Leí en este artículo que el FBI pudo romper el anonimato de Tor.
Por lo que escuché y leí, el enrutamiento de cebolla hace que sea casi imposible desanonizar a un usuario.
La última vez que escuché a alguien tratando de descifrar a Tor fue en la NSA y no tuvo éxito o al menos no lo publicaron públicamente (el artículo tenía entre 2 y 3 años y puede que ya no sea tan relevante). / p>
¿Alguien tiene alguna idea sobre cómo podría haberlo hecho el FBI?
El artículo que vincula dice que el FBI obtuvo "la dirección MAC" para las computadoras de los usuarios. Las direcciones MAC son específicas para cada hardware Ethernet, y no viajan más allá del primer salto, lo que significa que son visibles a su enrutador doméstico, posiblemente el proporcionado por el ISP, pero no más allá. Si esa información específica es verdadera, entonces esto significa que el FBI realmente implementó una pieza de malware en el sitio, y los usuarios simplemente lo obtuvieron en su computadora.
Después de todo, el FBI tomó por primera vez el sitio ofensivo y lo ejecutó, momento en el que tenían control total sobre su contenido. Las personas que usan Tor para acceder a un sitio de pornografía infantil no son necesariamente más inteligentes que las personas promedio, y intrínsecamente "confiarían" en ese sitio, haciendo que la implementación de malware sea posible, incluso fácil.
El anonimato de Tor se basa en la idea de que los posibles atacantes (el FBI en ese caso) no pueden controlar suficientes nodos para hacer posibles las correlaciones. Sin embargo, que "suficientemente muchos" no es un número tan grande; Si una de sus conexiones, incluso temporalmente, atraviesa un "nodo de entrada" controlado por el atacante, y el mismo atacante puede ver qué sucede en la salida (y puede hacerlo, si en realidad alberga el sitio de destino), entonces la correlación es relativamente fácil (a través del tiempo de las solicitudes y el tamaño de los paquetes, porque el cifrado no oculta el tamaño). Con el control del sitio de destino, incluso sería posible cambiar el tamaño de los paquetes de respuesta individuales para ayudar a la correlación.
Sin embargo, Tor no hace nada contra el código hostil enviado al usuario y ejecutado por el usuario, y si la dirección MAC se recuperó, ese código estaba involucrado.
El artículo que publicaste establece cómo lo hicieron. Pero el autor no parece estar bien informado sobre el tema y se perdió en el artículo. No rompieron a Tor y mucho más encontraron una manera de recopilar analíticas que no pasaron por la red de Tor.
Primero, el FBI confiscó los servidores que ejecutan el anillo de pornografía infantil en Tor conocido como Playpen.
Después de tomar el servidor de la computadora que ejecuta Playpen desde un servidor web en Lenoir, Carolina del Norte, en febrero de 2015, el FBI decidió dirigir el sitio web de pornografía infantil desde sus propios servidores en Newington, Virginia, por dos semanas adicionales entre el 20 de febrero y el 4 de marzo de ese año.
Luego ejecutaron el sitio con una inserción Flash en la página. La aplicación Flash no fue alojada a través de Tor. Y conectado a través de medios tradicionales como HTTP o sockets. Al establecer estas conexiones, pasa completamente por alto a Tor. La aplicación Flash luego recogió la información del usuario. En cuanto a obtener una dirección MAC no puedo verificar las reclamaciones. Esto podría ser el FBI echando humo o podrían explotar una vulnerabilidad en Flash player para lograr esto. A diferencia de JavaScript, Flash no es un espacio aislado y tiene el potencial de recopilar más información de la máquina, lo que ha dado lugar a bastantes CVE. El FBI también ha utilizado este método conocido como NIT (técnica de investigación en red / kit de herramientas) en el pasado.
Cuando los visitantes accedieron al sitio web, aunque su tráfico podría tener cifrada, una aplicación Flash se instaló en secreto en el La computadora del usuario que envió silenciosamente datos importantes sobre el usuario. directamente al FBI para que no pasara a través de la red Tor en Todo, según Motherboard Vice.
Nadie está seguro en este momento porque los detalles no se han publicado. Hay mucha sospecha de que esto tiene que ver con los métodos que Carnage Melon desarrolló a finales de 2014 y ejecutó a mediados de 2015.
Se corrigieron las debilidades a mediados de 2015, pero hay algunas debilidades contra las cuales es muy difícil protegerse (por ejemplo, ataques de análisis de tráfico). No es tan fácil controlar la mayoría de la red Tor, por lo que no es fácil responder "¿cuál es la identidad de este visitante?", Pero al usar estos ataques, fue fácil responder "dame una lista de algunas de las IP comunicándose con este servicio oculto ".
"También requiere que el atacante haya recopilado previamente características de red únicas que puedan servir como una huella digital para ese servicio en particular".
Entiendo que la corrección de julio de 2015 fue para abordar esas debilidades.
Tor está en un terreno inestable, sin embargo, esta charla de Blackhat a finales de 2014 fue extraída misteriosamente ... luego las cosas se volvieron locas en 2015:
"En nuestro análisis, descubrimos que un adversario persistente con un puñado de servidores poderosos y un par de enlaces gigabit puede anular el anonimato de cientos de miles de clientes de Tor y miles de servicios ocultos en un par de meses". p>
7:26 de diciembre de 2015, "el estado de la cebolla" entra en algo de esto: