En anonym buggrapport postad till Cryptome med mörka undertoner.
Ibland, läs kommentarerna.
Det har varit mycket omröstning under de senaste dagarna på sajter som HackerNews och Reddit för ett inlägg på Cryptome . Inlägget föreslår att webbplatser avtalar med CloudFlare oavsiktligt göra det lättare att identifiera besökare med Tor-webbläsaren; dock kommer läsare som kommer förbi rubriken att hitta flera kommentarer som frågar om det verkligen finns något nytt i inlägget.
Cryptome-grundaren John Young bekräftade via e-post att meddelandet kom från en anonym korrespondent, som skrev, Cloudflares insisterande på att lösa reCAPTCHA-pussel när besökare kommer från Tor-utgångsnoder till en av de 2 miljoner webbplatser som Cloudflare 'skyddar' kan vara mycket avgörande. för trafikanalys och avanonymisering av Tor-användare.
Under Hacker News-inlägget, skrev @tedunangst, såg jag inget som gör det unikt för ReCaptcha. Alla fingeravtrycksbara trafikmönster som kan observeras komma och gå kommer att fungera.
Captchas genereras på vår sida. Det är över en säker anslutning, sa Matthew Prince, VD för CloudFlare i ett telefonsamtal. Jag kan inte komma på något sätt som detta skulle ge ytterligare information som gör att du kan triangulera Tor-användaren.
CloudFlare tillhandahåller förbättring av webbplatsens prestanda och säkerhet till kunder över hela världen. Det är särskilt känt för att motverka DOS-attacker (denial-of-service). För att skydda sina kunder, håller den ett register över IP-adresser som är kända för att användas för spam, botnät och annat skadligt beteende. Om en besökare kommer till en webbplats med en mindre säker webbläsare kan CloudFlare identifiera den besökaren som en människa och kommer inte att ge honom eller henne en captcha.
Dock, Tor är en webbläsare som anonymiserar användare genom att dirigera deras trafik genom flera servrar, under lager av kryptering, så CloudFlare kan inte identifiera dem som människor. Det är därför det ofta kräver att dessa användare fyller i en ReCaptcha (de där testerna där du blir ombedd att identifiera alla foton med soppa eller alla gatuskyltar, gjorda av Google (GOOGL) ), för att bevisa att de är människor. Detta nedgraderar användarupplevelsen, skapar spänningar mellan Tor-användare och CloudFlare, som moderkortet har rapporterat .
Den här nya rapporten väcker ytterligare en fråga: gör ReCaptchas Tor-användare något lättare att identifiera i en trafikanalysattack ? I dessa attacker kan någon med en stor grad av synlighet på nätverket (det vill säga någon med mycket resurser, såsom en stor ISP, en telekom eller en nationalstat) matcha aktivitet och ingångspunkter och utgångspunkter, i för att matcha användare med besökta webbplatser.
Under 2014 genomförde en grupp forskare en experimentell, kontrollerad studie av enheter på ett labbbaserat Tor-nätverk, för att testa om eller inte konstgjorda störningar i trafikflödet vid ingångspunkten kunde detekteras vid utgångspunkten.
Cryptome-inlägget hävdar att ReCaptchas skapar en liknande, artificiell störning. Idén liknar något som vi utforskade, skrev Sambuddho Chakravarty, huvudförfattare till 2014 års studie Startracker i ett e-postmeddelande. Det finns många faktorer inblandade - provfrekvens, motståndarens position, ingångs- och utgångsnoderna som används och den bandbredd som klienten uppnår, experimentets varaktighet etc.
Efter studien, ett blogginlägg om Tor-projektet skrev, Tor-nätverksdesignen skyddar dock inte mot en riktad attack från en global passiv motståndare (som NSA).
Det här är inget nytt, skrev Roger Dingledine, Tors medgrundare, till Startracker i ett mejl, via en talesperson.
Prince erkände Tor-gemenskapernas frustration över sitt företags försvar i ett blogginlägg i mars . Sedan dess sa han att CloudFlare har samarbetat med Tor och ReCaptchas ägare, Google, för att förbättra användarupplevelsen för webbanvändare som vill surfa anonymt. Till exempel har vi sett till att en Tor-användare aldrig skulle få mer än en captcha, sa han.
Prince tror inte att captchas gör det lättare för en motståndare med en bred bild av nätverket att avanonymisera Tor-användare, men han anmälde sig frivilligt att hans företag skulle vidta åtgärder för att täppa till en sådan läcka om bevis hittades.