Nei prossimi mesi, la non-profit di Seattle Il progetto Tor apporteremo alcune modifiche per migliorare il modo in cui la rete Tor protegge la privacy e la sicurezza degli utenti. La rete gratuita consente agli utenti di navigare in Internet in modo anonimo. Ad esempio, l'utilizzo di Tor può ridurre il rischio di essere identificati quando i dissidenti parlano contro i loro governi, gli informatori comunicano con i giornalisti e le vittime di abusi domestici cercano aiuto.

Nella sua funzione più comune e più conosciuta, una persona che usa il libero Tor Browser - Essenzialmente una versione ottimizzata per la privacy di Firefox - utilizza Internet principalmente normalmente. Dietro le quinte, il browser e la rete gestiscono il traffico web rimbalzando le comunicazioni attraverso una catena di tre computer scelti a caso da tutto il mondo, chiamati "relay". A partire da marzo 2017, la rete Tor conta quasi 7,000 di questi relè. L'obiettivo di sfruttare questi relè è quello di disaccoppiare l'identità di un utente dalla sua attività.

Tor fa rimbalzare il traffico web su tre relè Tor selezionati casualmente su un totale di relè 7,000.

Ma quegli utenti stanno ancora, in generale, usando i siti Web degli altri, che possono essere fermare or spinto a censurare l'attività online. Il mio lavoro come studioso e membro volontario di The Tor Project analizza anche il modo in cui la rete consente alle persone di ospitare siti Web in privato e in modo anonimo, ovvero in cui arriverà la maggior parte degli aggiornamenti del sistema.

Chiamato "servizi di cipolla", questo elemento della rete Tor consente a una persona di gestire un sito Web (o un sito di condivisione file, un servizio di chat o persino un sistema di videochiamata) da un server dedicato o persino dal proprio computer senza esporre dove nel mondo è. Ciò rende molto più difficile per le autorità o gli oppositori di abbattere. I cambiamenti imminenti risolverà i difetti nella progettazione originale del sistema e impiegherà la crittografia moderna per rendere il sistema a prova di futuro. Miglioreranno la sicurezza e l'anonimato per gli utenti Tor esistenti e forse attireranno altri utenti che erano preoccupati che le protezioni preliminari non fossero sufficienti per comunicare ed esprimersi online.

Comprensione dei servizi di cipolla

A partire da marzo 2017, stimato Servizi di cipolla 50,000 stanno operando sulla rete Tor. I servizi di cipolla vengono continuamente online e offline, quindi è difficile ottenere numeri esatti. Il loro nome deriva dal fatto che, come gli utenti di Tor, le loro identità e attività sono protette da più livelli di crittografia, come quelli di una cipolla.

Mentre i criminali sono spesso i primi ad adottare della tecnologia di anonimato, poiché più persone usano il sistema, gli usi legali ed etici diventano molto più comuni di quelli illegali. Molti servizi di cipolla ospitano siti Web, siti di chat e servizi di videochiamata. Non sappiamo tutto quello che stanno facendo perché The Tor Project progetta la privacy nella sua tecnologia, quindi non e non può tenere traccia. Inoltre, quando vengono creati nuovi servizi di cipolla, la loro esistenza è privata per impostazione predefinita; un operatore deve scegliere di trasmettere pubblicamente l'esistenza di un servizio.

Molti proprietari annunciano l'esistenza dei loro siti, tuttavia, e il Ahmia motore di ricerca fornisce un modo conveniente per trovare tutti i servizi di cipolla noti pubblicamente. Sono diversi come Internet in sé, tra cui a motore di ricerca, un giornale letterario e archivio della scrittura marxista e correlata. Facebook ha anche un modo per gli utenti Tor di connettersi direttamente al proprio servizio di social media.

Creazione di un sito di cipolle

Quando un utente attento alla privacy imposta un servizio di cipolla (neanche manualmente o con uno strumento di terze parti come onionshare), le persone che vogliono connettersi ad esso devono utilizzare Tor Browser o altri software abilitati a Tor; i normali browser come Chrome e Firefox non possono connettersi ai domini i cui nomi terminano in ".onion". (Le persone che vogliono sbirciare sui siti di cipolla senza tutte le protezioni di anonimato della rete possono visitare Tor2web, che funge da ponte tra il web aperto e la rete Tor.)

Originariamente, un nuovo servizio di cipolla doveva essere conosciuto solo dal suo creatore, che poteva scegliere se e come dire agli altri della sua esistenza. Certo, alcuni, come Facebook, vogliono diffondere la parola il più ampiamente possibile. Ma non tutti vogliono aprire il loro sito o servizio Tor al pubblico, come fanno i siti di ricerca e social media.

