Под молотом TORа: анонимность в даркнете оказалась мифом

Самый известный браузер даркнета — TOR — не может гарантировать анонимность пользователей. Об этом «Известиям» рассказали ведущие российские специалисты по кибербезопасности. Они уверены, что при действующей архитектуре интернета с адресной системой создать браузер, через который неизвестному получателю отправлялись бы письма, запросы или трафик, нельзя. Многие считают, что установка соединения через TOR — это возможность абсолютно безопасно дрейфовать по просторам Сети, читая запрещенную литературу, просматривая контент 18+, общаясь на закрытых форумах или покупая товар, представленный только в теневом интернете. Однако внутри этой системы имеются «метки», и они могут быть перехвачены. При этом многие эксперты отмечают, что деанонимизировать пользователя TOR очень сложно и пока этот браузер остается эффективным способом сохранить инкогнито.

100 одежек

Анонимность достигается посредством перекидывания шифрованных соединений через три случайно выбранных системой узла. То есть, чтобы попасть из точки А в точку В, шифрованные соединения проходят через компьютеры — посредники, доступ к которым осуществляется, благодаря добровольцам, согласным отдать немного трафика для всеобщей анонимизации. Любой пользователь, настроив клиент TOR, может превратить свой ПК в ноду, то есть в элемент цепочки сети. Обычно в стандартной цепи три ноды.

Первая уязвимость

— Так как интернет — это адресная система, создать такой браузер, через который отправлялся бы запрос неизвестно от кого, а потом возвращался бы ответ неизвестно кому, невозможно, — объясняет ведущий аналитик российской компании-производителя программного обеспечения для защиты от утечек информации «СёрчИнформ» Алексей Парфентьев. — Конечная нода, которая выпускает запрос в интернет, обязана всё видеть в незашифрованном виде. Для нее всё прозрачно. Получается, что TOR — это анонимайзер для внешнего наблюдателя, — например, для провайдера или спецслужб, но не для участника Сети. Стоит ли говорить, что таким образом можно получать информацию о ком и о чем угодно.

Логику работы системы, которая имеет уязвимость в виде последней ноды, подтвердил «Известиям» и специалист международной компании, специализирующейся на предотвращении и расследовании преступлений с использованием высоких технологий Group-IB Антон Фишман.

— TOR — это фактически VPN. Действительно, выходная нода знает, куда идет пакет, и передает расшифрованное сообщение. Так что эта сеть не обеспечивает конфиденциальность, — пояснил он. — Если выходная нода находится под контролем злоумышленника и через нее передаются незашифрованные данные (логины-пароли в тексте страницы http, например), киберпреступники могут получить к ним доступ. Поэтому современные сайты используют защищенный протокол передачи данных htpps, а мессенджеры и другие сервисы — шифрование «точка-точка».

Однако источник из хакерских кругов пояснил «Известиям», что в настоящее время существуют специальные программы, которые дают возможность, при желании, стать звеном в цепочке передачи данных. С помощью таких программ подделывается сертификат, и в этом случае злоумышленник получает секретный ключ. Таким образом, можно перехватить и сложное шифрование, которым является протокол htpps.

Кроме того, вычислительные мощности всё время увеличиваются, что даст возможность в скором времени просто подобрать ключ к htpps.

Вторая уязвимость

Еще один момент, который вызывает критику специалистов, — отсутствие каких-либо сертификатов безопасности или свидетельств независимых экспертов, которые разобрались бы в исходном коде программы.

— Несмотря на то что TOR — это свободно распространяемое ПО на открытом исходном коде, на самом деле подавляющее число пользователей — это люди, которые зашли на сайт и скачали скомпилированную версию, — отметил Алексей Парфентьев. — Никто исходный код этой версии не видел, не проверял ее на возможные закладки, бэкдоры и т.д. С моей точки зрения, нельзя вести речь о защите, не разобравшись в исходном коде, а это — довольно трудозатратная и долгая процедура, которая рядовым пользователям просто не под силу. Возникает забавная ситуация, когда используется скомпилированная и по факту никем не проверенная версия, безопасность которой принимается на веру просто потому, что «где-то там» можно скачать исходный код, а значит, ПО безопасно.

Действительно, любое ПО, связанное с защитой данных, обычно подвергается серьезной проверке специалистов. Например, для того чтобы отечественную операционную систему Astra Linux Special Edition позволили применять для обработки информации с грифом «особой важности», разработчикам нужно было получить сертификат Федеральной службы по техническому и экспортному контролю. Кроме этого, система также получила сертификаты безопасности от Минобороны и ФСБ.

TOR ни одну из подобных проверок не проходил.

Третья уязвимость

Еще одна уязвимость, которая часто бывает недооценена пользователями, — это абсолютное отсутствие защиты от вредоносных атак. Однако многие считают, что вирусы не найдут исходного клиента из-за лукового роутера.

— Разработчики основных коммерческих браузеров активно занимаются безопасностью, блокированием подозрительных страниц, исправлением уязвимостей, позволяющих вредоносному коду на посещаемых страницах заражать компьютеры, — рассказал «Известиям» старший антивирусный эксперт Лаборатории Касперского Сергей Ложкин. — TOR в этом направлении не так активен. И если злоумышленники взломают страницу в теневом интернете, на которую пользователь зайдет с помощью «дырявой» версии TOR (а их много), то они смогут успешно атаковать компьютер и деанонимизировать пользователя.

Страницы с вредоносной инструкцией не редки на «луковых» сайтах. Внешне отличить ее от обычной невозможно, однако, они успешно выполняют заложенные злоумышленниками инструкции.

Уровень государства

Есть также возможность деанонимизировать пользователя, построив надсистему, которая сможет контролировать трафик всех нод.

— Существует теоретическая возможность построить глобальную технологию, которая позволила бы сравнивать трафик на уровне разных стран, — говорит Сергей Ложкин. — В этом случае можно вычислить, как шел сигнал и идентифицировать первоначального пользователя. Но вообще на сегодняшний день деанонимизировать пользователя TOR очень сложно, если вообще возможно, и эта система, к счастью или сожалению, остается эффективным инструментом анонимизации в Сети.

Действительно, для осуществления деанонимизации необходимы значительные вычислительные и пропускные ресурсы, то есть уровень государства, считает заместитель руководителя лаборатории компьютерной криминалистики Group-IB Сергей Никитин.

— Например, всем нам известны атаки, когда на выходные ноды на магистральные каналы связи ставят мощнейшие серверы, чтобы собрать как можно больше данных с целью попыток последующих использований (пароли, тайминг атаки и т.д.), — пояснил он. — Кроме того, существуют банальные ошибки конфигурации серверов внутри сети TOR и недостаточная настройка клиентов TOR (разрешение выполнения скриптов и так далее), которые сводят на нет все технические средства защиты. Но полноценное раскрытие всего канала связи через все ноды, для конкретного клиента, это скорее теоретическая возможность.

Впрочем, добавляет эксперт, различные типы атак, которые направлены на деанонимизацию пользователей, уже давно известны и их теоретическая основа подробно описана. То есть полная анонимность главного теневого браузера — это миф. Однако важным фактором является заинтересованность в том, чтобы найти того или иного пользователя, а также готовность профинансировать этот поиск.

Анна Урманцева