Onderzoekers "kapen" Tor-netwerk
Onderzoekers laten deze week een methode zien hoe ze een groot deel van het Tor-netwerk kunnen overnemen. Tor is een netwerk dat gebruikers anoniem laat internetten. Eric Filiol, Oluwaseun Remi-Omosowon en Leonard Mutembei hebben een manier ontdekt hoe ze via een dynamische cryptografische backdoor en zwakheden in de protocollen die het Tor-netwerk gebruikt, verschillende aanvallen kunnen uitvoeren. "De aanvallen zijn vooral afhankelijk van het feit dat de door Tor gebruikte cryptografie zwak is geïmplementeerd", aldus Filiol, die samen met zijn mede-onderzoekers tijdens de achtste editie van Hackers to Hackers spreekt.
Bij Tor zijn ze niet echt over het onderzoek te spreken. De onderzoekers wilden niet met Tor samenwerken om mogelijk gevonden problemen op te lossen. Ook kreeg het anonimiseringsnetwerk geen informatie over het onderzoek. Daardoor kan er alleen worden gereageerd op de verhalen die in media zijn verschenen. "Er is hier niet veel te vertellen. Eric heeft geweigerd om op een verantwoorde wijze met ons te praten", zegt Andrew van het Tor Project. Hij denkt dat de onderzoekers malware hebben ontwikkeld om het geheugen uit te lezen of problemen met Windows te misbruiken om zo de cryptografische sleutels te achterhalen.
Onverantwoord
In een blogposting gaat het Tor Project dieper op de materie in. Maar veel valt er nog niet te zeggen, aangezien de details nog altijd onbekend zijn. "Eric en zijn onderzoekers hebben ons nog niets over de aanval verteld. Ze hebben niet met ons gepraat, geen gegevens gedeeld, ondanks verschillende mailwisselingen waar we hem hebben herinnerd aan de term 'responsible disclosure'."
Vervolgens worden verschillende mogelijke scenario's besproken hoe de aanvallers mogelijk delen van het netwerk konden kapen of gebruikers konden aanvallen. Phobos van het Tor Project merkt op dat er twee lessen te leren zijn. Ten eerste ontwikkelt het onderzoek om anonimiteit te kraken zich steeds verder, waarbij Tor een geliefd doelwit is. Tor is namelijk bestand tegen veel van de eenvoudigere aanvallen en het maakt het ook eenvoudig voor onderzoekers om onderzoek te doen.
Ten tweede zijn veel andere anonimiteitssystemen veel kwetsbaarder voor dit soort aanvallen en zullen daardoor eerder sneuvelen, waardoor er niet eens meer over wordt gesproken.
zodat ze niet gevonden kunnen worden,anoniem mailen via tor gaat makkelijker.
kunnen ze binnen no time een mail systeem opzetten via een webform om zo in contact te komen zonder dat ze een gmail account aan hoeven te maken zoiets als mailinator.com maar dan voor een week zeg maar.
Dit is wat naval research lab wil tegenhouden o.a zodat criminelen geen kans zien om deze methode te handhanven.
Tegenhouden dus.
Wat heet anoniem, wanneer je werkt via een exit node welke wordt gemonitored. Wellicht dat je je IP adres kan verhullen, maar dat voorkomt niet, zolang de verbinding niet versleuteld is, dat anderen kunnen meelezen en/of credentials kunnen onderscheppen. Een terrorist die TOR gebruik voor email communicatie vraagt erom om opgemerkt te worden (afhankelijk van de gebruikte exit node).
"Dit is wat naval research lab wil tegenhouden o.a zodat criminelen geen kans zien om deze methode te handhaven. Tegenhouden dus."
Het NRL heeft juist geinvesteerd in het TOR project, en heeft daarmee dus juist bijgedragen aan de mogelijkheid om deze dienst aan te bieden. Wat mogelijk hun beweegreden was, was dat zij exit nodes kunnen monitoren, en zo interessante traffic kunnen onderscheppen.
Wat dat betreft is TOR volgens mij van meet af aan een project ten behoeve van intelligence gathering, en wat dat betreft is het misschien juist de bedoeling dat criminelen, terroristen en andere 'interessante personen' gebruik maken van deze dienst.
groetjes jefdom ps het NRL zal echt wel een agenda betreffende TOR hebben en uitvoeren.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
