Могут ли отследить браузер тор
Вам пора узнать правду. Давайте расставим все точки над «И».
Всем салют, дорогие друзья!
На связи Golden - глава Hacker Place
Уверен, что для вас не станет секретом тот факт, что Tor — это выбор номер один для миллионов интернет-пользователей, когда речь идет об анонимном и приватном общении в Интернете. Эта статья призвана ответить на самые популярные вопросы, которые возникают у пользователей Tor в отношении их безопасности и анонимности.
Давайте наконец-то расставим все точки над «И»!
Можно ли доверять «луковому маршрутизатору»?
Несмотря на то, что существуют некоторые методы раскрытия чьего-либо реального IP-адреса с помощью Tor, вы можете свести к минимуму большую часть риска, используя официальный Tor браузер. Официальный браузер Tor по умолчанию блокирует использование опасных плагинов и дополнений.
Напоминаю, что список известных уязвимостей Tor можно найти в Википедии. Но, несмотря на все недостатки, Tor по-прежнему считается одной из самых устойчивых анонимных сетей, обеспечивающих очень надежную защиту от анализа трафика и раскрытия реального IP-адреса.
Можно ли вас отследить в Tor?
Нет, вас нельзя отследить, когда вы используете Tor. Напоминаю, что браузер Tor по умолчанию блокирует всю телеметрию и рекламные трекеры, которые могут связать между собой вашу активность на разных сайтах. Если вы не изменяли настройки тора, то с большей долей вероятности, вы в безопасности.
В качестве первой линии защиты, Tor Browser поставляется со следующими предустановленными расширениями:
Используя сеть Tor, вы фактически запрещаете трекерам в Интернете видеть ваше точное местоположение и IP-адрес.
К сожалению, даже без этой информации сайты, которые вы используете, могут по-прежнему связывать между собой некоторые из ваших действий, например, это можно делать анализируя cookie файлы, которые отправляет ваш браузер, или наблюдая за IP-адресом вашего выходного узла. По этой причине Tor Browser имеет так же имеет две дополнительные опиции:
-
Кнопка «Новая цепочка Tor для этого сайта» заставляет браузер установить новое соединение в сети Tor. Это изменит IP-адрес вашего выходного узла и защитит IP-адрес источника сеанса Кнопка «Новая личность» перезапускает браузер Tor, фактически сбрасывая все веб-сессии. Она стирает все cookieфайлы сеанса и очищает весь кеш.
Оставляет ли Tor следы на вашем компьютере?
Ответ однозначный: Tor не оставляет никакой информации на вашем компьютере. Браузер не хранит историю, не кэширует и не хранит cookie файлы где-либо на диске. Он разработан с учетом максимальной конфиденциальности и защиты своих пользователей. Сообщество проекта очень серьезно относится к таким нюансам.
Где хранится кэш браузера Tor?
Кэша нет. В браузере Tor все кэширование контента по умолчанию отключено . Это сделано по причине того, что Tor браузер предназначен для хранения всех данных просмотра (история браузера, кеш, файлы cookie сеанса) в оперативной памяти без сохранения чего-либо на диске.
Подчеркиваю: это одна из основных конструктивных особенностей браузера Tor.
Можно ли отследить браузер Tor?
Если Tor Browser используется правильно, то отследить какие-либо действия не представляется возможным. Да, их не увидит даже ваш интернет-провайдер.
При этом не могу не отметить тот факт, что существуют известные методы и способы атак на пользователей Tor, которые могут привести к утечке конфиденциальной информации. В основном это связано с неправильным использованием сети Tor. К таким случаям относятся, например:
Знает ли мой интернет-провайдер, использую ли я Tor?
Да, ваш интернет-провайдер знает, что вы используете Tor. Это связано с тем, что список узлов (ретрансляторов) Tor является общеизвестной информацией из-за того, что некоторые организации и частные лица отслеживают их по разным причинам. Таким образом, ваш интернет-провайдер знает, то вы используете Tor.
