Ранее сообщалось (http://www.opennet.me/opennews/art.shtml?num=40258), что МВД РФ объявило конкурс на исследование возможности взлома сети Tor. Однако, как сообщило (http://www.kommersant.ru/doc/2805960) сегодня издание "Коммерсант", добиться идентификации пользователей анонимной сети Tor оказалось не так просто, как предполагало МВД. Центральный научно-исследовательский институт экономики, информатики и систем управления (ЦНИИ ЭИСУ), который МВД привлекло для борьбы с анонимностью в сети, намерен в одностороннем порядке отказаться от выполнения этих работ и нанял юристов для помощи в расторжении госконтракта.
URL: http://www.kommersant.ru/doc/2805960
Новость: http://www.opennet.me/opennews/art.shtml?num=42938
>>МВД привлекло для борьбы с анонимностью в сетиПросто жесть. Борятся с анонимностью в сети, да ещё и по своей инициативе. Epic Fail.
Скорее пропиарились, причём довольно дёшево. Всего 4 миллиона, это где-то половина средней зарплаты программиста в силиконовой долине
ага в день. работал - подтверждаю. а что долина силикованная - кидалово - все свое.
Расслабьтесь и получайте удовольствие.
Тут пару лет назад отписывался парнишка из Питера, который реализовал деанонимизатор.
Осмотрел его успехи и впечатлился.Уверен, что его наработки просто пристроили в каком-нибудь эксплойт-паке и сделали решение, выполняющее поставленную задачу.
А теперь, чтоб скрыть факт выполнения контракта от любопытных, перешли к следующей стадии - расторжение контракта с попутным рефинансированием института по другим счетам и статьям.
Юристов оплатит государство, суд присудит кого-нибудь наказать и его уволят с неправильной должности без права занимать такую должность. Он займет правильную и будет дальше работать.
В итоге, МВД не получит что хотело, это получит другой заказчик, кому МВД был руками заказчика в тендере.
> Тут пару лет назад отписывался парнишка из Питера, который реализовал деанонимизатор.Деанонимизация тора - штука условная и ненадежная. При правильном подходе - некий результат получить можно, но только в паре с оперативной работой и прочая. Так что даже NSA все-таки считает тор "вонючкой". Потому что результат уже не стопроцентный и возни сильно больше.
> Уверен, что его наработки просто пристроили в каком-нибудь эксплойт-паке
Вот это в прицнипе возможно.
> и сделали решение, выполняющее поставленную задачу.
Эта штука duq называется. Там разведовательным модулем недавно nag.ru гасили через 0day в лисе. И не только их, наверняка. Правда что-то мне кажется что это не МВД было.
> В итоге, МВД не получит что хотело,
Вот это далеко не факт. Но с точки зрения безопасника/сетевика - действовать следует так, как если бы все обстояло именно так.
только в силиконовой долине берут деваху в напарницы и ломают кровати, а не анонимные сети =)
Лучший коммент, смеялсо, спасибо )))
Ну да.
Тех кто путает https://en.wikipedia.org/wiki/Silicon_Valley и https://en.wikipedia.org/wiki/San_Fernando_Valley постигает грусть при попытке во второй устроиться на работу. Ну или не грусть, зависит от человека.
Особенно тех, кто путает силиконовую и кремниевую, ага.
Перевод то хоть посмотрите... А то эпично.
Так им анонимность в сети как кость в горле, вот и борются. Была б их воля, они в сеть только по паспорту пускали бы.
а что у вас есть анонимные точки входа?
типа свободная продажа сим карт, по всюду анонимные и свободные точки вайфай, ананимные инет-кафе без наблюдения за посетителями?
новость не читай @ комменты оставляй!
так прям анб и разрешило им подглядывать за своей кухней, пусть свой чебураtor пилят и пропагандируют среди угнетённых цензурой и запретами янок
Кто обидит чебурашку, получит по морде от мастера Йоды.
> Кто обидит чебурашку, получит по морде от мастера Йоды.А мастер Йода - получит от крокодила Гены, за присвоение себе чужих функций.
> А мастер Йода - получит от крокодила Гены, за присвоение себе чужих
> функций.А потом вас всех отпустит и будет грустно )))
Нанял анонимных юристов.
> Нанял анонимных юристов.Ха-ха, я оценил :)
В НИИ контракты подписывают менеджеры?
Менеджер подписал задание "слетать на алмазную планету и напилить там 10т алмазов", но как передали в работу технари повесились?
Содомит :)
Не только в НИИ, в некоторых других госконторах тоже. Увидели кучу денег - а давайте за это возьмёмся!
Так-с, дата, подпись, печать... Зови главного инженера, будем ему сейчас задачи ставить.
Думаете, госзаказ не выполнен и денюжка вернётся в бюджет? Да нифига! Те 10 лимончиков, которые обещали за взлом Тора, теперь будут попилены на судебных издержках при расторжении контракта. Всё нормально.
Там всего 4 жалких ляма, а вот дерьмо с их вентиллятора разлетеось аж по всей вселенной.
> Там всего 4 жалких лямаФигасе люди зажрались... Где можно взять 4 "жалких ляма"? Ты, случайно, не раздаёшь жалкие лямы, по 4 в одни руки?
P.S.: Щоб ты также говорил, когда идёшь платить налоги.
> Там всего 4 жалких ляма, а вот дерьмо с их вентиллятора разлетеосьПодумаешь - годовой бюджет какой нибудь открытой бзди с опенссх в придачу :)
Там у прошлого ген. дира 512 лямов пропало. Вот это Мужик!
А над этим проектом один человек работал. Могe даже имя назвать :-D
> А над этим проектом один человек работал. Могe даже имя назвать :-DНе надо.
Почему?
Не факт что эта новость специально не создана для отвода глаз. Может как раз таки нашли способ ломануть.
Не знаю, мне почему-то легко верится в обосрамс.
> Не знаю, мне почему-то легко верится в обосрамс.Однако в вопросах сетевой безопасности оптимизм - штука чреватая...
> Не знаю, мне почему-то легко верится в обосрамс.Там вроде-как надо свои выходные ноды ставить, и еще тайминг-атаки юзать можно... Раньше уже писалось об этом, можно нагуглить. Но их МВД еще об I2P не слыхало - там все немного интересней, особенно если пользователь сети с головой дружит (фактически достаточно рубить жабоскрипт на клиенте каким-нибудь NoScript и все).
Так и есть - для отвода глаз, но не конкретно эта новость, а общий информационный фон в течении нескольких лет про то что Tor якобы обеспечивает анонимность.
Так что, не обеспечивает?
обеспечивает, пока вы никому не интересны.
Пока вы никому не интересны, обычный серфинг анонимен.
При обычном сёрфинге "вы никому не интересны" давно закончилось
Ну, в основном заинтересованы все-таки не в вас, а в вашем кошельке...
> Ну, в основном заинтересованы все-таки не в вас, а в вашем кошельке...но что бы открыть ваш кошелек приходится интересоваться вами.
Так общий информационный фон как раз про то, что "ничто не обеспечивает анонимность".
Всем пофиг. Деньги наши жалко, конечно, но все равно - nobody cares.
> Деньги наши жалкоНу про то ушли или нет деньги еще не понятно.
У нас вот тоже на работы одна компания выиграла, да произвела не в срок, денежки им не дали - бегали потом по судам...
значит уже взломали
что есть, то есть - в ФСБ явно люди посерьезнее сидят :)
> что есть, то есть - в ФСБ явно люди посерьезнее сидят :)Там казахи теперь неумытые сидят. Ты бы знал!
Мы знаем.
А почемууу?? Кто нас защитит теперь, сирых и убогих?
> А почемууу?? Кто нас защитит теперь, сирых и убогих?Сдался ты кому-то, чтобы тебя защищать. Вот ОТ тебя - может и будут защищать тех кто рангом повыше или с кошельком потолще (впрочем, первое без второго не бывает).
