DTT, in arrivo la condanna europea

Re: Spiando un nodo in uscita

Forse nel fatto che ogni istante ci sono
richieste a server Tor che non sono loggate da
Telecom... Come dimostrare che una richiesta a un
server Tor corrisponde a quella di un sito
monitorato e non vi qualcun'altro che ha fatto
quella richiesta?Io pensavo a uno scenario simile:creo i sitianonymousmoneylaundering.comesplosivifattincasa.netgnagnagiovane.orgcon i quali presumo di coprire un buon numero di interessi potenzialmente illeciti, e registro le richieste a tali siti provenienti da IP TOR.Il mio ragionamento presume che gli IP dei server TOR siano noti.Se il 2006.12.11 16.32 registro un accesso da TOR a gnagnagiovane.org, consultando i log di varie Telecom di vari paesi noto che tra le 16.31 e le 16.33 si sono verificati un certo numero di richieste a server TOR.Certamente ciò non prova che e quale di queste richieste corrispondano all'accesso al sito proibitissimo, però intanto memorizzo nomi e cognomi.Ripetendo per mesi e mesi, l'elenco di nomi e cognomi diviene sterminato, ma alcuni di essi si segnalano per l'alto numero di corrispondenze.Costruita una lista di sospettabili, li controllo più strettamente, ad esempio ponendo su gnagnagiovane un qualche exploit che carica un keylogger, controllando se risultano loro pagamenti con carta di credito a siti analoghi, eccetera.Infine, perquisendo le abitazioni dei più promettenti con qualche pretesto, qualcosa salta sicuramente fuori, come - UUH! - un hard disk cifrato, e se non salta niente gli metto io una busta di cocaina.

Re: Rispondo ad entrambi
- Scritto da: Gatto Selvaggio
Rispondo ad entrambi.

Il metodo che ho esposto presume di considerare
TOR una scatola chiusa dotata di ingressi e
uscite, e confrontare le uscite con gli
ingressi.


Dovresti avere i log di tutte le "telecom"
mondiali

per sapere chi si collega a Tor. Se ne manca
una,

nessuna richiesta è identificabile in modo
univoco.

Non intendo associare in modo univoco, ma
costruire statisticamente una lista di probabili
utenti di siti proibiti. Non è necessario
conoscere i log di tutto il mondo: se il mio
obiettivo è ricercare sospetti italiani, leggo i
log della telecom
italiana.


In altre parole, se usi Tor

sei registrato come un probabile criminale...

Immagino che giò ora ti si consideri 'uno che ha
qualcosa da nascondere'. Ma non necessariamente:
l'uso di siti civetta mirati serve a selezionare
gli utenti interessati a un certo tipo di
contenuti.


Considera che comunque non puoi controllare

tutti gli exit-node Tor che sono sparsi su

tutto il territorio mondiale e non sai da

quale di questi exit-node le richieste
usciranno.

Questa è un'obiezione sensata, perché il mio
metodo presuppone di saper distinguere, fra gli
accessi ai siti civetta, quelli provenienti da
nodi TOR. Però posso accontentarmi di una
conoscenza parziale, registrando i soli accessi
ai siti civetta provenienti da nodi TOR noti. Ai
dati così raccolti posso aggiungere quelli degli
accessi provenienti da nodi TOR trappola, gestiti
da me, a una lista di siti sospetti, che sono
molti di più dei miei siti
civetta.


L'analisi dei log poi, almeno per il momento,

richiede l'autorizzazione della magistratura

che può solo darli per casi specifici

e non "in generale".

Le leggi possono cambiare. E comunque credo che
servizi segreti e mafia operino ugualmente
all'insaputa della magistratura. E poi nel 2000
ero socio in uno sfigatissimo ISP, e i
carabinieri chiesero l'elenco degli indirizzi di
posta elettronica dei nostri abbonati. Non
vennero a chiedere informazioni su un abbonato
particolare. È ovvio, per non rivelare dettagli
su un'indagine in corso. Immagino che la validità
legale delle prove raccolte si limiti a quelle
pertinenti all'indagine autorizzata dalla
magistratura, intanto però hanno raccolto anche
altri dati. Immagino che quando chiedono alla
Telecom i tabulati li chiedano in blocco, da data
tale a data tale, senza ulteriori
specificazioni.


Se io avessi accesso a tutti gli exit-node

e a tutti i log allora un analisi statistica

come quella da te prevista potrebbe avere un

certo numero di successi... ma è qualcosa che,

almeno per il momento, va al di là delle

capacità di chiunque, forze dell'ordine incluse.

Credo invece che una analisi limitata basti.

Ribadisco: supponiamo che in Italia vi sia un
milione di utenti TOR. Sul mio sito civetta
rilevo un accesso a una certa data e ora da un
exit node TOR noto, e nei log dei provider vi
sono centomila richieste GET corrispondenti (a
server TOR noti, più o meno un minuto). Compilo
una
lista.
Un altro giorno rilevo un accesso a un'altra data
e ora, cui corrispondono duecentomila richieste
GET. Un altro accesso al sito corrisponde a
cinquantamila richieste. Iterando N volte
determino N insiemi di potenziali sospetti, la
cui intersezione mi dà un insieme di probabili
sospetti che - a naso - al crescere di N diviene
molto
limitato.Se installi Tor come Server, il tuo IP risulta sempre connesso a Tor, non solo in momenti particolari. E come fanno a sapere se sei tu a connetterti in un determinato momento o qualcuno che passa dal tuo nodo?

Re: Rispondo ad entrambi
E chi utilizza un server dovrebbe essere passibile di sequestro preventivo?Comunque, a che servirebbe alla fine questo metodo? A perseguire quale reato?

Re: Rispondo ad entrambi
- Scritto da: Gatto Selvaggio
Non so. Sul sito di TOR ho letto di non prenderlo
troppo sul serio per applicazioni critiche, e mi
sono chiesto perché, dato che il funzionamento
interno non pare lasci spazio allo spionaggio. Ho
provato a immaginare possibili scenari in cui
usare TOR non sia sicuro, e ho ipotizzato quello
descritto.
In un mondo controllato a tappeto (dall'NSA, ad
esempio) TOR non è sicuro, non è una soluzione
per collegarsi al conto bancario anonimo
all'estero contenente cose che $Prodi vorrebbe
per il $Bene del
$Paese.

Ora, non penso che l'NSA controlli proprio me. Ma
ho letto di backdoor che i provider dovrebbero
installare per rendere i loro computer
trasparenti all'FBI, e ho letto del caso Aruba.
Ci vuol nulla a emanare una legge per cui i
provider debbano fornire account root alle forze
dell'ordine senza farne parola. Al crescere della
potenza di elaborazione e della capacità degli
hard disk, il controllo continuo e sistematico di
tutti diverrà una
realtà.Appunto per questo che strumenti come Tor sono e diventeranno sempre più necessari.Un attacco come quello che dici tu è al di là di qualunque forza, anche dell'NSA.Un'analisi statistica come quella che dici è pressocché impossibile perché:1) non sai da quale nodo la comunicazione dell'utente uscirà (e potrebbe essere [anzi... lo è quasi sicuramente] un nodo estero su cui non hai nessun controllo)2) dai nodi d'uscita tuoi locali ci può essere [anzi... c'è sicuramente] traffico proveniente dall'estero3) il traffico d'uscita dei vari nodi è continuo per l'elevato numero di utilizzatori quindi non puoi dire "ecco... questo è quello che è entrato nella rete 2 secondi fa"4) il delay fra ingresso e uscita dalla rete Tor dipende dal percorso seguito e ad ogni connessione il circuito (così come anche il nodo d'uscita) può cambiareInsomma, il tuo attacco, per poter essere applicabile, prevede:1) poter monitorare connessioni per mesi o addirittura anni (le indagini vanno a scaglioni di 6 mesi con durata massima 18 mesi [mi sembra]) 2) che tutti gli exit-node siano monitorabili (cosa non possibile perché in una data nazione ce né solo alcuni [pochi rispetto al totale])3) che ci siano pochi utenti per poter individuare chi entra e chi esce facilmente4) poter identificare, negli exit-node nazionali quale sia il traffico generato dall'interno della nazione e quale fuori (anche questo non possibile)-----------------------------------------------------------Modificato dall' autore il 13 dicembre 2006 18.38-----------------------------------------------------------