Например, здесь вы можете найти текущий список узлов. Список содержит тысячи IP-адресов и обновляется практически каждые пару минут. Эту информацию может использовать любой, включая вашего интернет-провайдера.
Но не паникуйте. Хотя ваш интернет-провайдер знает тот факт, что вы Tor, у него нет возможности узнать, что именно вы делаете в Интернете. Никто не может видеть, какие веб-сайты вы посещаете и куда вы подключаетесь, потому что все зашифровано с использованием надежного шифрования (TLS 1.2 или выше).
Знает ли мой интернет-провайдер, какие сайты я посещаю, когда использую Tor?
Нет, ваш интернет-провайдер не может знать, что вы делаете в Интернете, пока используете Tor. Сеть Tor была специально разработана для того, чтобы никто (включая интернет-провайдеров) не мог идентифицировать любого конкретного пользователя в сети или узнать, какие веб-сайты кто-либо посещает при использовании Tor.
Тоже самое и с DNS-трафиком. Это что означает, что даже DNS-запросы обрабатываются в сети Tor. Единственное, что может увидеть ваш интернет-провайдер, — это набор зашифрованных TLS-соединений. Это абсолютно и полностью препятствует тому, чтобы интернет-провайдер знал что-либо о том, что вы делаете в Интернете.
На скрине ниже показан идущий через Tor трафик, перехваченный через Wireshark:
Как видите, смотреть особо нечего.
Можно ли заблокировать браузер Tor?
Заблокировать Tor можно лишь частично. Tor является открытой сетью, к которой может подключиться каждый, соответственно любой желающий может получить список ретрансляторов Tor и внести их в черный список.
Для интернет-провайдера не составит труда узнать, использует ли кто-то в их сети Tor. Как я упомянул ранее, список узлов Tor доступен в Интернете, и его может увидеть любой желающий. Таким образом, заблокировать Tor несложно, и многие сетевые устройства имеют встроенную функцию (например, Fortinet, Palo Alto или Check Point). Но в качестве контрмеры сообщество проекта Tor придумало концепцию мостов.
Bridge — это, по сути, ретранслятор Tor с той разницей, что он нигде в Интернете не объявляется и не публикуется публично. Мостами обычно управляют добровольцы, и их адреса могут быть запрошены индивидуально на разовой основе. Подробнее о мостах можно узнать здесь:
Вывод
Несмотря на некоторые нюансы, сеть Tor остается лучшим выбором для тех, кто ищет конфиденциальность и анонимность в Интернете. Поскольку число его пользователей постоянно растет, появляются и группы людей, которые пытаются заблокировать или взломать сеть. Однако, сообщество проекта продолжает развиваться и постоянно повышаетотказоустойчивость и надежность. В любом случае, на сегодняшний день альтернатив практически нет, разве что I2P, но это уже тема для другой статьи.
На сегодня это все! Берегите себя и не пренебрегайте собственной безопасностью.
В закладки
Думаете, что в даркнете невозможно найти человека, потому что нельзя «пробить его по IP»? Как бы ни так!
Рассказываем, как вычисляют людей в тёмном сегменте интернета.
Сразу к главному: невозможно совсем спрятаться в даркнете
Даркнет кишит предложениями противозаконных сделок и желающими в них поучаствовать. Очень глупо считать, что правоохранительные органы его игнорируют.
Работая в даркнете через Tor, продавцы оружия, препаратов и прочей «запрещенки» скрывают свою личность. Но то же право появляется у покупателей. В результате продавец не знает, с кем торгует. Впрочем, и покупатели не застрахованы от подставных продавцов.
Полиция часто устраивает «контрольные закупки». Представители правоохранительных органов входят в доверие к продавцам, делают несколько заказов, предлагают встретиться.
Дальше чистые методы социальной инженерии, просмотр записей с камер служб доставки и т.п., ловля «на горячем». И никаких высоких технологий. Сдать может кто угодно – якобы друг, сосед, коллега, недовольная бывшая.
За примерами далеко ходить не надо. Основатель крупнейшей даркнет-площадки Silk Road попался из-за своей забывчивости. Росс Ульбрихт прекрасно скрывался и шифровался, но однажды использовал тот же ник, что и на старых форумах, где ранее разместил вакансию в поисках сотрудника на другой проект.
