Se revelan múltiples problemas de seguridad del navegador Tor

Durante la semana pasada, un investigador de seguridad ha publicado detalles técnicos sobre dos vulnerabilidades que afectan la red Tor y el navegador Tor. En publicaciones en su blog durante la semana pasada y esta, el Dr. Neal Krawetz dijo que iba a hacer públicos los detalles de dos supuestos días cero después de que […]

Durante la semana pasada, un investigador de seguridad ha publicado detalles técnicos sobre dos vulnerabilidades que afectan la red Tor y el navegador Tor.

En publicaciones en su blog durante la semana pasada y esta, el Dr. Neal Krawetz dijo que iba a hacer públicos los detalles de dos supuestos días cero después de que el Proyecto Tor no haya abordado reiteradamente los múltiples problemas de seguridad que informó durante los últimos años.

El investigador también prometió revelar al menos otros tres días cero Tor , incluido uno que puede revelar la dirección IP del mundo real de los servidores Tor.

El primer problema de seguridad de Tor

El Dr. Krawetz, quien opera múltiples nodos Tor y tiene una larga historia de búsqueda y reporte de errores del navegador, reveló el primer problema de seguridad la semana pasada.

En una publicación de blog con fecha del 23 de julio, el investigador describió cómo las compañías y los proveedores de servicios de Internet podrían bloquear a los usuarios para que no se conecten a la red Tor al escanear las conexiones de red en busca de «una firma de paquete distinta» que sea exclusiva del tráfico Tor.

El paquete podría usarse como una forma de bloquear las conexiones de Tor para que no se inicien y efectivamente prohibir Tor por completo, un problema que es muy probable que los regímenes opresivos abusen.

El segundo problema de seguridad de Tor

Esta semana, el Dr. Krawetz reveló un segundo problema. Este, como el primero, permite a los operadores de red detectar el tráfico Tor.

Sin embargo, aunque el primer problema podría usarse para detectar conexiones directas a la red Tor (a los nodos de guardia Tor), el segundo puede usarse para detectar conexiones indirectas.

Estas son conexiones que los usuarios hacen a los puentes Tor, un tipo especial de puntos de entrada a la red Tor que se puede usar cuando las empresas y los ISP bloquean el acceso directo a la red Tor.

Los puentes Tor actúan como puntos proxy y retransmiten las conexiones del usuario a la propia red Tor. Debido a que son servidores Tor sensibles, la lista de puentes Tor se actualiza constantemente para dificultar el bloqueo de los ISP.

Pero el Dr. Krawetz dice que las conexiones a los puentes Tor también se pueden detectar fácilmente, utilizando una técnica similar para rastrear paquetes TCP específicos.

La postura de seguridad del proyecto Tor

La razón por la cual el Dr. Krawetz está publicando estos problemas en Tor es porque cree que el Proyecto Tor no toma la seguridad de sus redes, herramientas y usuarios lo suficientemente en serio.

El investigador de seguridad cita incidentes anteriores cuando trató de reportar errores al Proyecto Tor solo para que le dijeran que estaban al tanto del problema, trabajando en una solución, pero nunca implementando dicha solución. Esto incluye:

• Un error que permite que los sitios web detecten y tomen huellas digitales a los usuarios del navegador Tor por el ancho de su barra de desplazamiento, que el Proyecto Tor conoce desde al menos junio de 2017.
• Un error que permite a los adversarios de la red detectar servidores de puente Tor utilizando su puerto OR (enrutamiento de cebolla), se informó hace ocho años.
• Un error que permite a los atacantes identificar la biblioteca SSL utilizada por los servidores Tor, informada el 27 de diciembre de 2017.

Todos estos problemas aún no se han solucionado, lo que ha llevado al Dr. Krawetz a principios de junio de 2020 a abandonar su colaboración con el Proyecto Tor y adoptar el enfoque actual de cuestionar públicamente a la empresa para que tome medidas.

Esta fue la respuesta que anunció Tor a lo planteado por Krawetz, la cual los usuarios encontraron insuficiente.