Enquanto a rede de anonimato Tor esconde com relativo sucesso, a localização e as atividades que um usuário desempenha na Internet, esses devem estar cientes que a criptografia que o navegador Tor oferece não é end-to-end e portanto, todo o tráfego pode ser visto pelos chamados “nós de saída” operacionais. Uma vez que seja impossível para o projeto Tor verificar se todos aqueles que operam nós de saída são operadores realmente éticos, que tem interesse apenas em ajudar as pessoas ao redor do mundo, as sinalizações de nós de saída classificadas como “bad”, acontecem apenas em situações em que eles são, obviamente, mal configurados ou alguém – normalmente um pesquisador – descobre que eles estão tentando manipular o tráfego. Sempre lembrando que Tor é um software de segurança de código aberto muito famoso pela sua utilização para acesso anônimo, acessar serviços ocultos (navegar na chamada Deep Web ou Darknet) porém, mais comumente, usado ​​como uma maneira de acessar a Internet regularmente de forma anônima, e de uma forma que pode apresentar uma certa resistência à vigilância.

Testes com “Nós de Saída” e Utilização de Honeypot

Em meio a isso, um pesquisador de segurança que atende pelo nome de Chloe, recentemente testou cerca de 1.400 nós de saída do Tor através da criação de um site de phishing Bitcoin-theme, através de uma página de login, além de utilizar combinações de usuário/senha únicos, a cada vez que ela (ele?) utiliza nós diferentes para visitar e fazer login no referido site. Isto permitiu a Chloe, verificar se alguém que estivesse operando um nó de saída do Tor, tentaria usar as credenciais de login que eles recolhem a partir de tráfego não encriptado. Em pouco mais de um mês, cerca de 1.400 nós foram testados mais de 95 vezes. Nesse período, houve 12 tentativas de acesso sem sucesso (com uso de senha errada), e 16 tentativas bem-sucedidas utilizando as senhas únicas (e essas tentativas não foram feitas por Chloe). As senhas usadas permitiram que Chloe identificasse qual os nós de saída que, obviamente, os operadores haviam utilizado, com referência a um sniffing de tráfego que passa por ele, e assim, comunicá-los ao projeto Tor. Ainda assim, alguns desses nós ainda estão ativos até hoje e não tem sido marcados como “bad”. Finalmente, é bom salientar que também é possível que haja mais operadores espiões do que o evidenciado – talvez alguns estivessem apenas interessados em acessar esse site de phishing particular.

Qualquer um pode criar um nó de saída e devido a ele estar no lugar onde o tráfego é decriptografado, qualquer pessoa que executa um nó de saída pode ler o tráfego que passa por ele. Nós de saída considerados “bad” são inteiramente possíveis, então, vem uma má notícia. Se eles existem, como é que podem ser encontrados? Exatamente por isso que Chloe criou um site falso, com uma lista completa dos nós de saída e, em seguida, conectou ao site honeypot várias vezes através da rede Tor, usando um nó de saída diferente e uma senha única a cada vez. De forma primordial, os nomes de usuário e senhas foram enviadas através de HTTP ao invés de HTTPS criptografado para quando as camadas criptográficas do Tor forem descobertas, eles ficassem visíveis no fluxo de tráfego.

Senhas, Espionagem e Resultados

As senhas não foram armazenadas em qualquer lugar e eram demasiadamente difíceis de adivinhar; se elas foram realmente roubadas, isso foi feito por alguém bisbilhotando em modo “on-the-wire”. Além do mais, a percentagem de testes que experimentou um log extra durante essas tentativas foi muito pequena (cerca de 0,015%) e é possível que os resultados sejam irrelevantes devido a outros fatores tais como espionagem ou mesmo a realização de testes para a detecção de erros. Dessa forma, podemos concluir que a pesquisa de Chloe é interessante, mas não é exatamente uma arma perigosa. Em face disso, é importante lembrar que em 2007, houve a configuração de apenas cinco nós de saída do Tor e eles foram usados para interceptar milhares de e-mails privados, mensagens instantâneas e credenciais de contas de e-mail. Dentre as vítimas dessa investida, estavam as embaixadas da Austrália, Japão, Irã, Índia e Rússia, o Ministério das Relações Exteriores do Irã, o Ministério da Defesa da Índia e o Gabinete de Ligação do Dalai Lama. Dessa maneira, foi concluído que as pessoas estavam usando o Tor, na crença equivocada de que era uma ferramenta de criptografia “end-to-end”.

Com informações de Net-Security e Under-Linux.