會用這些漏洞去監視記者、持不同政見者等“異己”。