Inicio / Blog / Anonimato e Internet. ¿Ilusión o realidad? Navegando en la “deep Web”

Anonimato e Internet. ¿Ilusión o realidad? Navegando en la “deep Web”

Publicado el 07/11/2013, por INCIBE
Red Tor

Anonimato en la red

¿Es posible conseguir el anonimato en Internet? Como ya hemos hablado en artículos anteriores, la actualidad trae de nuevo el proyecto referencia Tor a raíz del desmantelamiento de servicios ocultos auspiciados bajo el supuesto anonimato de dicha red. Tenemos casos recientes, como el que terminó con la detención del responsable de la red de servidores anónimos ‘Freedom Hosting’ en agosto de 2013, así como el posterior desmantelamiento del mercado negro ‘Silk Road’ a finales de septiembre, ambos tras la intervención por parte del FBI.

Silk Road

Ilustración 1. Sitio de contenido ilegal intervenido. Mensaje de aviso al acceder a Silk Road.
 

A estas alturas, es patente que las comunicaciones públicas en Internet y especialmente las redes anónimas, son un claro objetivo de vigilancia para el seguimiento de actividades ilegales, espionaje político y/o industrial, rastreo de organizaciones terroristas, etc. Además, tras casos como el del malware Stuxnet en 2010, diseñado específicamente para atacar centrales nucleares o, el más reciente, Flame diseñado para el ciberespionaje industrial, hace que gobiernos internacionales tomen conciencia de las amenazas reales que existen contra infraestructuras críticas y que pueden poner en peligro la seguridad de un país.

Por otra parte, existen otras vías de comunicación utilizadas en conjunción (o no) con Tor y basadas en canales privados protegidos por registro de usuario y contraseña, canales IRC, chats anónimos, etc. y tras los cuales, muchas veces se ocultan distintas organizaciones ilegales, como mercados de drogas o armas, redes de pedofilia, movimientos hacktivistas, etc. Estas vías para establecer comunicaciones en un entorno privado constituyen una fuente de interés más para la observación y el espionaje. Es conocido, por ejemplo, el caso de inspección de las comunicaciones en Siria o Irán por parte de sus gobiernos y proveedores de internet, usando tecnologías DPI (Deep Packet Inspection) como queda reflejado en el estudio realizado por Citizen Labs de la Universidad de Toronto.

Blue Coat

Ilustración 2. Identificación de dispositivos de inspección de tráfico Blue Coat.

Queda claro entonces que, hoy en día, es considerado como asunto crítico el control de las comunicaciones en Internet para detectar y prevenir cualquier amenaza que pueda comprometer la seguridad de empresas, organizaciones o países, asumiendo el efecto lateral que ello conlleva: la vulneración de los derechos de privacidad de los usuarios en las comunicaciones digitales.

Esta situación ya patente de observación digital, hace florecer el interés por encontrar vías privadas para publicar o acceder a contenidos Web ocultos en Internet, e “invisibles” en la medida de lo posible, a los canales de comunicación o métodos de navegación tradicionales. Hablamos de la “red profunda” o “deep Web”.

¿Qué es la ‘deep Web’?

Por deep Web entendemos aquellos lugares o contenidos existentes en Internet que no son alcanzables directamente desde un navegador convencional. Se organizan bajo dominios auspiciados en redes anónimas Tor. Estos dominios se identifican por la etiqueta .onion y sólo son alcanzables dentro de la red Tor con herramientas y navegadores adaptados, como Tor Browser Bundle, preparado para manejar direcciones .onion. El anonimato de esta resolución de nombres se mantiene al no tratarse de una organización de nombres jerárquicos y mnemotécnicos como son los DNS, sino un mecanismo de nombres (hashes) generados criptográficamente en cada servicio o nodo de la red. Estos hashes se anuncian en servidores distribuidos que publican tablas de hashes de servicios dados de alta.

Aunque con limitaciones, existen alternativas para acceder a recursos en la deep Web sin establecer conexión, como son los proxies (Tor2Web, Onion.lu, etc.), los cuales establecen una conexión entre los dos “mundos” y proporcionan una pasarela a los navegadores convencionales. Obviamente, si optamos por mantener un alto grado de anonimato estas opciones no ofrecen ninguna garantía, puesto que todas las comunicaciones con un proxy web carecen de anonimato.

Privacidad en la red Tor. Un asunto cuestionable

Aunque el proyecto de la red Tor nace con objetivos totalmente legítimos y su filosofía actual es la de proporcionar software libre en defensa de la libertad digital, la utilización que se hace de esta red para mover material ilegal y realizar acciones delictivas la convierten, como ya se ha explicado, en un objetivo principal de inspección y/o espionaje. Con tal motivación surgen opciones de ataque sobre la infraestructura Tor como, por ejemplo, posibilidad de existencia de nodos de salida controlados (de los cuales hablaremos más adelante) con el objetivo de averiguar la identidad de usuarios, o incluso ataques que puedan romper el cifrado en uso (RSA) y descifrar las comunicaciones, como ha sido sugerido con anterioridad.

De igual manera, es importante saber que las propias aplicaciones Web que se estén visitando desde Tor pueden ser también vulnerables (como, por ejemplo, a inyecciones SQL) entre otros problemas de seguridad, comprometiendo así la información privada de su administrador y usuarios registrados, pudiendo incluso modificar el sitio y servir malware a sus visitantes.

Aparte de las vulnerabilidades desconocidas que estén presentes en las aplicaciones Web o en el propio navegador como el ya famoso (y explotado) fallo de seguridad en Tor Browser, surgen otras dudas: ¿podrían sus autores haber incluido puertas traseras? En noticias recientes, diversas compañías han recibido supuestos mensajes por parte de servicios secretos con el objetivo de añadir backdoors en aplicaciones sensibles y utilizadas habitualmente por los usuarios, aparte de contar con acceso directo a información restringida en determinados servicios Web.

