Zero day-aanval op Tor Browser was voor één persoon bedoeld
De zero day-aanval op Tor Browser die vorig jaar november werd ontdekt was voor één persoon bedoeld, zo stelt Logan Brown, directeur van Exodus Intelligence, het bedrijf dat de Tor Browser-exploit aan een overheidsinstantie leverde. De aanval was tegen een gebruiker van een kinderpornosite gericht.
Volgens Brown klopte de overheid bij hem aan omdat ze een bepaald iemand wilde oppakken. "Het was nooit onze intentie dat gebruikers hierdoor getroffen zouden worden", aldus Brown tijdens een paneldiscussie van Mozilla en het Stanford Center for Internet and Society. Brown stelt dat hij vond dat de verdachte die werd gezocht een "slecht persoon" was en besloot daarom de exploit voor het onbekende lek in Tor Browser te leveren. Via de aanval kon het werkelijke ip-adres van Tor Browser-gebruikers worden achterhaald. De browser is juist ontwikkeld om het ip-adres van gebruikers te beschermen.
Zes uur nadat het bedrijf de exploit had geleverd werd de verdachte opgepakt. De manier waarop de overheidsinstantie de zero day-aanval echter gebruikte was volgens Brown roekeloos en onverantwoord, waardoor het bestaan van de kwetsbaarheid in de openbaarheid kwam. Aanleiding voor Exodus Intelligence om niet meer met deze niet nader genoemde overheidsinstantie samen te werken. In het geval van het zero day-lek in Tor Browser besloot Exodus Intelligence na het openbaar worden samen met Mozilla aan een oplossing te werken. In de onderstaande video van de paneldiscussie gaat Brown rond de 48 minuten in op de zaak over de Tor Browser-exploit.
Jammer dan toch dat een heleboel groten, die het fenomeen aanvoeren, buiten beeld worden gehouden. Vaak tot na hun dood.
Denken we aan een 'roofdier' als Jimmy Saville en Ted Heath. Zij werden met opzet beschermd door kringen die het aansturen, terwijl kleinere vissen, als C-klasse artiesten, zoals Garry Glitter, bijvoorbeeld voor de bijl gingen en werden opgeofferd om de aandacht van de werkelijke problemen af te leiden.
Als de 'grootgebruikers' van dit soort "rotzooi" en de pedo-p**iers niet worden aangepakt, blijft het misbruik voortduren.
Een beetje symptoombestrijding, waar we het hier over hebben, is goed, dat laat ik onverlet, maar is niet de definitieve oplossing.
Dan kan ik me niet aan de indruk ontdekken dat het aanvallen van tor meer ten dienste van algemene surveillance is en de bijvangsten dik worden uitgemeten. Het elitaire Satanische misbruik kringetje blijft echter buiten schot en blijkt goed beschermd te zijn.
Het valt me nog mee dat er überhaupt Tor gebruikers over zijn. Na het opdoeken van Freedom Hosting, het meermalen neerhalen van Silk Road en het de-annonimiseren van de gebruikers zouden ze toch beter moeten weten? Als je echt wat te verbergen hebt wil je al jaren niet op Tor zitten.
Natuurlijk houden ze het klein. "We willen één gebruiker pakken" ipv "we willen alle gebruikers pakken'. De vraag die je jezelf moet stellen is : hoe krijg ik het IP adres van iemand die ik niet ken? Ze wisten dat de man op een kp site rondhing die in het onion netwerk staat, dus het makkelijkste is de Tor site hacken en er een exploit op zetten. Zodra de gebruiker komt, haalt deze ongewild de exploit binnen. Die geeft weer het IP adres van de gebruiker aan de opsproringsdienst.
Echter, iemand die je niet kent valt niet specifiek te targetten. Dus iedereen haalt de exploit op. En er zullen er meer zijn waarbij het lek bestaat. Als het echt een zero day is zouden ze wel eens bijna allemaal gemeld kunnen worden.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
