Um pesquisador de segurança cibernética revelou duas vulnerabilidades no projeto de privacidade Tor, que podem facilitar a detecção de tráfego de rede e revelar de forma única quem utiliza esta ferramenta.
Neal Krawetz, pesquisador com vasta experiência em segurança cibernética, publicado em seu blog dois erros ou vulnerabilidades detectadas no projetaro Portão, que tem como foco garantir a privacidade de seus usuários, ou pelo menos é isso que eles querem que acreditemos. Em sua postagem, Krawetz indica que o Tor foi projetado para contornar a censura da rede e evitar a vigilância, oferecendo assim um alto nível de segurança e privacidade para seus usuários. Porém, o pesquisador aponta duas explorações recentes que destroem as propriedades de privacidade e segurança oferecidas por seus desenvolvedores, ao permitir que usuários do Tor sejam detectados na rede.
Um dos problemas detectados por Krawetz indica isso; é possível detectar a largura da barra de rolagem personalizada do navegador que o projeto normalmente recomenda para uso no Tor. Este erro permite que um servidor rastreie o sistema operacional subjacente e, portanto, os usuários, para que a vigilância da rede não seja evitada. Em segundo lugar, o pesquisador aponta outro exploit que permite que empresas, prestadores de serviços, entre outros, bloqueiem a conexão direta de usuários à rede Tor; outra exploração que não impede a censura do usuário na rede.
Embora as publicações de Krawetz sejam recentes, o pesquisador ressalta que há vários anos vem informando os desenvolvedores do Tor sobre as vulnerabilidades que detectou. Para isso, forneceu evidências confiáveis que demonstram a existência desses erros, embora os desenvolvedores não os tenham tomado, em sua maioria, como informações sérias para solucionar as explorações.
Você pode estar interessado: Ledger relata um hack que vazou informações de clientes nos últimos dois meses
Tor não permite navegação totalmente anônima
Para os amantes da privacidade, por direito, decisão ou necessidade, a rede Tor se destaca como uma opção que oferece completo e total anonimato aos seus usuários na navegação na rede. No entanto, Krawetz comenta que:
“Muitos usuários pensam que o Tor os torna anônimos. Mas os usuários do Tor podem ser rastreados online; Eles não são anônimos.”
Isto é o que Krawetz apontou na sua recente publicação, mas ele não é o único que expressa esta situação. Há vários anos que empresas e investigadores têm apontado as vulnerabilidades da rede de “privacidade”, argumentando que estes serviços não são tão anónimos ou inquebráveis como muitos muitas vezes acreditam.
O Tor foi projetado como uma opção segura e fácil de usar para quem deseja navegar na Internet com segurança e privacidade, protegendo seus dados pessoais em todos os momentos. E embora o objetivo dos desenvolvedores tenha sido alcançado no início, também é verdade que há anos a rede enfrenta diversas vulnerabilidades de segurança, que foram detectadas e alertadas por especialistas, mas que em muitas ocasiões foram ignoradas pelos responsáveis pelo projeto . embora afirmem que não.
Apesar disso, até o momento, muitos usuários ainda consideram o Tor uma das opções mais seguras do mercado para proteger sua privacidade e a de seus dados.
Vulnerabilidades detectadas no Tor
Conforme mencionado no início, as publicações recentes de Krawetz apontam dois erros presentes na rede Tor que permitem a detecção de tráfego na rede, bem como o rastreamento e bloqueio de usuários. Da mesma forma, em 2015, outro bug foi descoberto na rede; aquele relacionado à atribuição dos nós HSDir que são usados para conectar usuários a páginas da web.
Desenvolvedores e pesquisadores Filippo Valsorda y George Tankersley detectou a vulnerabilidade, explicando que as conexões dos nós eram previsíveis, razão pela qual qualquer invasor experiente poderia se passar por um dos nós HSDir aos quais um site se conectaria, para acessar os dados do servidor e dos usuários conectados.
Naquela época, os desenvolvedores do projeto Tor anunciaram que estavam trabalhando em uma nova geração de nós HSDir para solucionar a vulnerabilidade e, da mesma forma, notaram que se um usuário executasse aquele ataque ele seria detectado na rede.
Nesse mesmo ano, pesquisadores do Kaspersky Lab Eles também apontaram que o Tor tinha certas vulnerabilidades e erros que não permitiam o anonimato completo nesta rede. Além disso, uma investigação realizada pela Instituto de Tecnologia de Massachusetts (MIT) e o Instituto de Pesquisa em Computação do Catar (QCRI) Eles também revelaram um vulnerabilidade no Tor, que expõe as identidades e localizações dos usuários que utilizam essa rede para tentar ocultar suas atividades.
Mais recentemente, outra vulnerabilidade foi descoberta em maio deste ano que quebra um dos principais recursos de privacidade e segurança da rede ao permitir a execução de código JavaScript em sites cuja execução os usuários haviam anteriormente bloqueado. Krawetz também detectou esta vulnerabilidade e tentou alertar os desenvolvedores sobre o bug encontrado.
“Há mais de três anos, tentei relatar uma vulnerabilidade no navegador personalizado usado pelo Projeto Tor. O erro é bem simples: usando JavaScript você pode identificar a largura da barra de rolagem. Cada sistema operacional possui um tamanho de barra de rolagem diferente, para que um invasor possa identificar o sistema operacional subjacente. “Este é um atributo distinto que pode ser usado para ajudar a rastrear exclusivamente os usuários do Tor.”
Krawetz afirma que escreveu um blog com detalhes sobre o bug e que os desenvolvedores consideraram o bug como “alta prioridade” atribuindo-lhe o número 22137, e eles imediatamente começaram a trabalhar para resolvê-lo. Cerca de 3 meses depois, os desenvolvedores marcaram o bug como resolvido e Krawetz recebeu uma recompensa por detectá-lo. Apesar disso, o pesquisador ressalta que o revisou algum tempo depois e a vulnerabilidade ainda está presente, já que nunca foi resolvida.
“Embora tenha sido marcado como ‘resolvido’, o problema nunca foi corrigido.”
A resposta do Tor à detecção de vulnerabilidades de segurança
Tor afirma que as vulnerabilidades e erros detectados recentemente pelo pesquisador não são de todo desconhecidos da equipe de desenvolvimento do projeto, e que tem trabalhado arduamente para corrigir todos os erros detectados na rede.
Por outro lado, embora o investigador aponte que forneceu provas reais sobre os erros, Tor considera que estas não suportam realmente as suas afirmações, algo que Krawetz tomou como incompetência por parte da equipa, afirmando que não tentaria alertar Tor novamente sobre qualquer bug de segurança que ele descobrir. Krawetz garante que sua publicação é “extremamente técnico”, portanto, contém todos os detalhes necessários para que outros desenvolvedores de rede repliquem suas descobertas.
Continue lendo: Validadores Ethereum 2.0 ultrapassam 466 mil ETH bloqueados, faltando pouco para iniciar o bloco gênese
