Han surgido nuevas teorías sobre cómo las autoridades alemanas rompieron el anonimato del administrador de un sitio web criminal de la darknet en 2021, exponiendo una vulnerabilidad importante en la red de privacidad de Tor.

Si bien las autoridades no han revelado sus secretos sobre cómo se llevó a cabo esto, un informe de septiembre de 2024 especula que utilizaron análisis de tiempo y servidores comprometidos para rastrear con éxito la IP de “Andrés G”, el presunto operador de “Boystown”, un sitio de la darknet para pornografía infantil.

El propio Tor admite que desconoce el método exacto, pero sospecha que la operación de las autoridades alemanas aprovechó un mensajero de chat obsoleto llamado Ricochet que estaba usando el criminal arrestado.

En respuesta a los informes de los medios alemanes, Tor dijo en una publicación de blog que los usuarios pueden seguir usando su navegador para acceder a la web “de forma segura y anónima”.

“Además de agregar relés y ancho de banda, el equipo de la red Tor también implementó recientemente nuevas características críticas para mejorar los mecanismos de defensa, la velocidad y el rendimiento de la red Tor”, dijo Pavel Zoneff, director de comunicaciones estratégicas de Tor, a Cointelegraph.

Las fortificaciones de Tor ciertamente han sido reforzadas, pero llamarlo completamente impenetrable es más complejo.

“Si puedes monitorear los flujos de datos en su origen, su destino y/o lugares útiles en el medio donde razonablemente puedes correlacionar el tráfico con cualquiera de los puntos finales, los ataques de análisis de tiempo siempre son posibles”, dijo a Cointelegraph Michal Pospieszalski, CEO de la firma de infraestructura de seguridad MatterFi.

Dicho esto, parece que las actualizaciones de Tor han hecho que esto sea extraordinariamente difícil, pero no se puede decir que sea imposible.

Penetración de la anticuada línea de defensa de Tor

El medio de comunicación Panorama y el canal de investigación de YouTube STRG_F afirman haber revisado los documentos relacionados con el caso, pero no revelaron detalles sobre cómo funcionó el análisis de tiempo. Sin embargo, mencionaron que se dirigió a los "servidores de entrada", también conocidos como nodos de guardia, del servicio de mensajería instantánea Ricochet, supuestamente utilizado por Andreas G.

“A partir de la información limitada que posee el Proyecto Tor, creemos que un usuario de la aplicación Ricochet, descontinuada hace mucho tiempo, fue desanonimizado por completo mediante un ataque de descubrimiento de guardia”, dijo Zoneff.

Cuando se utiliza Tor para navegar por sitios web, el tráfico normalmente pasa por tres conjuntos de nodos: nodos de entrada (o de guardia), relés intermedios y, por último, nodos de salida. El nodo de guardia es el único nodo de este circuito que conoce la dirección IP del usuario.

En el caso de los servicios ocultos de Tor, como Ricochet, no existe un nodo de salida. En su lugar, la conexión se realiza a través de un punto de encuentro dentro de la propia red Tor, lo que significa que el tráfico no “sale” a Internet en absoluto. El punto de encuentro permite que dos partes (como los usuarios de Ricochet) se comuniquen de forma anónima.

Así es como un circuito Ricochet obsoleto se conectaría a un punto de encuentro. Fuente: Tor

En un ataque hipotético a esta versión antigua de Ricochet, las autoridades podrían intentar controlar múltiples nodos intermedios dentro de la red Tor, aumentando sus posibilidades de interceptar el tráfico.

“Esta es una forma de ataque Sybil”, dijo a Cointelegraph Or Weinberger, CEO de la empresa de recuperación de billeteras Brute Brothers, y agregó que tales ataques demandan amplios recursos.

Para ello, podrían enviar muchas solicitudes o paquetes a la dirección Ricochet del usuario, obligándolo a establecer nuevos circuitos Tor. Dado que Tor selecciona un nuevo nodo intermedio para cada circuito, el objetivo sería finalmente conectarse a través de un nodo intermedio malicioso controlado por las autoridades. Cuantos más nodos intermedios controlen las autoridades, mayores serán sus posibilidades de éxito.

Una vez que se establece una conexión con un nodo intermedio malicioso, las autoridades no pueden identificar inmediatamente la dirección IP del usuario. Sin embargo, pueden usar el análisis de tiempo para correlacionar el tráfico que pasa por el nodo intermedio comprometido con los patrones de tráfico observados en el nodo de entrada (guardia).

El análisis de tiempos implica medir cuidadosamente el tiempo de los paquetes de datos a medida que se mueven entre nodos. Al comparar estos datos de tiempos, es posible que puedan identificar qué nodo de protección utilizó el sospechoso.

Una vez identificado el nodo de guardia, las autoridades pueden solicitar a un proveedor de servicios de Internet (ISP) asociado con ese nodo de guardia que revele la dirección IP del usuario.

Esto desanonimizaría efectivamente el objetivo.

Cointelegraph no afirma que este sea el método exacto utilizado por las autoridades alemanas, pero lo presenta como un ejemplo hipotético de cómo las autoridades podrían haber encontrado a su sospechoso.