Tuttavia, un difetto di progettazione ha permesso ad un avversario di conoscere la creazione di un nuovo servizio di cipolla. Questo è accaduto perché ogni giorno i servizi di cipolla annunciavano la loro esistenza a diversi relè Tor. Come è successo in 2014, a l'attaccante potrebbe potenzialmente controllare un numero sufficiente di relè per tenere traccia delle nuove registrazioni di servizi e lentamente costruire un elenco di siti di cipolle - sia segreto che pubblico - nel tempo.

Lo stesso difetto di progettazione ha anche permesso a un attaccante di prevedere quali relays un particolare servizio avrebbe contattato il giorno seguente, permettendo all'aderenza di diventare proprio questi relè e rendere il servizio di cipolla irraggiungibile. Non solo si potrebbe smascherare qualcuno che vuole gestire un servizio privato di cipolla segreto in determinate circostanze, ma il suo sito potrebbe essere effettivamente messo offline.

Gli aggiornamenti al sistema risolvere entrambi questi problemi. Innanzitutto, i relè che ogni servizio contatta per il check-in giornaliero saranno assegnati in modo casuale. E in secondo luogo, il messaggio di check-in sarà crittografato, quindi un relay può seguire le sue istruzioni, ma l'operatore umano non sarà in grado di leggerlo.

Denominare i domini in modo più sicuro

Un'altra forma di sicurezza fa sì che i nomi dei servizi di cipolla siano più difficili da ricordare. I domini di cipolla non sono nominati come i normali siti Web: facebook.com, theconversation.com e così via. Invece, i loro nomi derivano da dati crittografici generati casualmente e spesso appaiono come expyuzz4wqqyqhjn.onion, che è il sito web di The Tor Project. (È possibile generare ripetutamente domini ciprioti fino a quando un utente arriva a uno che è un po 'più facile da riconoscere. Facebook lo ha fatto e, con una combinazione di fortuna e potenza di calcolo cruda, è riuscito a creare facebookcorewwwi.onion.)

I vecchi servizi di cipolla avevano nomi composti da caratteri casuali 16. I nuovi useranno i caratteri 56, rendendo il loro nome di dominio simile a questo: l5satjgud6gucryazcyvyvhuxhr74u6ygigiuyixe3a6ysis67ororad.onion.

Mentre gli effetti esatti sulla capacità degli utenti di inserire gli indirizzi dei servizi di cipolla non sono stati studiati, l'allungamento del loro nome non dovrebbe influenzare molto le cose. Poiché i domini di cipolla sono sempre stati difficili da ricordare, la maggior parte degli utenti sfrutta i segnalibri del Tor Browser, oppure copia e incolla i nomi di dominio nei campi degli indirizzi.

Proteggere i siti di cipolla

Tutto questo nuovo design rende molto più difficile scoprire un servizio di cipolla il cui operatore vuole che rimanga nascosto. Ma cosa succede se un avversario riesce ancora a scoprirlo? Il Tor Project ha risolto il problema consentendo ai servizi di cipolla di sfidare gli utenti potenziali a inserire una password prima di utilizzarla.

Inoltre, The Tor Project sta aggiornando la crittografia utilizzata dai servizi di cipolla. Le versioni precedenti di Tor utilizzavano a cryptosystem chiamato RSA, che potrebbe essere rotto calcolando i due fattori primi di numeri molto grandi. Mentre RSA non è ancora considerato insicuro, i ricercatori hanno ideato diversi attacchi, quindi The Tor Project lo sta sostituendo con quello che viene chiamato crittografia a curva ellittica, che utilizza chiavi più brevi, più efficienti e intese almeno altrettanto sicure.

Gli sviluppatori stanno inoltre aggiornando altri elementi di base degli standard di crittografia utilizzati in Tor. La funzione di hash, che Tor usa per ricavare stringhe di testo corte e di lunghezza costante da dati arbitrariamente lunghi, cambierà dai problemi - e parzialmente rotto - SHA-1 al moderno SHA-3. Inoltre, le chiavi segrete per il Advanced Encryption Standard cryptosystem sarà due volte più lungo di prima - e quindi molto più difficile da rompere. Questi non affrontano specifiche minacce immediate, ma proteggono da futuri miglioramenti nell'attaccare la crittografia.

Con questi miglioramenti al software che esegue Tor, ci aspettiamo di essere in grado di prevenire attacchi futuri e proteggere gli utenti Tor in tutto il mondo. Tuttavia, un migliore anonimato è solo un aspetto del quadro generale. Sono necessari ulteriori esperimenti e ricerche per rendere i servizi di cipolla più facili da usare.

Circa l'autore

Philipp Winter, Postdoctoral Research Associate in Computer Science, Università di Princeton

Questo articolo è stato pubblicato in origine The Conversation. Leggi il articolo originale.

libri correlati

at InnerSelf Market e Amazon