И всё. Ульбрихта арестовали в библиотеке, где он сидел с ноутбука на Silk Road под аккаунтом администратора. Также вычислили посылку с девятью поддельными документами, которые Ульбрихт планировал использовать для аренды серверов для Silk Road, и установили его место жительства.
Дали 2 пожизненных срока, а также 20, 15 и 5 лет за отдельные эпизоды. На тот момент ему был 31 год, и теперь его жизнь вне тюрьмы завершена.
Окей, но ведь есть Tor! Разве он не анонимен?
Факт для затравки: осенью 2016 года полиция Швеции совместно с коллегами из других стран провела международную операцию «Титан». Результат? Поймано 3000 покупателей наркотиков в сети Tor.
Вот вам ещё пример, размять мозг. В базе «Росправосудия» нашлось 403 решения со словом «Tor» внутри. Совпадение?
А вот выдержка из решения по делу, в котором житель Саратова хотел купить в даркнете кокаин за биткоины. Отправили посылку «Почтой России»:
Результат сделки – 5 лет и 1 месяц колонии за 4,53 г кокаина. Вот вам и защищенные Tor с даркнетом.
Реальность такова, что Tor лишь скрывает активность пользователя внутри своей сети. Как только любой «хвост» коммуникаций выползает за эти пределы, он становится зияющей уликой, которая и приводит к распутыванию вышеупомянутых уголовных дел.
Иными словами, чаще всего даркнетчиков ловят на внешней активности. Которая начинается в Tor и заканчивается в реальном мире.
Но пользователя даркнета поджидают и другие угрозы конфиденциальности.
1. Взлом аккаунтов на сайтах даркнета
Взломать аккаунт на сайте в даркнете в среднем проще, чем на площадках вроде e-Bay или Amazon. Хакеры (и белые, и черные) пользуются этим. Они получают контроль над аккаунтом и некоторое время работают от имени его прежнего владельца.
К тому же после взлома аккаунта хакер получает доступ к старой переписке владельца. Так что установка кодовых фраз или просьба привести факты из прежнего общения не спасает.
Фактически, крадётся личность пользователя, и от её лица можно наделать многое.
Шутка в том, что реальный владелец аккаунта не способен ничего доказать без деанонимизации. Не покажет же он личную фотку, номер телефона или профили в соцсетях.
2. Загрузка вирусов и вредоносных скриптов
Сайты даркнета могут заражать вирусами. Почему бы и нет? Они ничем особо не отличаются от обычных веб-сайтов. Например, вредоносный скрипт позволит узнать реальный IP-адрес пользователя или перехватить его трафик без взлома аккаунта.
Преимущество заражения сайтов – массовость атаки. Если аккаунты обычно ломают по одному, то здесь можно получить сразу весь трафик или IP-адреса пользователей, заходивших на сайт в определённый промежуток времени.
Ну а дальше можно в спокойном темпе раскрыть личности, возбудить дело и закрыть нарушителей закона, как ни в чём не бывало.
3. Криптовалютные транзакции прозрачны
Пора развеять миф об анонимности биткоина и многих других криптовалют. В блокчейне биткоина можно отследить каждую транзакцию вплоть до генезис-блока (самого первого блока в цепи). А значит, если знать биткоин-адрес продавца, можно увидеть все транзакции, которые с него совершались.
Соответственно, и вторую сторону сделки можно вычислить. Адреса порой достаточно просто загуглить, чтобы выявить связь между ними и реальными людьми вне даркнета.
К слову, сотрудника Секретной службы США, который участвовал в расследовании Silk Road, вычислили после кражи 13 тыс. биткоинов (примерно 108 млн долларов по сегодняшнему курсу). Он вывел битки на биржу со своего кошелька, чтобы перевести в традиционные деньги. По данным биржи и кредитной карты его и нашли.
