Alerta: Tor tem dois ‘zero days’ e pode haver muito mais

Paulo Brito
31/07/2020

A rede Tor e todos os seus componentes estão cada vez mais longe de proporcionar privacidade e segurança para navegação ou comunicação anônimos. A revelação foi feita ontem pelo cientista da computação e perito Neal Krawetz, dos EUA, que apontou duas vulnerabilidades ‘zero day’ (ainda desconhecidas da comunidade de segurança) na estrutura e acrescentou que outras ainda aparecerão. Pior, Krawetz disse no Twitter que a organização que mantém a estrutura já se recusou a corrigir problemas que ele apontou. Por essa razão abandonou sua estratégia de ‘responsible disclosure’ e está publicando os zero days sem mais avisos à organização Tor.

Além de perito, Krawetz durante algum tempo manteve por sua conta alguns nós da rede. Segundo ele, as conexões diretas à rede Tor são as mais comuns, mas existem meios indiretos, as bridges, e elas proporcionam meios para identificação do tráfego que conduzem. Dois desses meios – os dois zero days – detectam obfs4 e meek. As bridges são servidores secretos do Tor, que não aparecem em nenhuma lista pública. Obfs4 e meek são camadas de transporte que disfarçam o protocolo Tor, fazendo com que pareça outra coisa.

Veja isso
Rede Tor sob ataque
Rede Tor em perigo

Na sua publicação, o pesquisador também prometeu revelar pelo menos mais três zero days no Tor, um dos quais pode revelar o endereço IP do servidor. Em um blog no dia 23 de julho, o pesquisador descreveu como empresas e provedores de serviços de Internet poderiam impedir que os usuários se conectassem à rede Tor examinando conexões de rede em busca de “uma assinatura de pacote distinta”, exclusiva do tráfego do Tor. Essa análise pode ser usada como forma de impedir que as conexões do Tor sejam iniciadas e de baní-las completamente.

No caso das bridges, uma técnica semelhante de rastreamento de pacotes TCP específicos pode identificá-las. “É possível impedir que todos os usuários se conectem à rede Tor rede, sejam eles conectados diretamente ou usando uma bridge”, disse Krawetz.

A razão pela qual o Dr. Krawetz está publicando esses dias zero é que ele acredita que o Projeto Tor não leva a segurança de suas redes, ferramentas e usuários a sério o suficiente. Krawetz afirma que passou “anos tentando relatar vulnerabilidades de segurança ao Projeto Tor. Suas reações variaram de ignorar problemas a fechar problemas de alta gravidade como ‘resolvidos’, mas sem correções reais. Muitas vezes, eles são apenas desdenhosos. Por enquanto, desisti de tentar relatar problemas de segurança a eles. Como o público deve saber o quão vulnerável o Tor os torna, eu estou tornando essas vulnerabilidades públicas”.

O pesquisador de segurança cita três incidentes anteriores, quando tentou relatar bugs ao Projeto Tor, sendo informado de que eles já estavam sendo corrigidos – mas essas correções nunca foram implantadas. O primero é um bug permitindo que os sites detectem e marquem os usuários do Tor Browser pela largura de sua barra de rolagem, problema que o Projeto Tor conhece desde pelo menos junho de 2017. Outro bug, relatado há oito anos, permite que os adversários da rede detectem servidores de bridge utilizando a porta OR (Onion routing). O terceiro permite que os invasores identifiquem a biblioteca SSL usada pelos servidores Tor, problema relatado em 27 de dezembro de 2017 afirma o pesquisador.

Com agências internacionais

Compartilhar: