Taggat med: tor

Mer än 110 Tor-noder övervakar trafik i smyg

Ny forskning visar på att över 110 st Tor-noder övervakar trafiken i smyg. Det är så kallade Hidden Services Directories (HSDirs)-noder som innehåller listor med noder som troligtvis inte vill bli identifierade. Metoden för att identifiera dessa illasinnade noder genomförs med hjälp av en typ av honeypot vid namn HOnions.

Att namnge ”gömda noder” på darknets såsom Tor för Hidden Services har länge ansetts felaktigt och ett nytt namn kommer troligtvis snart att användas.

Tor HSDir

Även visar forskningen på att den förfrågan som skickas till HOnions-noderna varierar med allt från vanliga HTTP-förfrågningar samt mer avancerade SQL-injektionsförsök och:

One of the snooping HSDirs (5.*.*.*:9011) was actively querying the server every 1 hour asking for a server-status page of Apache. It is part of the functionality provided by mod status in Apache, which provides information on server activity and performance.

Forskningen kommer från Northeastern University och kan laddas hem här som PDF:

Ny metodik för att identifiera Tor-webbläsaren samt Tails

Tor and Tails fingerprinting

Undertecknad har utvecklat en ny metod för att identifiera Tor Browser samt vilken version av det säkra och anonyma operativsystemet Tails som en klient använder sig av.

Metoden går ut först och främst på att fråga webbläsaren efter olika resurser som bara återfinnes i Tor-webbläsaren, och sedan titta på felmeddelandet som är olika beroende på om Tor eller Firefox används. Och beroende på dessa svar så kontrolleras sedan om Adblock Plus är installerat och vilket regelverk som användes. Eftersom Tails uppdaterar regelverket i varje version så kan jag således identifiera vilken version av Tails som används.

Jag har så klart skapat en demo-video, proof-of-concept kod och demo-sajt. Förfarandet rapporterades till Tor-utvecklarna i Januari som då rapporterade det vidare till Firefox som Tor Browser baseras på. Än så länge finns det ingen åtgärd och metodiken fungerar således fortfarande.

Lyckades även att identifiera om Tor Browsern går på Mac OS X genom att titta om -moz-osx-font-smoothing södjs (kanske bara retinas?).

Demo-sidan hittar du här: https://tor.triop.se och koden återfinnes på Github.

Demo video

En miljon använder nu Facebook över Tor

Facebook över TorAlec Muffett på Facebook rapporterade nyligen att en miljon använder Facebook över Tor. Och så här skriver Alec på Facebook-sidan Facebook over Tor:

Over this period the number of people who access Facebook over Tor has increased. In June 2015, over a typical 30 day period, about 525,000 people would access Facebook over Tor e.g.: by using Tor Browser to access www.facebook.com or the Facebook Onion site, or by using Orbot on Android. This number has grown – roughly linearly – and this month, for the first time, we saw this “30 day” figure exceed 1 million people.

Ökningen beror dels på att Tor blir mer och mer populärt eftersom fler stater väljer att filtrera eller på andra sätt kontrollera Internet. Följande statistik visar på antalet anslutna klienter som kommer via ”gömda bryggor” sedan Januari 2015:

Tor bridge users

För dig som vill surfa till Facebook över Tor behöver först ansluta mot Tor-nätverket med exempelvis Tor Browser. Surfa sedan till följande URL:

https://facebookcorewwwi.onion/

Analys och förmildring av överbelastningsattacker (DDoS)

Att analysera och förmildra en DDoS-attack kan göras genom ett antal olika metoder. Även finns det DDoS-attacker där motverkansmedel kan användas och således göra attacken mindre effektiv. Givetvis kan filtrering genomföras på ISP-nivå också, men det är ett relativt trubbigt verktyg.

Först och främst måste trafikdata i form av PCAP-format eller liknande samlas in, detta kan visa på ledtrådar såsom vilket verktyg som används eller om det är förfalskade paket (spoofade). Även så kan loggar på servern analyseras för att avgöra exempelvis om det är en eller flera stora bilder som laddas om och om igen. Finns inte råa paket kan även netflow-data användas och analyseras med verktyg såsom Argus.

🔎 Reklam: Triop AB analyserar och kan ta fram motverkansmedel mot DDoS

När vi vet vem avsändaren är så måste denna analyseras närmare, rör det sig om klientdatorer eller servrar med hög kapacitet? Om det är klientdatorer så rör det sig troligtvis om ett bot-nät med infekterade privatpersoner, är fallet högprestanda-servrar så kan det vara hyrda servrar direkt av antagonisten eller som är vanligare: hackade servrar.

Finns även fall där klienter kan surfa in på en speciell sida så exekveras ett javascript som hämtar en eller flera tunga filer om och om igen, denna attack är implementerad i bl.a JS LOIC.

Wireshark är ett bra verktyg att visuellt analysera nätverkstrafik men fungerar ej väl med större datamängder. Nedan exempel visar hur det ser ut i Wireshark när LOIC används:

LOIC Wireshark

Skärmdump från webbsida som har JS LOIC:

JS LOIC

Skärmdump från JS LOIC storebror LOIC. LOIC står för Low Orbit Ion Cannon:

Low_Orbit_Ion_Cannon

Ovan två exempel använder dock enbart den egna kapaciteten. För att uppnå mer skada på slutmålet så kan även antagonisten använda sig av en förstärkt DDoS (amplification DDoS attack).

Genom att skicka en mindre mängd data till ett antal servrar och sedan får dessa att svara med flertalet gånger större mängd data till en annan server så kan större effekt uppnås:

DDoS amplification attack

Vanligtvis används UDP baserade protokoll såsom DNS och NTP (MON_GETLIST) men även så har vi sett attacker där WordPress pingback används för att rikta om svar. Dessa servrar har också oftast en relativt god kapacitet mot internet till skillnad från många hemanvändare och privatpersoner.

I vissa fall så måste även reverse-engineering utföras för att förstå hur attack-koden fungerar.

Skärmdump från klienten som användes mot SpamHaus. Reverse-engineering utförd med Ollydbg:

SpamHaus DDoS

Genom att analysera klientkoden som körs så kan man även i slutändan troligtvis identifiera puppetmastern, som styr klienterna. Vanligt förekommande kontrollkanaler (C&C) är IRC, HTTP osv. Men inte helt ovanligt heller så använder den som utför kommandon någon form av anonymiseringsverktyg såsom Tor.

Att just LOIC används som exempel ovan är för att denna programvara användes för att slå ut flertalet myndighetssajter år 2012.

Surfa anonymt och gratis med Tails 2.0

Tails - Surfa anonymt gratis

Det anonyma och säkra operativsystemet Tails har nu släppt i version 2. Nyheter och uppgraderingar finns det mängder av och vi kan sammanfatta några av dessa nedan. Viktigt att uppgradera till Tails 2.0 är även på grund av alla sårbarheter som åtgärdats.

Tails 2.0 baseras på Debian 8 med en mängd uppgraderingar:

  • GNOME utilities från v3.4 till 3.14: Files, Disks, Videos, etc.
  • LibreOffice från 3.5 till 4.3
  • PiTiVi från 0.15 till 0.93
  • Git från1.7.10 till 2.1.4
  • Poedit från 1.5.4 till 1.6.10
  • Liferea från 1.8.6 to 1.10

Även så har Tor Browser uppgraderats till 5.5 (baserad på Firefox 38.6.0 ESR). Dock så har Tails 2.0 ej stöd för Windows-kamouflering pga GNOME.

Men har gått över till systemd som init-system och applicerat ett antal sandlådor på diverse tjänster för att göra det svårare att exploatera dessa.

Claws Mail har blivit ersatt av Icedove som är Mozillas mail-klient samt så finns det en ny trevlig assistent som hjälper till vid installation av Tails till hårddisken samt vid nedladdning från webben.

Denna nya version har även utökat stöd för fingerprint-attacker men fortfarande går att att urskilja om Tor Browser körs i Tails eller inte främst på grund av att Adblock plus används.

Ladda hem Tails

Här kan du ladda hem Tails: https://tails.boum.org/install/index.en.html

Skärmdump

Skärmdumpar:

tails-assistant

applications_menuactivities_overview

VirtualBox_Tails 2

Tails 1.7 nu ute

tailsDet anonyma och säkra operativsystemet Tails har nu släppts i version 1.7. Nyheter är bl.a. att E-postprogram håller på att övergå från Claws Mail till Icedove. Icedove är Linuxdisten Debians namn på Mozilla Thunderbird.

Nytt är även att det nu finns stöd för offline-länge där inga nätverksinterface aktiveras.

Tor Browser är uppdaterat till 5.0.4 samt Tor 0.2.7.4.

Här kan du ladda hem och testa Tails ISO-avbild:

Uppdatering: Även värt att skriva att denna version åtgärdar en mängd uppdagade säkerhetsbrister.

👤 Så blir man anonym med hjälp av OPSEC

OPSEC

För att hålla sig anonym på internet så finns det olika nivåer. Först och främst så avgörs dina tekniska metoder för att bibehålla anonymitet utifrån den aktör som du vill hålla dig anonym för: Är det din fru, underrättelsetjänst eller din internetleverantör?

Alla olika nivåer av anonymitet kräver åtgärder av olika slag. Att använda sig av PGP skyddar exempelvis inte vem som kommunicerar med vem eller hur mycket ni kommunicerar.

OPSEC är förkortningen för operationssekretess och används främst inom militära sammanhang men förekommer nu även civilt. Generellt gäller att du funderar igenom samtliga steg och eventuella spår du kan lämna efter dig i förhand. Bygg upp en plan och tänk igenom samtliga moment.

Burner-phones eller mobiltelefoner som enbart används en eller två gånger för ett specifik syfte är också något som ökar i populäritet. Även att tänka på är att inte sticka ut i mängden: För några år sedan så bombhotade en elev i USA sin skola via Tor. Det visade sig dock att eleven den enda på skolan som använde sig av Tor när loggar analyserades i efterhand.

Så tänk igenom följande:

  • Vem kommunicerar du med
  • Hur ofta kommunicerar ni
  • Vad kommunicerar ni
  • Vad lämnar ni för spår
  • Vem kan vara intresserad av ovan

morris worm

Personas eller fiktiva identiteter

Att skapa en ny temporär identitet som enbart används för operationen eller det enskilda syftet kan vara av god sed. Undvik dock för unika namn eller annat som kan kopplas till dig personligen såsom lösenord, adress, väder, företag eller liknande. Ett namn eller E-post som inte sticker ut i mängden kan vara att föredra om kommunikationen kräver E-post.

Vanor är också av ondo, använd exempelvis inte in på ditt egna Facebook-konto under tiden då du använder en persona eller var vaksam på vad du använder Google eller andra tjänster till. Vanliga slarvfel i skrift eller unika slangord kan stärka kopplingar mellan dig och din persona.

Tails

Det vore tjänstefel att inte omnämna operativsystemet Tails i en sådan här guide. Tails laddar du ner gratis och bränner ut till CD-skiva som du sedan startar upp din dator på. Tails är ett uppsäkrat och anonymt operativsystem som innehåller en mängd verktyg såsom ordbehandlare, chatt, webbläsare och E-postprogram.

Tails och Tor går också hand i hand då detta finns förinstallerat. Se dock till att du har en ny och fräsch version av Tails eftersom det släpps nya säkerhetsuppdateringar nästan varje månad.

TorTor och VPN

Att använda Tor för att anonymisera sin kommunikation är så klart bra men tänk även på att detta sticker ut, precis som VPN. Båda Tor och VPN:er har sina för och nackdelar, när det gäller VPN så har du troligtvis ett utbyte av pengar. Försök att alltid använda End-to-end kryptering över VPN och Tor.

För att undvika att gå ut via en Tor exit-nod så kan du exempelvis surfa direkt till https://facebookcorewwwi.onion/ när du surfar via Tor Browser.

Vissa ”anonyma” VPN-leverantörer är mer eller mindre kända för att läcka information. Och ska du betala för din VPN-tjänst så föredra att använda Bitcoin som betalningsmedel som exempelvis OVPN-stödjer.

Radera information

Att slutligen radera information efter uppdraget är slutfört (eller löpande) är inte alltid lätt, för information kan automatiskt säkerhetskopieras eller lagras på externa medier. Meta-data kan läcka ut (tidsstämplar, GPS-information etc) och säker överskrivningar tar lång tid. Överväg att använda en digital sprängkista som går snabbare men är inte lika säkert.

Läs på om ämnet

Det är så klart viktigt att läsa på innan, men tänk också på att det i sig lämnar spår. IIS har en mängd bra guider såsom Digitalt självförsvar – en introduktion.

Att vara anonym kan ta resurser i form av tid och pengar och du kommer att göra misstag förr eller senare.

Schhyyy

📱 Apple genomför säkerhetshöjande åtgärder

Apple säkerhet

Apple meddelande på det senaste WWDC-eventet att de nu avser att genomföra ett antal säkerhetshöjande åtgärder inom snar framtid eller i iOS 9 som nu är ute i beta-version.

Några av dessa åtgärder omfattar följande fyra:

1. HTTPS som standard i Appar – Appar nu måste specifikt be om tillstånd för att använda http. Detta är som ett led att få alla appar att köra krypterad kommunikation över https. Denna åtgärd gäller från och med iOS version 9.