Ха-ха. Я бы напрягся, если бы Китай или Америка за это взялись. А тут всё и так было понятно. Не по Сеньке шапка.
русские хакеры самые лучшие в мире. не знал? это даже амеры подтверждают.)) такчто вероятность взлома весьма велика. я бы сказал тор уже лажал открытой передачей данных, так что изнутри ломануть проще.
Россия -- родина хакеров!
да да. еще в средневековье взламывали броню крестоносцев))))
Да ладно, там очевидный баг нашли - она тонула вместе с хозяином...
ну так это крестоносцы. ничего в жизни не видели кроме европы, а тут на и в россию приперлись. им и показали на очевидный баг в их программном продукте.)) да и гитлер тоже проверил на своей шкуре, правда возились дольше, но результат..))
Россия - родина слонов!
Ура, свободная и богатая Америка снова победила гнусную отсталую Россию! Теперь их зонды будут ещё глубже проникать в самые глубокие места человечества.
А вам то какое дело до человечества? Оставьте его в покое уже
> зонды будут ещё глубже проникать в самые глубокие места человечества.Ну а что, duq вон на наге летал. И наверняка такое счастье много где нынче. Можете каспера себе поставить. Тогда сначала у вас спи...т файлы duq, а потом придет каспер, обидится на такую наглость, настучит duq в репу и ... ну вы правильно поняли, каспер тоже спи...т ваши файлы, только на более правильные по его мнению сервера :)
> каспер
> тоже спи...т ваши файлы, только на более правильные по его мнению
> сервера :)Но раньше всех их будет тырить вин10, которая это обещает в лиц. соглашении ))) Тройная синхронизация, лол )
> Но раньше всех их будет тырить вин10,Ну, блин, производителю операционки не логично оставаться в стороне. А потом окажется что интель через свое AMT тоже себе дампов памяти с котятами на память прихватил, да и винч вниманием не обошел.
хер че там вернут.
Исследование анонимности.
Ну будет результат типа Tor очень анонимен, деанонимизация возможно только при значительной подмене узлов. ( была на опеннете новость что таки подменяли какую то капельку в море)А на деле..
А на деле вас можно в принципе вычислить при использовании BIg Data
Вот лазите вы по форуму МВД и пишете гадости.
Потом лазите по форуму ФСБ и пишете гадости.
Долго пишите гадости, месяц-два три. Все через тор.А на третий месяц к вам стучатся дяденьки из ФСБ, потому что вас вычислили по характерным исключительно для вас ошибкам письма, опечаткам и используемому словарю, потому как вы имели неосторожность что-то тиснуть в свой личный бложек, запалив свой настоящий никнейм.
> А на третий месяц к вам стучатся дяденьки из ФСБ, потому что вас вычислили по характерным исключительно для вас ошибкам письма, опечаткам и используемому словарю, потому как вы имели неосторожность что-то тиснуть в свой личный бложек, запалив свой настоящий никнейм.Личнай бложыг гойворишь хехе
>> А на третий месяц к вам стучатся дяденьки из ФСБ, потому что вас вычислили по характерным исключительно для вас ошибкам письма, опечаткам и используемому словарю, потому как вы имели неосторожность что-то тиснуть в свой личный бложек, запалив свой настоящий никнейм.
> Личнай бложыг гойворишь хехеНовость читал, что амеры нашли какого-то студента который занимался интернет терроризмом через тор..
Все банально просто.
Сначала тупо допросили свидетелей кто в принципе мог нагадить родному кампусу.А дальше просто проверили наличие Тор-браузера на компе и осталось что то типа 20 кандидатов.
И, что там такого сложного? Просто выставить всем клиентам MITM с подменой ключей шифрования. В отличии от SSL вопить не должно. Все узлы TOR известны, так, что роутить абсолютно весь трафик не обязательно. И не будет иметь значения через сколько нод проходят трафик, если они все на самом деле СОРМ под боком. А искать кого то за пределами юрисдикции в любом случае гиблое дело.
> что там такого сложного?
> Просто
> не должно
> Все узлы TOR известныЕсли все «ломальщики» столь же компетентны, то о надёжности Tor можно в ближайшие десятилетия не беспокоиться.
тор же уже светил данные пользователей и пароли в том числе причем открыто без шифрования)) полагаю даже эти ломальщики смогут когда нибудь спровоцировать еще один баг)) а так тор взломать можно, потому как нет защищенных систем))
> тор же уже светил данные пользователей и пароли в том числе
> причем открыто без шифрования)) полагаю даже эти ломальщики смогут когда нибудь
> спровоцировать еще один баг)) а так тор взломать можно, потому как
> нет защищенных систем))Кто сказал, что заявка касается сети TOR? В тексте заявки этой инфы нет. Кодовое название ТОР может означать всё, что угодно.
> Просто выставить всем клиентам MITM с подменой ключей шифрования.И все бы ничего, только вот клиентский софт этому способствовать ни разу не собирается. А кто тебе сказал что Tor или браузеры намерены довольствоваться левыми ключами? Или ты думаешь что там авторы настолько клинические дeбилы? У них конечно есть алгоритмические продолбы, но не настолько же!
> В отличии от SSL вопить не должно.
Оно просто не будет использовать откровенно левые узлы. Что-что а клиенты хранят список хэшей ключей узлов которые они намереваются использовать и просто так втереться туда - ну не то что абсолютно невозможно, но...
> Все узлы TOR известны,
Размечтался то. Известны все exit nodes. А как тебе например тот факт что существуют bridges, которые нигде не указываются вообще? Выдаются пипеткой, по три штуки в одни руки. Пока ты их список собирать будешь через такую пипетку - появится over 9000 новых, сильно нивелировав ценность этой инициативы.
> так, что роутить абсолютно весь трафик не обязательно.
На самом деле Tor не идеально устойчив к атакам, есть ряд слабых мест - полагаться только на него - для требовательных применений не стоит, т.к. атаки - все-таки есть. Они не 100% успешны и прочая, но 100% на самом деле и не надо.
> все на самом деле СОРМ под боком.
У половины провайдеров СОРМ вообще есть только на бумаге, для начала. А даже если и не на бумаге, то все что он видит - несколько каких-то шифрованных конекций куда-то. Не больно информативно.
> А искать кого то за пределами юрисдикции в любом случае гиблое дело.
В случае Tor юзерь мотается по разным exit nodes, летая из юрисдикции в юрисдикцию...
>Оно просто не будет использовать откровенно левые узлы. Что-что а клиенты хранят список хэшей ключей узлов которые они намереваются использовать и просто так втереться туда - ну не то что абсолютно невозможно, но...Абсолютно любой может объявить себя нодой! А значит никаких заранее известных ключей и цифровых подписей. В лучшем случае первичный список. Хеш есть только от ключа конечного узла и кешировынных узлов. Кешированные узлы отправляем в blackhole и создаём новые свои.
>А как тебе например тот факт что существуют bridges
Аналог VPN, легко вычисляются по трафику за пару минут и отправляются в бан.
>У половины провайдеров СОРМ вообще есть только на бумаге, для начала. А даже если и не на бумаге, то все что он видит - несколько каких-то шифрованных конекций куда-то. Не больно информативно.
Ну СОРМ допустим вообще спуфингом не занимается... пока. Но к внезапному отказу МВД от самой идеи это отношение не имеет.
>В случае Tor юзерь мотается по разным exit nodes, летая из юрисдикции в юрисдикцию...
Или думает, что метается общаясь с единственным узлом ФСБ в паре километров от Вас. И только потом отправляется в TOR сеть.
> Абсолютно любой может объявить себя нодой!Ну да. И это может быть использовано. Но - лишь до некоторой степени.
> А значит никаких заранее известных ключей и цифровых подписей.
На самом деле в случае именно Tor это не так - directory таки именно заведуют списками. И кроме всего прочего можно и послать в пень откровенно проблемные узлы. Это и баг и фича дизайна. В смысле - а кто будет проверять проверяющих? Но поскольку директории рулятся EFF-ом, эффективно понажать на EFF местные гоп-стоп-законотворцы не смогут и поэтому эта опция им будет недоступна. Если же вы больше боитесь внимания АНБ - вот тут уже более интересный вопрос.
> от ключа конечного узла и кешировынных узлов. Кешированные узлы отправляем в
> blackhole и создаём новые свои.Как вы себе представляете "отправляем в blackhole" с практической точки зрения? Вы такой крутой и легко зарубаетесь с P2P-образной сетью, с достатчно неопределенным составом участников, не зная что искать? При том что сеть свой трафф старается особо не выделять из остального?
Кроме того, если это каким-то чудом вдруг получится, эта ситуация потенциально очень заметна. А tor-ом в основном все-таки пользуются опытные пользователи. В результате все "ваши" узлы могут быть в два счета запалены и заблокированы на уровне директорий, которые более не будут эти узлы сватать клиентам. На чем атака и встрянет: все клиенты перестанут явно проблемными узлами пользоваться.
На самом деле существуют отдаленные модификации инициатив в таком стиле, но их успех далеко не 100% и вообще, работает сие только с кучей допущений и оговорок. NSA как раз именно этим фактом и недовольно. Это вам не призмой весь трафф нахаляву собирать...
> Аналог VPN, легко вычисляются по трафику за пару минут
Удачи в этом начинании. После того как у юзерей загнется их viber, skype, онлайн банкинг и что там у них еще - будет много лулзов.
> и отправляются в бан.
Как вы думаете, что будет дальше? Ну ок, если вы сможете вдруг извести все бриджи известные конкретному хомяку - у хомяка перестанет работать tor, поскольку он в таком режиме только их и использует. Это будет единственным достижением. О котором вас, впрочем, никто не будет явно информировать и вы об этом сколь-нибудь достоверно так и не узнаете.
Правда не совсем понятно - почему столько внимания, и почему - именно этому хомяку. Тем более что хомяк мог пипеткой набрать 20 бриджей, если не ленивый. Ну как, если давление постоянное - значит, юзерь будет периодически дергать бриджи. За недельку настреляет пару десятков, ненапряжненько и между делом. И трафф таки размажется на все 20. И отсвечивать будет очень слабо.
> Ну СОРМ допустим вообще спуфингом не занимается... пока. Но к внезапному отказу
> МВД от самой идеи это отношение не имеет.На самом деле есть и теория и практика и защиты и нападения. Но мне кажется что МВД и за такие суммы - дырку от бублика получит. И в любом случае, на 100% поломать тор не получтися. Даже китай с более другой компетенцией и ресурсами по этому поводу буксует. Они кстати придумали забавную технику обнаружения узлов. Но даже ее можно нагнуть. Хоть уже и не Tor, а слегка другой топологией и иными подходами.
> Или думает, что метается общаясь с единственным узлом ФСБ в паре километров
> от Вас. И только потом отправляется в TOR сеть.И, конечно же, все клинические дeбилы и не умеют смотреть куда идет конект с entry, кто exit и прочая.
Был объявлен тендер по расторжению тендера :)
Если бы действительно хотели бы взломать Tor, то надо было объявлять конкурс в виде закрытого соревнования, чтобы любой мог получить деньги если продемонстрирует метод.
И кто-то должен будет разгребать тонны ламерских откликов - скорее всего, с нулевым выхлопом. Дешевле институт купить.
Google же разгребает и платит за уязвимости.А покупка института ничего не даст туда тоже специалистов нужно искать, разгребая тонны "ламерских" резюме, которые ничего не гарантируют. И разница в том, что если кто то предъявляет метод, то проверить этот метод надежнее, метод либо работает, либо нет, чем после проверки резюме надеяться, что возможно этому сотруднику института удастся, что то сделать.
"Нанять/купить институт" - это и есть метод ЦНИИ ИЭСУ.