Повысить уровень анонимности транзакций можно, используя биткоин-миксеры. Они смешивают транзакции с разных адресов, маскируя отправителя и получателя и разбивая одну крупную транзакцию на множество мелких. Но 100% гарантии анонимности они не дают.
Что теперь делать?
Прежде всего, признать, что в даркнете рано или поздно находят всех, а криптовалюты не анонимны на 100%. Во-вторых, не делать того, о чём потом придётся жалеть. В-третьих, не связывать жизнь в даркнете с жизнью вне закрытой сети. Например, через одни и те же логины и пароли.
Для вычисления людей в даркнете используют вредоносные скрипты, которые встраивают в код сайта, отслеживание биткоин-транзакций, взлом аккаунтов на тёмных площадках. Но чаще всего помогают банальные методы социальной инженерии.
Сдают друзья, соседи и знакомые, работают подставные продавцы и покупатели, находятся посты на форумах под никами из даркнета, случайность и невнимательность приводит к тюремным срокам.
Лучше в даркнет не ходить, но если пойдёте, то знайте: если что, вас можно найти.
На всякий случай, наш классный Telegram канал. Заходи!
В закладки
Студент заминировал университет
20-летний студент признался, что написал письмо в надежде избежать итогового экзамена, для верности письмо с угрозой продублировал в адрес отдела безопасности университета и университетской газеты. Хотя здесь он добился успеха: из-за эвакуации все утренние экзамены были отложены, но теперь у парня появились более серьезные проблемы.
Tor не спасет от вычисления спецслужбами
Ким предпринял меры, чтобы избежать идентификации. Он завел анонимный адрес электронной почты и воспользовался сервисом для анонимизации Tor. Тем не менее, его все равно удалось вычислить. Судя по показаниям агентов ФБР в документах, поданных для суда, спецслужбаполучила список пользователей локальной компьютерной сети в общежитии университета. Они изучили трафик и определили, кто из студентов пользуется сервисом Tor. Как известно, трафик Tor можно определить по характерным признакам. Затем ФБР допросило всех пользователей анонимной сети одного за другим. Таких оказалось не слишком много, поэтому вычислить преступника оказалось довольно просто.
Общественный Wi-Fi лучше Тора
Tor от полиции не спасет
Тем не менее, история демонстрирует слабость относительно редких инструментов информационной безопасности, пишет известный криптограф Брюс Шнайер. «Та же самая вещь, которая позволяет скрыть свою причастность, делает тебя главным подозреваемым». ФБР не пришлось взламывать Tor, они просто использовали стандартные полицейские методы для выявления отправителя письма. Другими словами, даже в самой в мощной криптографической защите имеется слабое место – это сам человек. Если не можешь сломать код, то всегда можно сломать человека.
Провайдеры выявляют пользователей Tor
Аналогичные методы по выявлению пользователей Tor подходят для использования на уровне любого провайдера. Не стоит удивляться, если у спецслужб уже есть список пользователей Tor в каждом городе.
Можно ли отследить человека, если он пользуется Тором?
Проще простого. Во-первых, у спецслужб есть ключи в черному в ходу в операционных системах. Это значит, что пользователь может сидеть за Тором и считать себя в полной безопасности, а в это время по параллельной линии сливается его реальный IP-адрес. Во-вторых, Тор гарантирует безопасность только при строгом соблюдении правил. Вы уверены, что знаете эти правила на 100%? Например, нельзя включать JavaScript. Но некоторые сайты без него не работают. Включил — и твой IP уже известен всем.
Tor не скрывает IP
Очень часто сайт требует включить JavaScript и отказывается работать дальше, пока пользователь не выполнит это требование. Ну так знайте, что если вы включили в Торе исполнение JavaScript, то ваш IP — уже не тайна для постороннего сайта.
Можно ли вычислить пользователя VPN?
Можно. Это сделать сложнее, чем вычислить пользователя TOR. Но дело в том, что настройка VPN — весьма сложный процесс и здесь часто случаются ошибки. Недавно было проведено исследование на эту тему. Оказалось, что примерной 40% существующих сервисов VPN позволяют довольно легко вычислять IP пользователей — из-за грубых ошибок в конфигурации.
