Romper el anonimato de los usuarios de Tor. Este ha sido el objetivo del FBI desde que existe este famoso método de navegar de manera anónima en la red. Al parecer, el FBI consiguió su objetivo y pudo rastrear al menos a 1.000 usuarios. La introducción de métodos de seguridad como Selfrando no pueden evitar el fingerprinting y el rastreo de DNS.
Por ello, un grupo de investigadores americanos y suecos ha descubierto una nueva manera de atacar Tor y desanonimizar a sus usuarios mediante la utilización de búsqueda de DNS, las cuales acompañan al usuario cuando navega por la red, mediante el análisis del tráfico del usuario. Han llamado a su método ‘DefecTor’.
Esto se consigue debido a cómo funciona Tor. Para esconder de dónde se genera el tráfico, Tor dirige el tráfico a través de una red de ordenadores, con el fin de que el rastro se pierda. Esto hace que la navegación sea algo lenta, pero muy segura (a no ser que se hagan ‘ataques de correlación’, que analiza el tráfico entrante y saliente). El tráfico está totalmente cifrado, por lo que no se puede leer directamente. Por ello, se analiza el tamaño de los paquetes y patrones que permitan saber qué páginas visita el usuario.
Para hacer el fingerprinting, o análisis de huella digital que va dejando el usuario, hay que analizar el tráfico entrante y saliente. Analizar el entrante se puede conseguir mediante redes inseguras o mediante entry guards. Para el tráfico saliente, se analiza el tráfico desde los nodos de salida. Con la nueva investigación, lo que se consigue es un nuevo método para analizar el tráfico de salida: analizar las búsquedas de DNS.
¿Qué es una búsqueda de DNS?
Cuando entráis a adslzone.net, lo que en realidad estáis haciendo es escribir un nombre que está asociado a una IP. Ambos datos están almacenados en el Domain Name System, o DNS. De esta manera, el ordenador puede encontrar la página web en la inmensidad de Internet.
En el caso de poder saber lo que el usuario ha buscado mediante sus búsquedas en el DNS, se puede saber muy fácilmente las páginas que el usuario visita. Para ello, los investigadores buscaron las huellas de webs conocidas dentro del propio tráfico cifrado que iba hacia las entry guards, y luego comparaban con las solicitudes DNS en el tráfico que salía de los nodos de salida sin cifrar, pudiendo conocer qué web visitaban los usuarios.
Cientos de miles de peticiones cada 10 minutos
Aunque suene demasiado simple, el proceso es realmente complicado debido al tráfico que circula por Tor. Cada nodo de salida analizado en el estudio tenía un número desconocido de las 300.000 visitas que circulan a través de Tor cada 10 minutos, y cada usuario cambia de nodo cada pocos minutos.
De media, una visita a una web lanza 10 búsquedas de DNS, por lo que sólo una pequeña parte de esas búsquedas reflejan realmente la página que el usuario visita. Si se incluye un vídeo en una noticia en ADSLZone, al entrar a la noticia, ya se estarán generando dos búsquedas de DNS, la de adslzone.net y la de youtube.com.
Los investigadores analizaron 2,5 millones de dominios únicos, con más de 60 millones de peticiones de DNS. Estos dominios únicos permiten al atacante saber qué sitios, de entre el millón más visitado, ha visitado el usuario.
Otro detalle que analizaron es que un tercio del tráfico de Tor venía de las populares DNS de Google, 8.8.8.8 y 8.8.4.4, lo cual es alarmante según los investigadores. Las DNS de los operadores, según afirman, ofrecen una superficie de ataque mucho menor, y utilizar un servidor de DNS como OpenDNS o Google puede poner en peligro la seguridad del usuario mucho antes. Esto es debido a que los ISP utilizan otros muchos nodos de salida.
Qué se puede hacer para protegerte de estos ataques
Esto no quiere decir que Tor vaya a ser inseguro para siempre. Este exploit utiliza un bug en particular que hace que Tor guarde las entradas de DNS durante 60 segundos independientemente de lo que tengan que debería durar la DNS (su TTL, o Time To Live). Por ello, los responsables de Project Tor tienen que arreglar ese pequeño fallo.
Segundo, y como solución definitiva, Tor debería implementar que las búsquedas de DNS se hagan a través de TLS, lo cual cifraría el tráfico entre los nodos de salida y los encargados de arrojar los resultados de DNS. De esta manera, ser haría a Tor inmune a este tipo de ataques.
El experimento se realizó en los cinco países donde Tor es más popular: Estados Unidos, Reino Unido, Alemania, Francia y Rusia. En los dos primeros es donde más difícil fue de crackear el tráfico. Por ello, en función del país donde te encuentres, tu tráfico será más difícil de descifrar. De momento, si una página web está preocupada por el anonimato de sus visitantes, puede hacer que su página funcione como un servicio oculto en Tor.
