Apesar de o projeto Tor garantir a proteção de dados e o anonimato dos usuários enquanto navega pela internet — permitindo o acesso à deep web, por exemplo — o navegador alternativo tem sido acusado de apresentar grandes falhas de segurança. Em julho, o pesquisador de segurança Neal Krawetz divulgou duas ocorrências zero-day (graves vulnerabilidades desconhecidas do desenvolvedor) no sistema Tor, e pretende anunciar mais três erros em breve.

O primeiro erro foi reportado no dia 23 de julho. O Dr. Neal Krawetz publicou que empresas e provedores de internet poderiam impedir que os usuários se conectassem à rede Tor, examinando as conexões de rede em busca de “uma assinatura de pacote distinta”, recurso exclusivo do software. O banimento do tráfego pelo Tor poderia ser realizado por regimes opressores que restringem o acesso à internet, já que o navegador permite que usuários tenham acesso a ‘sites proibidos‘ pelos seus países.

A segunda falha descoberta aponta que operadores de rede podem reconhecer o tráfego do Tor mesmo por acessos indiretos — conexões com as pontes Tor. Ou seja, o rastreamento de pacotes TCP não só permitiria a identificação de acessos diretos pela rede Tor (primeiro zero-day), como também detectaria uma via alternativa de acesso encontrada pelos “mais espertos”.

“Com minhas duas publicações, você agora tem tudo o que precisa para aplicar a política [de bloquear o Tor em uma rede] com um pacote de inspeção de sistema em tempo real. Você pode impedir o acesso de todos os usuários à rede Tor, estejam eles conectados de forma direta ou indireta”, aponta Krawetz.

20180920183940.jpg

Falhas encontradas podem banir acessos de usuários à rede Tor. Foto: Reprodução/Tor

 

As publicações do Dr. Neal Krawetz são resultantes da falta de correções de bugs anteriores — descobertos pelo próprio pesquisador —, fazendo com que Neal abandonasse o projeto Tor. Krawetz já havia reportado:

  • um bug que permite que sites detectem as impressões digitais de usuários do Tor por meio de uma estimativa da largura de sua barra de rolagem;
  • um bug que expõe os servidores de ponte Tor à redes concorrentes por meio do roteamento Onion;
  • um bug que permite a detecção da SSL — criptografia de dados entre duas aplicações — utilizada nos servidores Tor.

 

Tor se posiciona

Pelo Twitter, a companhia disse estar ciente dos possíveis métodos de identificações relatados pelo pesquisador, mas afirmou que os banimentos não podem ser realizados em escala. 

“Pessoas têm nos questionado sobre uma série de bugs que estão sendo veiculados e classificados incorretamente como zero-days. Sempre que formos notificados de bugs com alto risco de segurança, nós iremos, como sempre, abordar esses problemas e formalizar respostas para que vocês saibam o que está acontecendo”, diz o tuíte.

 

 

A companhia informou que estava ciente sobre a falha referente à identificação do sistema do usuário pela largura da barra de rolagem, mas a não comunicação entre o sistema operacional do usuário e o navegador Tor pode resultar em ‘crashes’ de alguns sites. A Tor afirmou já estar trabalhando para eliminar essa violação de privacidade, mas como a empresa não quer comprometer o acesso a páginas da web durante esse intervalo, o reparo pode levar tempo.

Quanto à identificação da impressão digital de dispositivo baseadas nos protocolos de tráfego SSL e TLP, a Tor afirmou que há uma equipe de segurança atuando no problema e tem investido para a solução do caso.

O post abordou ainda o erro que permite operadores de rede reconhecerem o tráfego do Tor por acessos indiretos ou indiretos. Segundo a companhia, além de o método não ser totalmente eficaz, dificilmente pode ser usado em larga escala, dado o alto custo operacional.

 

Via: ZDNet