2. Förbättrad PIN – Den som använder PIN-kod för att låsa sin iPhone etc måste nu använda minst 6 siffror i sin kod istället för 4 som var standard tidigare. Detta ökar sökrymden från 10000 till en miljon olika kombinationer för den som försöker forcera koden. Att använda siffror som PIN-kod kommer dock fortfarande inte att krävas.

Och för den som vill höja säkerheten mer bör stänga av funktionen ”enkelt lösenord” och istället använda ett lösenord bestående av både siffror och bokstäver. Läs även vad Anne-Marie Eklund-Löwinder skrev om hur man skapar ett bra lösenord här.

3. 2FA – Nytt gränssnitt för tvåfaktorsautentisering som kopplar inloggningen mot en fysisk plats för inloggningsgodkännande:

iCloud 2FA4. VPN API – Detta är en synnerligen intressant ny funktion. Med detta nya API för VPN-anslutningar så medges appar att skapa up VPN och krypterade proxyanslutningar vilket troligtvis öppnar upp för Tor och OpenVPN. Även så har OpenVPN fått förhandsåtkomst till detta API som nu öppnas upp för alla (se appen OpenVPN Connect).

Även så har Cisco AnyConnect använt detta odokumenterade API sedan många år.

 

Ny version av Tails samt Tor Browser

Igår så släpptes en ny version av operativsystemet Tails version 1.4 samt Tor Browser. Denna nya version inkluderar ett reglage för säkerhet som ser ut enligt följande:

Tor Browser

Som standard så är reglaget satt till ”Low” vilket även är den standardinställning som varit sedan tidigare. Väljer man att ställa en högre säkerhetsnivå så stängs javascript av, fonter laddas inte in samt så stängs stöd för SVG-bildformatet av för att nämna några.

Även så har en brist uppdagats i mailprogrammet Claws. Eller kanske mer en feature, för att Claws sparar nämligen utkast på IMAP-servern även om du som användare har tänkt att kryptera mailet.

Fler intressanta säkerhetshöjande funktioner som införts i Tor Browser är hur koppel Angrepp mot Torskapas till webbplatser samt tredjepartssajter för att försvåra spårning (exempelvis Facebooks Gilla-knapp).

Observera: Den nya versionen av Tails 1.4 verkar ej innehålla den senaste versionen av Tor Browser med säkerhetsfixar som är 4.5.1. Men inom någon dag bör det släppas en ny version av Tails.

Ladda hem Tails här:

Tor

Tails 1.3 samt Tor Browser 4.0.4

Det händer en hel del i Tor-världen just nu. Det släpptes just en ny version av Tor Browser men även så släpptes Tails 1.3 igår. Vi försöker sammanfatta nyheterna nedan:

Tails 1.3

Tails har nu förstärkt skyddet i den webbläsare som följer med operativsystemet. Denna härdning använder sig av AppArmor och ser till att webbläsaren enbart får tillgång till vissa valda delar, detta kallas för MAC (mandatory access control).

ElectrumFör att öka stödet gällande kryptovalutor så är nu även Electrum installerat. Electrum är en så kallad wallet eller plånbok där du kan lagra dina Bitcoins säkert(?). För att informationen inte ska försvinna så bör du även nyttja funktionen för persistens.

Även så skeppas en ny proxy med kallad obfs4 som är en vidareutveckling på ScrambleSuite. Denna proxy försvårar för diktaturer eller filtreringsfunktioner såsom DPE (deep-packet-inspection) att detektera att det är just Tor som går på nätverkstrafiken.

Mjukvaran Keyringer finns installerad och denna mjukvara använder sig av GnuPG för att kryptera och distribuera hemligheter:

Keyringer lets you manage and share secrets using GnuPG and Git with custom commands to encrypt, decrypt, recrypt, create key pairs, etc.

Här kan du ladda hem Tails: https://tails.boum.org/download/index.en.html

Tor Browser 4.0.4

Detta är enbart en underhållsuppgradering där åtskilliga komponenter rättas till:

  • Uppdatera Firefox till 31.5.0esr
  • Uppdatera OpenSSL till 1.0.1l
  • Uppdatera NoScript till 2.6.9.15
  • Uppdatera HTTPS-Everywhere till 4.0.3
  • Bugg 14203: Prevent meek from displaying an extra update notification
  • Bug g14849: Remove new NoScript menu option to make permissions permanent
  • Bug g14851: Set NoScript pref to disable permanent permissions

Och Tor Browser Bundle laddar du hem här: