Tavaly az FBI több sikeres akciót hajtott végre a sötét weben, leleplezve több „rejtett oldalt”, melyek a drogárusítástól kezdve a gyermekpornográfián át a hekkerprogramokig a legkülönbözőbb illegális termékeket tették elérhetővé. Miközben a szervezet szerint a bűnözők „nem bújhatnak el többé a sötét web árnyékaiban”, a Tor fejlesztői tovább dolgoznak felhasználóik teljes anonimitásának biztosításán – az FBI információi ugyanis nagy valószínűséggel egy nem különösebben etikus kutatócsoporttól származtak.
Grafika: Oláh Laura / lumens.hu
A Tor – The Onion Router – nevű böngészőprogram lehetővé teszi felhasználóinak, hogy lekövethetetlenül használhassák az internetet, egyben egy, a „sötét webet” támogató szoftverprojet is. A „sötét weben” található oldalak helyét lehetetlen meghatározni. Tavaly komoly támadás érte a Tor-t, melynek köszönhetően nagyjából hat hónapon keresztül elérhetővé váltak a felhasználók adatai. A támadást a Carnegie Mellon egyetemhez (CMU) tartozó kutatók hajtották végre – indítékaik még mindig homályosak. Egy biztos: több bírósági tárgyaláson is az általuk felfedett információkat használták bizonyítékul.
Nyilvános levelezőlistájukat vizsgálva kiderül, hogy a Tornál tudtak a közelgő támadásról, de nem akadályozták meg – vagy nem tudták megakadályozni. Kérdés, tudják-e biztosítani, kétmillió napi felhasználójuk – a bűnözők mellett aktivisták, újságírók, biztonságtechnika iránt elkötelezett hétköznapi felhasználók és emberi jogi harcosok is rendszeresen használják a Tort – anonimitását. A Fusion.net-nek adott telefoninterjúban elmondta, mi történt, és azt is, mit terveznek a továbbiakban a hasonló incidensek megakadályozására.
2014 februárjában jelezte egy, a rendszer fenntartásával foglalkozó – és ezzel komoly kockázatot vállaló – felhasználó, hogy a belső ellenőrzésre használt DocTor program szerint rengeteg számítógép ugyanarról az IP-címről csatlakozott a rendszerre. A Tor működése során a felhasználók identitását a világszerte megtalálható több száz gépen és „adóponton” keresztülfuttatva juttatják el őket végcéljukhoz – az ezzel garantált anonimitást azonban megbontja, ha egy entitás sok géppel együtt átveszi az irányítást egy vagy több ilyen ponton. A szakirodalom Sybil-támadásként emlegeti az ilyen akciót – a figyelmeztetések ellenére azonban a fejlesztők nem foglalkoztak érdemben a fenyegetéssel.
A Tor napi felhasználói adatai 2012-ben. Grafika: Oláh Laura / lumens.hu
Öt hónappal később a CMU két kutatója bejelentette, hogy „feltörték” a Tor-t, felfedve több százezer felhasználó személyazonosságát és több ezer „rejtett” weboldal valódi helyét. A témával kapcsolatos biztonságtechnikai konferencián tervezett előadásukat azonban lemondták, ugyanis ügyvédjük szerint a felhasznált információk nyilvánosságra hozatalát nem engedélyzte az egyetem. A kutatók nem válaszoltak semmilyen kérdésre, ahogy arra sem, hogy eredményeiket megosztották-e a hatóságokkal. Erre nyilvánvaló válasz érkezett négy hónappal később, 2014 novemberében, amikor az FBI bejelentette a sötét web elleni rajtaütését, melynek során több tucat, az online drogpiachoz köthető Tor-felhasznát tartóztattak le. Idén júliusban újabb akciókra került sor (melynek során a brit rendőrség hatszázhatvan embert tartóztatott le gyermekpornográfiával kapcsolatban) – és egyértelműnek tűnik a bírósági iratok és a földrajzi kapcsolatok alapján az, hogy a Carnegie Mellon kutatói által szerzett információkra épül mindez.
A Tor eredetileg egy haditengerészeti projekt volt a kormányzati kommunikáció védelmére – költségvetésének nyolcvan százaléka így is kormányzati forrásokból származik. A sötét webben játszott hatalmas szerepe ellenére alig huszonkét alkalmazott és nagyjából ötven önkéntes dolgozik a projekten – az akadémikusok szerepe pedig hatalmas a technológia fejlesztésében, ezért gyakran előfordulnak kísérletek a hálózaton – ez most azonban valami más volt. A CMU kutatóinak viselkedése veszélybe sodorta a felhasználókat, és etikátlan módon használta ki a hálózat gyengeségeit. 2014 végére a Tor új verziójában befoltozták a sebezhetőséget, ekkor azonban még fenntartották, hogy a CMU kutatói hibáztak – ebben a hónapban azonban már azt állítják, hogy az FBI egymillió dollárt fizetett nekik a Tor feltöréséért – ezt az állítást természetesen mindkét fél tagadja. (Érdemes megjegyezni, hogy a lemondott előadás absztraktjában alig háromezer dolláros költség szerepel.)
Nem tudni tehát pontosan, milyen információkra tettek szert a kutatók – és egyelőre azt is vizsgálják, milyen jogi lehetőségekkel élhetnek ellenük a hálózat voltaképpeni feltöréséért. „A támadás során egyáltalán nem vették figyelembe a felhasználók magánszféráját” – nyilatkozta Nick Mathewson, a Tor egyik vezető fejlesztője. Mostantól „előbb blokkolunk, utána kérdezünk” az irányelv, ha gyanús tevékenységet észlelnek. A nagyobb probléma a projekten dolgozók alacsony létszáma – a 2014-ben felfedezett Heartbleed bugért felelős OpenSSL-adatbázishiba oka is feltehetően az volt, hogy egyetlen egy, teljes munkaidőben dolgozó nonprofit alkalmazott felügyelte az egészet.
Hogy megbízhatunk-e még a Torban? „Nincs olyan biztonságtechnikai program, ami száz százalékban tudja garantálni a biztonságot. Magas, és egyre növekvő valószínűséget tudunk garantálni, de nincs az a szoftver, ami bizonyosságot tud garantálni. Legyen B-terved” – adott pragmatikus választ a kérdésre Mathewson.
Kelemen Luci
További írásaink megtalálhatóak a lumens.hu-n, illetve Facebook-oldalunkon is.