денег на взлом больше не выделяют, вот и забили на взлом, так можно до пенсии ломать
специально так сказали, что не получилось, чтобы враги™ расслабились и их можно было бы легко найти
да да. согласен. тор недавно обязали открывать серваки для английской нацбезопасности. так что ребята проще это делается и ломать не надо))
пруф?
Что?
> Что?правда только по сервакам в англии. если там серваков не будет то и проблем не будет.))
Зачастую все смотрят на сетевую инфрастуктуру.
А а на самом деле зачастую проще воздействовать через клиентское ПО. Tor Browser строится на основе фурифокса, уже на практике были замечены в нём практические 0day уязвимости, которые с успехом использовались.
> Browser строится на основе фурифокса, уже на практике были замечены в
> нём практические 0day уязвимости, которые с успехом использовались.Нафиг тор-браузер, есть опера12 браузер с индетификацией как iphone )) Ломайте на здоровье, гыгы ))
> Нафиг тор-браузер, есть опера12 браузер с индетификацией как iphone ))Два эксперта встретились. А что, эксперт, ты все еще продолжаешь считать что под DOS не бывает вирусов? А так - подобная связка как раз очень хорошо будет обнаруживаться. Да и 0day в ней может найтись. ЧСХ, его в 12 опере никто никогда не починит и он будет работать условно-вечно. А то что это фэйковая идентификация - можно проверить дюжиной способов. Скажем, user-agent это прекрасно. А ты знаешь какие строки получает JS в качестве описания браузера? Да у тебя наверное ума не хватило вообще посмотреть это.
Да и так все знают что у МВД у каждого провайдера мент на раскладушке спит, так что им TOR деанонимизировать как не фиг делать даже без решения суда. Если вы понимаете о чем я.
>Да и так все знают что у МВД у каждого провайдера мент на раскладушке спитЗнаете, судя по нескольким активно функционирующим притонам в моём доме и окрестностях, гражданам работающим в районном отделе полиции глубоко фиолетово даже на вполне реальных преступников "работающих" в их районе, а уж до виртуальных им и подавно нет дела.
Это ты зря так думаешь, уверен что в МВД регулярно получают денежку за функционирование этих притонов.
Что и следовало ожидать от некомпетентных российских чиновников и "учёных".
два варианта вижу:
1. работа выполнена, пускаем дым.
2. деньги кончились, красть больше нечего.
> два варианта вижу:
> 1. работа выполнена, пускаем дым.
> 2. деньги кончились, красть больше нечего.Лучше не варианты, а этапы. И их последовательность обратная.
Но больше всего это похоже на высосанную из пальца теорию заговора "журналистами" желтой газеты. (Если сходить по ссылке и почитать)
Специально обученные тролли пытаются доказать, что анонимности не может быть вообще, а потому не надо и пытаться.Хотя на самом деле это, по крайней мере, не совсем так.
При этом чем больше пользователей применяют TOR или VPN, тем менее заметны на общем фоне те, за кем власти хотят следить.
Именно поэтому задача троллей - сделать так, чтобы эти и другие средства анонимизации использовало поменьше народу.
Всё ровно с точностью до наоборот, специально обученные тролли пытаются навязать мысль что Tor обеспечивает анонимность.
Только что вы увидели то, как один специально обученный тролль уверяет, что над ним – специально обученный тролль. Ляпота.
Что-то странноватая новость. Если в ТЗ по НИР было прописано именно "исследование возможности взлома сети Tor" или нечто похожее, то такой контракт попробуй завали — ну вот мы исследовали, все плохо, она не ломается, хотя можно попробовать что-нибудь из дальнейшего списка: (...), что и будет темой второго этапа НИР.Но вот если в ТЗ была разработка чего-то вроде "разработка методик определения <кто куда ходил> на основании статистических данных о сетевых сессиях, полученных от провайдеров", то есть просто чОрный ящик — тут надежных и быстрых методик нету, да, контракт хрен выполнишь.