FBI: Silk Road-server gevonden via CAPTCHA-blunder
De FBI heeft vorig jaar de server van de online drugsmarktplaats Silk Road niet met hulp van de National Security Agency (NSA) weten te vinden, maar dankzij een CAPTCHA-blunder, zo blijkt uit documenten, maar één expert twijfelt aan de uitleg van de Amerikaanse opsporingsdienst.
De documenten waren opgevraagd door advocaten van Ross Ulbricht, de vermeende uitbater van de marktplaats. Volgens de advocaten zou de FBI ongeoorloofde opsporingsmethodes hebben toegepast om de server te vinden. De Silk Road werd aangeboden via het Tor-netwerk, waardoor het IP-adres van de webserver werd afgeschermd. Op de inlogpagina van de Silk Road was echter een CAPTCHA geplaatst die spam op de website moest voorkomen. Deze CAPTCHA draaide vanaf dezelfde webserver.
Inlogpagina
Een fout in de inlogpagina zou ervoor hebben gezorgd dat de CAPTCHA het echte IP-adres van de server weergaf, zo blijkt uit documenten waar IT-journalist Brian Krebs en Wired over schrijven. Beveiligingsonderzoeker Nik Cubrilovic heeft hier zijn twijfels over. "Het idee dat de CAPTCHA vanaf een live IP-adres werd aangeboden is ongeloofwaardig. Als dit het geval was geweest had niet alleen ik dit opgemerkt, maar ook alle andere mensen die de Silk Road-site in de gaten hielden.
Vanwege alle bitcoins die bij de website waren ondergebracht was het een website die zowel de aandacht van "white" als "black" hats had. Cubrilovic kan zich ook niet in de theorie vinden dat de FBI het echte IP-adres wist te vinden door naar opgevangen netwerkpakketjes te kijken. Ook dit zou door veel meer mensen en veel eerder zijn ontdekt. De onderzoeker denkt dan ook dat de FBI een informatie-lek of exploit in de inlogpagina ontdekte, net zoals eerder door andere mensen was gedaan.
De Silk Road zou een verleden van beveiligingslekken hebben die door gebruikers waren ontdekt. Cubrilovic stelt dat de FBI een goede reden heeft om niet te vertellen dat er bugs zijn gebruikt of de server op een bepaalde manier is gemanipuleerd, aangezien dit vragen zou oproepen over hoe legaal de acties waren bij het achterhalen van het IP-adres. "Wat we wel weten is dat hun omschrijving van "packet sniffing" voor het vinden van het IP-adres via een "lek" onmogelijk is", zo concludeert hij.
Of andersom: hier zie je een stel criminelen die zich (dus) niet aan de regels houden, die erover klagen dat "de anderen" zich ook niet aan de regels houden... Toch mooi dat je je als drugsdealer en wapenhandelaar in een slachtoffer rol weet te praten.
Dit is extra belangrijk want als zij laten zien dat ze niet te vertrouwen zijn hebben we niemand meer die het volk nog zal vertrouwen zich tegen misdadigers* beschermen, en zo komen we weer uit bij eigenrichting. Een klein beetje doordenken en je ziet vanzelf waarom je dit niet zomaar kan omdraaien.
Het is echt belangrijk dat de lange arm der wet niet zelf boven de wet denkt te staan.
* Dan denk ik vooral aan geweldplegers, afpersers, en dergelijke. Mensen die met handelswaar een markt voorzien vallen daar wat mij betreft niet onder, zeker zolang anderen daar geen last van hebben. Liever legale en gereguleerde drugs dan alle criminaliteit en ongein die oprijst wanneer je drugs illegaliseert. Waarmee ik dus eerder drugshandel zou legaliseren dan wapenhandel, waar dat in de VS toch net andersom ligt.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