Tor dice que el vector de ataque sospechoso puede estar desactualizado

Las recientes actualizaciones de la estructura de Tor hacen que este tipo de ataques Sybil sean mucho más difíciles de llevar a cabo.

“No es raro que ciertos clientes tengan su propio conjunto de problemas o vulnerabilidades”, dijo a Cointelegraph Lisa Loud, directora ejecutiva de Secret Foundation, una herramienta de desarrollo Web3 encriptada.

“Siempre se encontrarán vulnerabilidades y los equipos responsables las solucionarán tan pronto como puedan”.

La versión anterior de Ricochet se suspendió en 2019 y luego fue reemplazada por Ricochet-Refresh, que implementa el sistema “vanguard”, que está diseñado para contrarrestar este tipo de ataques.

Un vector de ataque Sybil aprovecha el muestreo aleatorio de los nodos intermedios.

Entonces, en el modelo más nuevo de Vanguard, un circuito se asigna a un conjunto de relés con tiempos de rotación aleatorios.

Esto significa que todos los saltos dentro de un circuito están anclados a un grupo de nodos.

El nuevo sistema de vanguardia elimina el juego de selección aleatoria infinita. Fuente: Tor

Entonces, si las autoridades configuran nodos maliciosos e intentan enviar spam con interacciones a un usuario de Ricochet-Refresh, los mensajes aún no se conectarán a sus trampas de nodo.

“Cualquier medida de seguridad que se implementa, hay una contramedida que se implementa”, dijo Weinberger.

“Aunque mitigaron este riesgo específico, aún no está 100% protegido”, dijo, y agregó que los estados-nación tienen mayores posibilidades de desanonimizar con éxito a los usuarios debido a sus recursos.

Alemania, rica en nodos Tor

Las características de privacidad de Tor se vuelven más fuertes si sus nodos están descentralizados en todo el mundo.

“Alentamos a quienes puedan a que se ofrezcan como voluntarios y contribuyan con ancho de banda y repetidores para hacer crecer y diversificar la red Tor. Al garantizar la diversidad de hardware, software y geografía de la red Tor, podemos seguir mejorando la estabilidad y la seguridad de la red Tor”, afirmó Zoneff.

Actualmente, una gran parte de los relés de Tor están en Alemania.

Alemania es líder entre todas las naciones en cuanto a número de relevos. Fuente: Tor Metrics

Según Tor Metrics, al 18 de octubre, Alemania contaba con 1.861 de los 8.085 relés de Tor. Además, también es líder mundial en peso de consenso, que también tiene en cuenta otras consideraciones como el ancho de banda y la capacidad.

En conjunto, los relés en Alemania representan aproximadamente el 36,73 % del peso de selección total en la red.

Cuando un usuario se conecta a una jurisdicción, no está restringido geográficamente para seleccionar un nodo más cercano a él, según Weinberger.

“Es más probable que su cliente Tor elija un nodo de protección de alto rendimiento en lugar de uno de bajo rendimiento, por lo que supongo que los estados nacionales utilizarían nodos de protección de larga duración con grandes capacidades de ancho de banda para atraer a tantos clientes Tor como sea posible para que se conecten a ellos”, dijo.

Estados Unidos tiene el segundo mayor número de relevos con 1.778, pero Países Bajos ocupa el segundo lugar en peso de consenso a pesar de tener 784 relevos.

“Para realizar ataques de análisis de tiempo, si eres un gobierno, necesitas poder inyectar tus propios nodos en la red existente. Obviamente, es más fácil para un gobierno hacer esto en su propia jurisdicción”, dijo Pospieszalski.

“Si la red Tor tuviera un número par de nodos en, digamos, cada país, entonces se necesitaría una cantidad significativa de trabajo de investigación transfronterizo para realizar el análisis de tiempos”.

Seguro para los usuarios, pero los delincuentes deberían estar alerta

El sistema de defensa ampliado de Tor hace que sea más difícil para los estados-nación o cualquier entidad con recursos significativos realizar análisis de tiempo contra los usuarios, pero no lo hace imposible.

Además, los avances tecnológicos están proporcionando más armas para desanonimizar a los usuarios.

“En última instancia, una IA que tenga muchos puntos de datos de monitoreo y mucha potencia de procesamiento será muy buena para el análisis de tiempos. No me sorprendería que un proyecto de este tipo ya exista en secreto en alguna parte”, dijo Pospieszalski.

Revista: Estafa de billetera falsa Rabby vinculada al director ejecutivo de criptomonedas de Dubai y muchas más víctimas

La gran pregunta es si Tor todavía es seguro y puede proporcionar anonimato a los usuarios que buscan mayores garantías de privacidad.

Los expertos que hablaron con Cointelegraph coincidieron en que todavía es seguro para los usuarios generales, pero los avances en la tecnología mantienen alerta a los criminales de la darknet.

“La privacidad es un tema muy interesante y tenemos defensores en la industria y el gobierno, y también detractores que ven la privacidad en la Web3 como algo diseñado exclusivamente para los malos actores”, dijo Loud.

“¿Sobrevivirá la navegación anónima? Tal vez. Es una carrera y cualquier cosa puede pasar en los próximos años para influir en el resultado final”.