Det er uklart, hvordan det lykkedes EU's politienhed, Europol, i samarbejde med flere andre myndigheder at finde frem til og anholde flere formodede bagmænd bag en række skjulte tjenester (hidden services), der blandt andet relaterer sig til salg af narkotika, på anonymiseringsnetværket Tor.
I et blogindlæg på Tor-projektets hjemmeside fortæller en person, der kalder sig Phobos, om myndighedernes aktion, kaldet Operation Onymous, set fra Tor-projektets perspektiv.
Phobos fortæller, at hundredvis af URL'er fordelt på 27 websteder skulle være blevet beslaglagt, og 17 anholdt i den forbindelse. Phobos skriver endvidere, at folkene bag Tor-projektet ikke er blevet kontaktet af hverken Europol eller andre myndigheder i forbindelse med operationen.
Af blogindlægget fremgår det, at folkene bag Tor-projektet ikke har noget endegyldigt bud på, hvordan myndighederne har fundet frem til det, der skulle forestille at være skjulte tjenester på Tor-netværket. Men Phobos har dog flere bud på mulige forklaringer.
Den første og mest oplagte forklaring er, at folkene bag disse skjulte services ikke har haft styr på den operationelle sikkerhed (Opsec). Eksempelvis skulle en af hjemmesiderne være blevet infiltreret af undercoveragenter, der har fundet informationer, der har ført tilbage til et individ.
En anden forklaring kan være almindelige sikkerhedshuller i opsætningen af små webbutiksystemer på de sites, der har været målet for Operation Onymous. Det vil sige, at siderne også kan have indeholdt flere sikkerhedshuller - eksempelvis muligheden for SQL-injections.
Phobos fortæller også om en mulig sårbarhed relateret til kryptovalutaen bitcoin, som Ivan Pustogarov har kigget på.
Den skulle gøre det muligt at linke bitcoin-transaktioner og deanonymisere bitcoin-klienter, selvom de anvender Tor. Og hvis nogen af de skjulte tjenester har kørt bitcoin-klienter, kan det være sådan, de er blevet afsløret.
Angreb på Tor-netværket
Mængden af nedtagne services kombineret med, at flere Tor-relays også skulle være blevet beslaglagt, kan indikere et angreb på selve Tor-netværket, som har bevirket, at anonymiseringen er blevet kompromitteret.
Phobos fortæller i den forbindelse, at forskere over de sidste par år har opdaget flere måder at angribe Tor-netværket på. Og selvom der er blevet implementeret forskellige former for forsvar mod disse angreb, er alle kendte problemer ikke løst. Ligesom der stadig kan være sikkerhedshuller i Tor-netværket, som folkene på Tor-projektet ikke kender til.
»Som du kan se, så ved vi stadig ikke, hvad der er sket, og det er svært at komme med konkrete forslag i blinde,« skriver Phobos, som opfordrer brugere til at sætte sig ind i de teknikker, som skjulte tjenester i Tor-netværket anvender, for derved bedre at kunne vurdere, hvilke begrænsninger det nuværende system har.
Version2-blogger med forstand på netværkssikkerhed og direktør i Solido Networks Henrik Kramshøj har kigget på sagen og blogindlægget. Og han mener, indlægget lægger op til, at der vil være forbedringer på vej i forhold til sikringen af Tor-netværket.
Tillid til Tor
Henrik Kramshøj har stadig selv overordnet tillid til sikkerheden i Tor-netværket trods den seneste sag. Han gætter på, der ikke har været tale om en enkelt gennemgående fejl i Tor-systemet, men flere andre problemer, som også Phobos er inde på i sit blogindlæg.
»Jeg kunne forestille mig, det ikke bare har været en sårbarhed, der har demaskeret det hele. Det har været en kombi. Og så har man lavet en kampagne med et stort resultat, man kunne promovere,« siger Henrik Kramshøj med henvisningen til de udmeldinger, der har været fra myndighederne i kølvandet på Operation Onymous.
I en pressemeddelelse dateret 7. november fra Europols Cybercrime Center (EC3) udtaler den danske chef for EC3, Troels Ørting, i forbindelse med Operation Onymous:
»I dag har vi demonstreret, at sammen kan vi effektivt fjerne vital, kriminel infrastruktur, der understøtter alvorlig organiseret kriminalitet. Og vi 'fjerner' ikke bare disse tjenester fra det åbne internet - denne gang har vi også ramt tjenester på the Darknet, som bruger Tor, hvor kriminelle i lang tid har betragtet sig selv som værende uden for rækkevidde. Vi kan nu vise, at de hverken er usynlige eller urørlige. De kriminelle kan løbe, men ikke gemme sig. Og vores arbejde fortsætter …,« slutter udtalelsen fra Troels Ørting.
Den anonymitet, Tor kan give, har flere gange vist sig at være blevet udnyttet til kriminelle formål som våbenhandel og handel med narkotika, men netværket har også kunnet give anonymitet i lande, hvor ytringsfriheden ellers kan være trængt. Tor kan også være relevant i flere andre sammenhænge, hvor anonymitet kan være påkrævet.
Henrik Kramshøj mener, at flere myndigheder generelt set er ude i et pr-ærinde, når det kommer til Tor-netværket og forskellige former for kryptering, der kan gøre det vanskeligere for myndigheder at spore, eksempelvis hvem der står bag en hjemmeside. Som eksempel nævner han en anden sag for nylig, hvor en FBI-chef var ude at advare mod stærk kryptering på smartphones.
»Man vil gerne give et indtryk af, at det er folk, der er farlige, der bruger det her,« siger Henrik Kramshøj.
Phobos udtrykker i blogindlægget en forhåbning om, at flere ville gennemgå designet og koden bag Tor, så sikkerheden bliver forbedret.
»Det er også vigtigt at notere sig, at Tor på nuværende tidspunkt ikke har midlerne til at forbedre sikkerheden i skjulte tjenester. Hvis du er interesseret i at finansiere forskning og udvikling i forhold til skjulte tjenester, så tag venligst kontakt til os. Vi håber på at kunne finde tid til at organisere en crowdfunding-kampagne for at skaffe uafhængig og fokuseret finansiering af skjulte tjenester,« slutter Phobos.
...men det er dyrt at lave god journalistik. Derfor beder vi dig overveje at tegne abonnement på Version2.
Digitaliseringen buldrer derudaf, og it-folkene tegner fremtidens Danmark. Derfor er det vigtigere end nogensinde med et kvalificeret bud på, hvordan it bedst kan være med til at udvikle det danske samfund og erhvervsliv.
Og der har aldrig været mere akut brug for en kritisk vagthund, der råber op, når der tages forkerte it-beslutninger.
Den rolle har Version2 indtaget siden 2006 - og det bliver vi ved med.