Для чего нужен Тор браузер?
Для сокрытия своего IP-адреса при посещении сайтов. Вторая задача браузера Тор — предоставить доступ к тем сайтам, которые были заблокированы на территории России.
Почему Тор не анонимен?
Как скрыть использование TOR
Никак. Ваш реальный IP будет заменен на IP выходной ноды ТОРа. Этот IP можно проверить по списку узлов сети TOR и установить факт использования.
Как качать файлы через TOR
Можно настроить качалку файлов на работу через прокси, но делать этого не рекомендуется — TOR слишком медленный для скачивания файлов. К тому же, вы забиваете канал и мешаете тем, кому действительно нужна анонимность. Хотите тайно качать файлы — используйте не TOR, а VPN.
Почему Tor небезопасен
В безопасность Tor верят только пионеры, причем именно верят, а не пытаются проанализировать насколько это средство действительно обеспечивает анонимность. А вот эксперты предупреждают о ненадежность Tor уже давно:
Особо следует отметить, что использование Tor без изучения всех нюансов данной системы может обернуться серьезными неприятностями даже для законопослушных пользователей. Например, в декабре 2012 года полиция ворвалась в дом к 20-летнему оператору Tor-узла и предъявила обвинения, предусматривающие от 10 лет тюрьмы. И это при том, что пользователь не совершал противоправных действий, а только предоставил свой компьютер для прохождения анонимного трафика.
Независимый исследователь в области информационной безопасности Хосе Карлос Норте (Jose Carlos Norte) выявил пару новых методов деанонимизации пользователей Tor. Методы предполагают выявление с помощью JavaScript «уникального отпечатка» пользователя, по которому его можно отследить.
Создание уникального поведенческого отпечатка опасно для пользователей Tor, потому что данные, полученные при работе в Tor, можно сравнить с данными, полученными при работе с обычным браузером. Это не всегда позволит со стопроцентной точностью определить пользователя, но даст некий старт для расследования.
Хотя Роскомнадзор утверждает, что использование инструментов обхода блокировок сайтов не является нарушением закона, поведенческие технологии помогут найти нужного человека — в том числе в обратной последовательности: в Tor — из обычного браузера.
Одно из уязвимых мест, пишет Хосе Карлос Норте, это скорость взаимодействия с колёсиком мыши. Она зависит от конфигурации операционной системы и от железа. Проверьте, как выглядит результат, по этой ссылке. Следующий пункт — скорость самой мыши. С помощью JavaScript можно измерить её, пока пользователь сидит в браузере.
Опять же с помощью JavaScript можно измерить характеристики CPU пользователя — записать время, необходимое для выполнения задачи, а затем использовать эту информацию как метку компьютера подозреваемого. Браузер Tor включает защиту от подобных сценариев, ограничивая функцию Date.getTime() JavaScript, но существуют способы обхода этого ограничения.
Норте описал использование ещё одного метода — Element.getBoundingClientRect(), он возвращает объект текстового прямоугольника, который включает группу текстовых прямоугольников. Возвращаемое значение — это объект TextRectangle, содержащий свойства для чтения left, top, right и bottom, описывающие бокс с границами в пиксельном измерении. Вот как выглядит результат в браузере Tor с двух разных компьютеров. Разница очевидна, и её также можно использовать для обнаружения пользователей.
Исследования Норте показали, насколько легко можно выявить уникальные отпечатки пользователей Tor, чтобы отслеживать их деятельность в интернете и соотносить с посещением различных страниц.
Tor – инструмент для анонимности, используемый людьми, стремящимися к приватности и борющимися с цензурой в интернете. Со временем Tor стал весьма и весьма неплохо справляться со своей задачей. Поэтому безопасность, стабильность и скорость этой сети критически важны для людей, рассчитывающих на неё.
Но как Tor работает «под капотом»? В этой статье мы с вами нырнем в структуру и протоколы, используемые в сети, чтобы близко ознакомиться с работой Tor.