Como vemos, es cuestionable un anonimato total aún con el uso de redes anónimas. Más adelante se detallarán algunos de los posibles ataques sobre Tor.

Buscando contenidos

En la deep Web no existe un mecanismo fijo para buscar contenidos. Recordemos que no hay una indexación en el sentido estricto como lo hay en la Web normal. Existen nodos en Tor donde se categorizan y se proporcionan enlaces (hashes) .onion. Adicionalmente, existen motores de búsqueda especializados en temáticas (documentos, vídeos, productos, etc.), pero no son muy estables y suelen cambiar y rotar con frecuencia. También se puede recurrir a sitios como PasteBin y similares para encontrar enlaces. Una vez encontrado un enlace, se consultan las bases distribuidas de hashes para poder establecer la comunicación con el servicio a través de un relay en un punto de encuentro, como se ha descrito en el apartado anterior.

Apple Land

Ilustración 3. Servicio oculto .onion.

En cualquier caso, y como ya se describió en el artículo BlackMarket, no sólo es posible anunciar servicios ocultos usando Tor. Existen multitud de contenidos no exclusivamente ocultos en Tor pero restringidos y sólo accesibles con autorización o vías de comunicación privadas.

Black Market

Ilustración 4. Black Market. Acceso restringido a contenidos.

Una de las ventajas que pueden ofrecer este tipo de redes es facilitar cierto anonimato al usuario. Por otro lado, el hecho de que estas redes sean reconocidas como “anónimas” ofrecen a los usuarios una falsa sensación de seguridad, puesto que ningún tipo de servicio puede garantizar un anonimato completo en Internet. Como se ha visto, podrían existir vulnerabilidades en el sistema criptográfico, o incluso backdoors que permitan tomar el control a las autoridades en caso de delito.

Publicando servicios ocultos

Es posible publicar un servicio oculto como, por ejemplo, un sitio Web y anunciarlo de forma anónima sin revelar su IP. Para ello, se hace uso de la funcionalidad de servicios ocultos de Tor, que en grandes líneas consiste en lo siguiente: Se da de alta un servicio. Para ello, se genera lo que se denomina un descriptor del servicio. Este descriptor contiene la clave pública del servicio y los nodos desde donde hay un circuito de conexión (Introduction Point o punto de introducción). Tienen el formato de hash ya descrito, consistente en una secuencia de 16 caracteres seguidos de un sufijo .onion. Estos se anuncian en bases de datos distribuidas que almacenan tablas de descriptores.

Ilustración 5. Publicación servicio oculto. Base de datos de hashes y puntos de introducción.

El cliente solicita el descriptor a la base de datos para conocer la clave pública del servicio y el punto de introducción con el que comunicar para acordar una conexión. Se envía un mensaje al punto de introducción, proponiendo al servicio un tercer nodo que actúe de relay (Rendevous Point o punto de encuentro) entre ambos. Además se envía una cookie que actuará de clave temporal en la comunicación.

Base Datos

Ilustración 6. Acceso a un sitio oculto. Consulta base datos. Contacto con Punto. Introducción y fijado de Punto de encuentro.

De este modo, y puesto que la conexión entre ambos a este punto de encuentro intermedio es mediante un circuito Tor, la comunicación entre cliente y servicio es totalmente anónima. El punto de encuentro actúa únicamente como relay de mensajes cifrados entre cliente y servicio. La conexión está conseguida y ninguna de las dos partes conoce la ubicación del otro.
 

Punto Encuentro

Ilustración 7. Acceso anónimo a un sitio oculto a través de un punto de encuentro.

Posibles ataques contra la red Tor

Tomando como referencia la tesis “Analyzing the Effectiveness of Passive Correlation Attackson the Tor Anonymity Network”, publicada en la Universidad de Wesleyan en 2011, podemos resumir principalmente los siguientes vectores de ataque en la red Tor.

  • Control de nodos: Monitorizar las conexiones sobre el último nodo. Como sabemos, los nodos de salida no tienen una conexión cifrada. A este respecto, debemos tener claro que Tor garantiza el anonimato, pero no la privacidad. El proyecto Tor aplica una mayor vigilancia a los nodos de salida y recomienda prestar especial atención a estos nodos.
  • Control de descriptores: Alterar la tabla de hashes distribuida para dirigir la comunicación a un servidor controlado.
  • Honeypots: Sitios preparados específicamente para observar cómo operan los atacantes e intentar captar su información.
  • DNS leaks: Las consultas DNS realizadas fuera de Tor pueden ser utilizadas para tracear una conexión. Para conocer y prevenir estas fugas se recomienda seguir las indicaciones de Tor Project.
  • Forzado de tráfico: Con el objetivo de localizar rutas entre un origen y un destino, se utilizan distintas técnicas para forzar las comunicaciones a dirigirse a través de nodos predeterminados u obligar a establecer un número elevado de conexiones, analizando tiempos de respuesta para identificar el origen.
  • Análisis y correlación: Utilizar capturas de tráfico entre nodos de entrada (cifrado) y salida (sin cifrar) para buscar asociaciones.

Conclusión

Queda claro que, hoy en día, la privacidad en las comunicaciones de Internet no es algo sencillo de conseguir y las redes anónimas pueden darnos una sensación de anonimato que no siempre se ajusta a la realidad. Otras vías alternativas o complementarias a las redes anónimas son ampliamente utilizadas para intentar alcanzar el anonimato en internet, lo que en la actualidad no parece en ningún caso garantía de poder conseguirse totalmente.

Como nota final, es importante destacar la vital importancia de hacer de estas redes un uso plenamente responsable, así como entender su correcto funcionamiento.