Politie-inval bij Tor-gebruiker wegens IP-adres
Agenten van de Amerikaanse Immigration en Customs Enforcement (ICE) hebben een huiszoeking bij een Tor-gebruiker uitgevoerd, alleen op basis van een IP-adres. Tor is anomiseringsnetwerk, dat internetgebruikers anoniem laat surfen en uit een keten van computers over de hele wereld bestaat. Het IP-adres dat bij een strafzaak zou zijn betrokken, werd getraceerd naar het huis van Nolan King, die een Tor exit relay draaide. Een exit relay is de laatste computer waardoor het Tor-verkeer gaat voordat het de eindbestemming bereikt. De bestemming ziet daardoor als enige het IP-adres van de exit relay, ook al is dit niet degene die als eerste de website heeft opgevraagd.
Volgens burgerrechtenbeweging Electronic Frontier Foundation (EFF) is het waarschijnlijk de eerste keer in de Amerikaanse geschiedenis dat politie een Tor exit relay in beslag neemt. In totaal namen de agenten zes harde schijven mee. De EFF sprak met ICE en legde de overheidsinstantie uit dat King een Tor exit relay draaide, iets wat ook op de website van Tor is terug te vinden. ICE gaf uiteindelijk de harde schijven terug en waarschuwde King dat "het weer een keer kon gebeuren". Inmiddels heeft de instantie laten weten dat King niet meer verdacht is en dat er geen gegevens van de harde schijven zijn gekopieerd.
Legaal
De EFF is van mening dat het draaien van een Tor exit relay legaal is en dat dit soort huiszoekingen zowel onnodig als te voorkomen zijn. Iets waar zowel politie als de beheerders van de relay verantwoordelijk voor zijn. "Ten eerste, een IP-adres identificeert niet automatisch een verdachte", aldus de burgerrechtenbeweging. Een huiszoeking die alleen op een IP-adres is gebaseerd, heeft daarom grote kans kostbare tijd en middelen te verspillen, in plaats van waardevolle informatie op te leveren.
Politie zou daarnaast eerst het IP-adres moeten controleren of het geen publieke exit relay is, die ze op de Tor website of via de ExoneraTor tool kunnen vinden. Verder adviseert EFF om exit relays in een Tor-vriendelijke "commerciële faciliteit" te draaien, in plaats van thuis. Daardoor wordt de kans kleiner dat er agenten voor de deur staan. Ook zouden beheerders een reverse DNS voor het IP-adres moeten instellen, zodat het duidelijk is dat de computer als exit relay fungeert.
TOR wordt veelal door de EFF geprezen omdat het vrije communicatie mogelijk maakt - de 'onderdrukten' kunnen hun mening uiten zonder dat de overheid meeluistert.
Ik vermoed echter dat het merendeel van de TOR gebruikers helemaal niet onderdrukt is, maar TOR gewoon ziet als een prima manier om ongestraft te kunnen hacken en spammen. Dat een ander (die wel zo aardig is een exit node te draaien) daar dan onder leidt wordt als zeer vervelend ervaren - ze moeten immers op zoek naar een nieuw 'slachtoffer' met exit node!
Pure intimidatie, ook om andere beheerders van exit nodes af te schrikken. Indien je bij de verkeerde persoon een inval doet, dan moet je je excuses aanbieden, en je huiswerk beter doen.
Het is gewoon mogelijk een bepaalde exitnode op te geven, dit is vrij makkelijk zelfs. Op deze manier kun je bijvoorbeeld via een bepaald land het internet op.
Tor wordt veel gebruikt voor minder legale zaken, dat is algemeen bekend. Als jij een exit-node draait dan weet je dat jouw ip vroeger of later naar boven zal komen in een politie-onderzoek. Je moet dan niet gaan klagen als je op een dag geconfronteerd wordt met een huiszoekingsbevel. Als je daar niet toe bereid bent: wordt geen exit-node.
Dan kan je net zo goed je pc infecteren met een rootkit (m.a.w. daar kom je misschien beter mee weg).
Als je exit node wordt, moet je ook de consequenties kennen.
Overigens heeft Tor een aantal beperkingen waardoor veel hack trucs niet werken. Zo kun je bijvoorbeeld alleen maar correct geformatteerd TCP/IP verkeer over Tor transporteren. Malformed TCP/IP kun je vergeten. Ook blokkeert de default configuratie standaard SMTP.