Краткая история Tor
Концепция луковичной маршрутизации (позже поясним это название) впервые была предложена в 1995 году. Сначала эти исследования финансировались министерством военно-морских исследований, а затем в 1997 году к проекту подключилась DARPA. С тех пор Tor Project финансировали разные спонсоры, а не так давно проект победил в кампании по сбору пожертвований на reddit.
Код современной версии ПО Tor был открыт в октябре 2003 года, и это было уже 3-е поколение ПО для луковичной маршрутизации. Идея его в том, что мы оборачиваем трафик в зашифрованные слои (как у луковицы), чтобы защитить данные и анонимность отправителя и получателя.
Основы Tor
Сейчас (февраль 2015 года) в сети Tor передачей трафика занимаются около 6000 маршрутизаторов. Они расположены по всему миру и работают благодаря добровольцам, которые соглашаются отдать немного трафика для благого дела. Важно, что у большинства узлов нет никакого специального железа или дополнительного ПО – все они работают при помощи ПО Tor, настроенного на работу в качестве узла.
Скорость и анонимность сети Tor зависит от количества узлов – чем больше, тем лучше! И это понятно, поскольку трафик одного узла ограничен. Чем больше у вас выбор узлов, тем сложнее отследить пользователя.
Типы узлов
По умолчанию, Tor передаёт трафик через 3 узла. У каждого из них своя роль (разберём их подробно позже).
Клиент, охранный узел, промежуточный узел, выходной узел, пункт назначения
Обычно безопасный метод запуска сторожевого или промежуточного узла — виртуальный сервер (DigitalOcean, EC2) – в этом случае операторы сервера увидят только зашифрованный трафик.
Но на операторах выходных узлов лежит особая ответственность. Поскольку они отправляют трафик в пункт назначения, все незаконные действия, совершаемые через Tor, будут связываться с выходным узлом. А это может привести к полицейским рейдам, уведомлениям о нелегальной деятельности и другим вещам.
Встретите оператора выходного узла – скажите ему спасибо. Он того заслуживает.
Причём здесь лук?
Разобравшись в маршруте соединений, идущих через узлы, зададимся вопросом – а как мы можем им доверять? Можно ли быть уверенным в том, что они не взломают соединение и не извлекут все данные из него? Если кратко – а нам и не нужно им доверять!
Сеть Tor разработана так, чтобы к узлам можно было относиться с минимальным доверием. Это достигается посредством шифрования.
Так что там насчёт луковиц? Давайте разберём работу шифрования в процессе установки соединения клиента через сеть Tor.
Клиент шифрует данные так, чтобы их мог расшифровать только выходной узел.
Эти данные затем снова шифруются так, чтобы их мог расшифровать только промежуточный узел.
А потом эти данные опять шифруются так, чтобы их мог расшифровать только сторожевой узел
Получается, что мы обернули исходные данные в слои шифрования – как лук. В результате у каждого узла есть только та информация, которая нужна ему – откуда пришли зашифрованные данные, и куда их надо отправлять. Такое шифрование полезно всем – трафик клиента не открыт, а узлы не отвечают за содержимое передаваемых данных.
Узлы и мосты: проблема с узлами
После запуска Tor-клиента ему нужно получить списки всех входных, промежуточных и выходных узлов. И это список не является тайной – позже я расскажу, как он распространяется (можете сами поискать в документации по слову “concensus”). Публичность списка необходима, но в ней таится проблема.
Чтобы понять её, давайте прикинемся атакующим и спросим себя: что бы сделало Авторитарное Правительство (АП)? Размышляя таким образом, мы сможем понять, почему Tor устроен именно так.
- блокировать пользователей, выходящих из Tor;
- блокировать пользователей, входящих в Tor.
Первое – возможно, и это свободный выбор владельца маршрутизатора или веб-сайта. Ему всего лишь нужно скачать список выходных узлов Tor, и блокировать весь трафик с них. Это будет плохо, но Tor ничего с этим не может сделать.
