[e-privacy] Half of Tor Sites Compromised, Including TORMail

[Marco Calamari]

On Mon, 2013-08-05 at 07:37 +0200, Leandro wrote:
> http://rss.slashdot.org/~r/Slashdot/slashdot/~3/jObO4CLSAVY/story01.htm
> --
> leandro
> Non sono più solitario... del primo ragno in una casa nuova

La battuta non l'ho capita, sorry ...

Don't panic!

Non si tratta di compromissione di nodi Tor, ma degli
 hidden service (circa la meta' di quelli esistenti)

Il fatto in se non e' inatteso, almeno per coloro
 che avevano letto questo paper di qualche mese fa

<http://www.google.com/url?sa=t&rct=j&q=&esrc=s&source=web&cd=1&ved=0CCsQFjAA&url=http%3A%2F%2Fwww.ieee-security.org%2FTC%2FSP2013%2Fpapers%2F4977a080.pdf&ei=VZH_UcjoE8jJ4ASx44G4Bw&usg=AFQjCNHC9k9mdFmze8ITHfA7Fpe6uFXlgA&bvm=bv.50165853,d.bGE&cad=rja>

(non ho il link originale, ma se quello sopra non funziona, cercate con
 Google la stringa "Trawling for Tor Hidden Services 4977a080" ed e' il
 primo o tra i primi risultati)

Per farla breve, il metodo usato per generare e raggiungere gli hidden
 service permette, per alcune scelte di dettaglio ormai profondamente
 includs nel codice, di predire l'indirizzo di un hidden service
 con una probabilita' abbastanza alta, realizzando ed utilizzando una
 relativamente piccola serie di nodi su un server virtuale come Amazon 
 (costo 10Keuro), ed utilizzandola per raccogliere, in un periodo
 di qualche mese, buona parte se non tutti gli indirizzi degli hidden
 service.

Si parla di raccolta degli indirizzi degli hidden service, non di
 loro compromissione.

La cosa e' stata effettivamente sperimentata ed ha funzionato;
 di sicuro altri attori hanno potuto facilmente replicarla.

I paper stesso suggerisce strategie di mitigazione e di modifica 
 per gli sviluppatori di Tor, piuttosto complesse pero'.

La compromissione degli hidden service e' poi avvenuta
 utilizzando debolezze lato client comuni anche a chi crede di
 essere avveduto, quali:

 - usare lo stesso pc per usi normali e per l'hidden service 

 - usare un solo browser per accedere a Tor e per l'utilizzo normale.

Una buona mitigazione e' utilizzare Tor solo attraverso una live
 "Torificata", dedicata ed immodificabile come Tails, sia per
 realizzare hidden service che per navigare con Tor.

https://tails.boum.org/

-- 
+--------------- http://www.winstonsmith.org  ---------------+
| il Progetto Winston Smith: scolleghiamo il Grande Fratello |
| the Winston Smith Project: unplug the Big Brother          |
| Marco A. Calamari marcoc at marcoc.it  http://www.marcoc.it   |
| DSS/DH:  8F3E 5BAE 906F B416 9242 1C10 8661 24A9 BFCE 822B |
+ PGP RSA: ED84 3839 6C4D 3FFE 389F 209E 3128 5698 ----------+

-------------- next part --------------
A non-text attachment was scrubbed...
Name: signature.asc
Type: application/pgp-signature
Size: 198 bytes
Desc: This is a digitally signed message part
URL: <http://lists.winstonsmith.org/pipermail/e-privacy/attachments/20130805/564e8123/attachment.pgp>