Bovendien hebben ze zelf toegegeven dat er geen verdachte situatie meer was, maar konden hun "acties" wel "herhalen"
De vraag rijst dan of ze niet zelf buiten hun boekje zijn gegaan..
Natuurlijk kunnen ze het herhalen: de volgende keer dat zijn IP opduikt bij een onderzoekt is hij weer verdacht. Ze waarschuwen hem alleen dat hoewel zijn acties legaal zijn, ze wel verdenking kunnen oproepen. Het is legaal om kunstmest en diesel te kopen, als je het in grote hoeveelheden doet bestaat er een kans dat je beschouwt gaat worden als potentiele terrorist.
Tor wordt veel gebruikt voor minder legale zaken, dat is algemeen bekend. Als jij een exit-node draait dan weet je dat jouw ip vroeger of later naar boven zal komen in een politie-onderzoek. Je moet dan niet gaan klagen als je op een dag geconfronteerd wordt met een huiszoekingsbevel. Als je daar niet toe bereid bent: wordt geen exit-node.
En ja, ik draai zelf ook een TOR-exit node. En nee, ik log niet. En ja, ik heb alle tips van het EFF opgevolgd die hierboven ook in het artikel genoemd staan. En nee, ik doe niet echt noemenswaardig illegale dingen op internet. Niets erger dan het digitale equivalent van een kleine snelheidsovertreding, maar dat zal het gros van de mensen al snel hebben.
@Anoniem (14:09)
Je kunt als exit-node best goed afregelen wat er wel en niet mag, op poort-niveau. Bij mij wordt al het verkeer gereject, behalve op de volgende poorten:
ExitPolicy accept *:80
ExitPolicy accept *:8080
ExitPolicy accept *:8118
ExitPolicy accept *:443
ExitPolicy accept *:8443
ExitPolicy accept *:143
ExitPolicy accept *:110
ExitPolicy accept *:465
ExitPolicy accept *:587
ExitPolicy accept *:993
ExitPolicy accept *:995
Tor wordt veel gebruikt voor minder legale zaken, dat is algemeen bekend. Als jij een exit-node draait dan weet je dat jouw ip vroeger of later naar boven zal komen in een politie-onderzoek. Je moet dan niet gaan klagen als je op een dag geconfronteerd wordt met een huiszoekingsbevel. Als je daar niet toe bereid bent: wordt geen exit-node.
En ja, ik draai zelf ook een TOR-exit node. En nee, ik log niet. En ja, ik heb alle tips van het EFF opgevolgd die hierboven ook in het artikel genoemd staan. En nee, ik doe niet echt noemenswaardig illegale dingen op internet. Niets erger dan het digitale equivalent van een kleine snelheidsovertreding, maar dat zal het gros van de mensen al snel hebben.
@Anoniem (14:09)
Je kunt als exit-node best goed afregelen wat er wel en niet mag, op poort-niveau. Bij mij wordt al het verkeer gereject, behalve op de volgende poorten:
ExitPolicy accept *:80
ExitPolicy accept *:8080
ExitPolicy accept *:8118
ExitPolicy accept *:443
ExitPolicy accept *:8443
ExitPolicy accept *:143
ExitPolicy accept *:110
ExitPolicy accept *:465
ExitPolicy accept *:587
ExitPolicy accept *:993
ExitPolicy accept *:995
Op poort-niveau verkeer regelen valt niet onder "best goed", het is beter dan niets, maar daar blijft het bij. Als je mail toestaat kan je niet voorkomen dat er iemand via jouw IP spamt, als je http(s) toestaat kan je niet voorkomen dat iemand via jouw IP dreigtweets plaatst of kidnderporno download om maar eens een paar ernstige zaken te noemen.
Als je een open wifi hotspot draait, zoals NS/t-mobile, Mcdonalds of KPN, voorkom je ook niet dat iemand via een dergelijk IP adres dreigtweets plaatst of kinderporno download. Ik doe beveilliging voor een netwerk met (minimaal) twee TOR exit nodes. Wat ik langs zie komen, zijn de gebruikelijke klachten over besmette machines. Ik kan me niet herinneren dat er in al die jaren iets ernstigers naar voren is gekomen. Zelfs geen zaken als ssh-scans, iets waar me TOR best wel geschikt voor lijkt als je verborgen wilt blijven. Is waarschijnlijk ook goedkoper dan het huren van een botnet om de scan uit te laten voeren.
Peter
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