Второй вариант серьёзно хуже. Блокировка выходящих из Tor пользователей может предотвратить посещение определённого сервиса, а блокировка всех входящих не даст им ходить ни на какие сайты – Tor станет бесполезным для тех пользователей, кто уже страдает от цензуры, в результате чего они и обратились к этому сервису. И если бы в Tor были только узлы, это было бы возможным, так как АП может скачать список сторожевых узлов и заблокировать трафик к ним.
Хорошо, что разработчики Tor подумали об этом и придумали хитрое решение проблемы. Познакомьтесь с мостами.
Мосты
По сути, мосты – непубликуемые в общем доступе узлы. Пользователи, оказавшиеся за стеной цензуры, могут использовать их для доступа в сеть Tor. Но если они не публикуются, как пользователи знают, где их искать? Не нужен ли какой-нибудь особый список? Поговорим о нём позже, но коротко говоря, да – есть список мостов, которым занимаются разработчики проекта.
Просто он не публичный. Вместо этого пользователи могут получать небольшой список мостов, чтобы соединиться с остальной частью сети. Этот список, BridgeDB, выдаёт пользователям только по нескольку мостов за раз. Это разумно, так как много мостов сразу им и не нужно.
Выдавая по нескольку мостов, можно предотвратить блокировку сети Авторитарным Правительством. Конечно, получая информацию о новых узлах, можно блокировать и их, но может ли кто-то обнаружить все мосты?
Может ли кто-то обнаружить все мосты
Список мостов строго секретен. Если АП получит этот список, оно сможет полностью заблокировать Tor. Поэтому разработчики сети проводили исследования возможностей получения списка всех мостов.
Я подробно опишу два пункта из этого списка, 2-й и 6-й, поскольку именно этими способами удалось получить доступ к мостам. В 6-м пункте исследователи в поисках мостов Tor просканировали всё пространство IPv4 посредством сканера портов ZMap, и нашли от 79% до 86% всех мостов.
2-й пункт подразумевает запуск промежуточного узла Tor, который может отслеживать приходящие к нему запросы. К промежуточному узлу обращаются только сторожевые узлы и мосты – и если обратившегося узла нет в публичном списке узлов, то очевидно, что этот узел – мост. Это серьёзный вызов Tor, или любой другой сети. Так как пользователям нельзя доверять, необходимо делать сеть анонимной и закрытой, насколько это возможно, поэтому сеть именно так и сделана.
Консенсус
Рассмотрим, как функционирует сеть на более низком уровне. Как она организована и как узнать, какие узлы в сети активны. Мы уже упоминали, что в сети существует список узлов и список мостов. Поговорим о том, кто составляет эти списки.
В каждом Tor-клиенте содержится фиксированная информация о 10 мощных узлах, поддерживаемых доверенными добровольцами. У них особая задача – отслеживать состояние всей сети. Они называются directory authorities (DA, управляющие списками).
Они распределены по миру и отвечают за распространение постоянно обновляемого списка всех известных узлов Tor. Они выбирают, с какими узлами работать, и когда.
Почему 10? Обычно не стоит делать комитет из чётного количества членов, чтобы при голосовании не случилось ничьей. Суть в том, что 9 DA занимаются списками узлов, а один DA (Tonga) – списком мостов
Список DA
Достижение консенсуса
Так каким же образом DA поддерживают работоспособность сети?
- каждый DA создаёт список известных узлов;
- затем подсчитывает все остальные данные – флаги узла, веса трафика и т.п.;
- отправляет данные как «голосование за статус» всем остальным;
- получает голоса всех остальных;
- комбинирует и подписывает все параметры всех голосов;
- отправляет подписанные данные остальным;
- большинство DA должны согласовать данные и подтвердить наличие консенсуса;
- консенсус публикуется каждым DA.
И что же он означает?
Анатомия консенсуса
Просто прочитав спецификацию, в этом документе разобраться сложновато. Мне нравится визуальное отображение, чтобы понять, как устроена структура. Для этого я сделал постер в стиле corkami. И вот (кликабельное) графическое представление этого документа.
Что случится, если узел пустится во все тяжкие
При подробном рассмотрении принципов работы сети мы пока не касались принципов работы выходных узлов. Это последние звенья в цепочке Tor, предоставляющие путь от клиента до сервера. Поскольку они отправляют данные на пункт назначения, они могут видеть их так, будто те только что покинули устройство.
Такая прозрачность подразумевает большое доверие к выходным узлам, и обычно они ведут себя ответственно. Но не всегда. А что же случается, когда оператор выходного узла решает ополчиться на пользователей Tor?
Дело снифферов
Выходные узлы могут видеть трафик так, будто он только что покинул устройство.
Засада в том, что мы ничего не можем с этим поделать (кроме использования шифрованных протоколов). Сниффинг, пассивное прослушивание сети, не требует активного участия, поэтому единственная защита — понимать проблему и избегать передачи важных данных без шифрования.
Но допустим, оператор выходного узла решит навредить сети по-крупному. Прослушивание – занятие дураков. Давайте будем модифицировать трафик!
Выжимаем максимум
Вспомним, что оператор выходного узла несёт ответственность за то, что трафик, проходящий от клиента и к нему, не будет изменён. Ага, конечно…
Посмотрим, какими способами его можно менять.
SSL MiTM & sslstrip
Удобным инструментом для эксплуатации уязвимостей служит sslstrip. Нам нужно лишь пропустить через него весь выходящий трафик, и во многих случаях мы сумеем навредить пользователю. Конечно, мы можем просто использовать самоподписанный сертификат, и заглянуть в SSL-трафик, проходящий через узел. Легко!
Подсадим браузеры на BeEF
Разглядев подробности трафика, можно приступать к вредительству. Например, можно использовать фреймворк BeEF, чтобы получать контроль над браузерами. Затем можно задействовать функцию из Metasploit «browser autopwn», в результате чего хост будет скомпрометирован, а мы получим возможность выполнять на нём команды. Приехали.
Бинарники с чёрным ходом
Допустим, через наш узел качают бинарники – ПО или обновления к нему. Иногда пользователь даже может не подозревать о том, что обновления скачиваются. Нам нужно всего лишь добавлять к ним чёрный ход посредством инструментов вроде The Backdoor Factory. Тогда после выполнения программы хост окажется скомпрометированным. Снова приехали.
Как поймать Уолтера Уайта
И хотя большинство выходных узлов Tor ведут себя прилично, не так уж и редки случаи деструктивного поведения некоторых из них. Все атаки, о которых мы говорили в теории, уже имели место.
К частью, разработчики подумали и об этом, и разработали меру предосторожности, направленную против использования клиентами плохих выходных узлов. Она работает как флаг в консенсусе под названием BadExit.
Для решения задачи отлова плохих выходных узлов разработана хитрая система exitmap. Работает она так: для каждого выходного узла запускается модуль на Python, который занимается логинами, скачиванием файлов, и прочим. Результаты его работы затем записываются.
exitmap работает с использованием библиотеки Stem (предназначенной для работы с Tor из Python), помогающей строить схемы для каждого выходного узла. Просто, но эффективно.
Exitmap была создана в 2013 году в рамках программы «испорченные луковицы». Авторы нашли 65 выходных узлов, меняющих трафик. Получается, что хотя это и не катастрофа (на момент работы всего существовало порядка 1000 выходных узлов), но проблема достаточно серьёзная для того, чтобы отслеживать нарушения. Поэтому exitmap по сей день работает и поддерживается.
Эта проблема свойственна не только Tor
Важно отметить, что это проблема не одного лишь Tor. Между вами и фотографией котика, на которую вы хотите посмотреть, и так расположено достаточно много узлов. Достаточно лишь одного человека с враждебными намерениями, чтобы причинить немало вреда. Лучшее, что тут можно сделать – принудительно включать шифрование, где возможно. Если трафик нельзя распознать, его нельзя легко изменить.
И помните, что это лишь пример плохого поведения операторов, а не норма. Подавляющее большинство выходных узлов очень серьёзно относятся к своей роли и заслуживают большой благодарности за все риски, которые они берут на себя во имя свободного распространения информации.
Читайте также: