С Тором шутки плохи: как поймали Эрика Маркеса и почему не слышно критиков РПЦ? Евгений Золотов

С Тором шутки плохи: как поймали Эрика Маркеса и почему не слышно критиков РПЦ?

Евгений Золотов

Опубликовано 14 августа 2013

Год назад я предложил читателям своей колонки мысленный эксперимент: вообразив себя гражданином страны, в которой существенно ущемлены права человека, придумать способ вести стопроцентно анонимный критический блог (см. «Чикатило и проблема анонимности»). Среди комментариев был в том числе и такой: анонимность сыграет против автора, сделав его мнение в глазах обывателей малозначительным (в том смысле, что если боишься репрессий, то и не лезь критиковать).

Что ж, с тех пор в этой стране многое изменилось к худшему. Думаю, вряд ли кто-то возьмётся спорить, что Россия сегодня нуждается в умной, бескомпромиссной критике Русской православной церкви — вытворяющей просто немыслимые вещи. А критики… где они? Даже самые злые карикатуристы шарахаются от темы взаимоотношений РПЦ и власти как от чумы. Несомненно, недостатки анонимности в таких условиях более не перевешивают её достоинств. Да только что-то не видно желающих потягаться с патриархом даже анонимно.

Подняв годичной давности тему, я буду признателен, если вы завалите меня примерами, доказывающими несостоятельность моих доводов. А пока позвольте ещё раз предостеречь возможных авторов (полагаю, разумно ждать, что автором такого блога станет технарь) от поспешных действий: в игре, где ставкой ваша свобода, стандартные инструменты обеспечат в лучшем случае видимость анонимности, но не её саму. Подтверждением чему — события, имевшие место в последние несколько недель в Европе, которые ещё обязательно аукнутся сотням, а может быть и тысячам сетян в ближайшие месяцы. Возможно, вы уже слышали эту историю, но в контексте печальной российской действительности пройти мимо я просто не могу.

Формальным её началом стал арест в первых числах августа 28-летнего ирландца Эрика Маркеса. Полиция Дублина задержала его по предъявлению ФБР и сейчас готовит экстрадицию в Штаты, где Эрика ждёт суд и — почти наверняка — тюремный срок, измеряемый десятилетиями. Потому что Маркес проходит по бумагам ФБР как (перевод литературный, мой) «крупнейший на планете поставщик детской порнографии». Каким образом молодой ирландский айтишник заслужил этот громкий титул? Очень просто: ему принадлежит интернет-провайдер Freedom Hosting, предоставлявший место для веб-сайтов в подпространстве TOR и специализировавшийся якобы именно на нелегальном контенте.

На случай, если вы забыли или никогда не интересовались, позвольте краткий экскурс в матчасть. TOR — это децентрализованный пиринговый (все участники равны) сервис для анонимизации интернет-активности. Название его расшифровывается как The Onion Router (то есть буквально «луковичный роутер»), иллюстрируя главный рабочий принцип: запрос от узла A к узлу Б передаётся через произвольную цепочку участвующих в TOR узлов-добровольцев В, Г, Д и на каждом шаге зашифрован (это напоминает слои луковицы). В результате о смысле запроса знают только А и Б, авторство же А неизвестно никому вовсе (подробнее см. «Призрак анонимности: можно ли укрыться от Большого Брата в Сети?»).

Прелесть TOR в том, что узел А может не только получать информацию, но и предоставлять её — например, запустив у себя веб-сервер и разместив веб-сайт. Такой сайт будет доступен только через TOR, почему говорят иногда, что он находится «в подпространстве TOR». Естественно, никто из посетителей IP-адреса сервера не знает, а обращаются к нему через криптографический TOR-адрес, оканчивающийся на «.onion». Понятно также, что разработчики самого TOR (продукт развивается под свободной лицензией, координирует усилия некоммерческая организация в США) никак ограничить свободу пользователей не могут. Желаете — можете разместить в TOR-пространстве блог с критикой РПЦ, желаете — сможете хранить там и детское порно.

Freedom Hosting как раз и предоставлял место для таких ресурсов. И когда ФБР вышло на Маркеса и прикрыло его лавочку, из сети исчезла добрая половина (!) популярных onion-сайтов — катастрофа, без преувеличения. Но то были лишь цветочки. Как выяснилось вскоре, на протяжении пары суток от момента ареста Маркеса и до закрытия Freedom Hosting в порнографические сайты, на нём размещённые, была имплантирована вредоносная Javascript-закладка. Кусок кода длиной в полторы тысячи строк, будучи исполнен браузером Firefox 17 для MS Windows, приводил к ошибке переполнения памяти и заставлял браузер стучаться — не через TOR, а открыто, через интернет, выдавая свой IP-, MAC-адрес и некоторую сопутствующую информацию — на загадочный сервер в Соединённых Штатах. Почему авторы закладки выбрали именно версию 17, легко догадаться: разработчики TOR используют её в своём официальном комплекте «готового к употреблению защищённого веб-браузера». Можно догадаться и об авторе закладки: поскольку код весьма нетривиален и не делает ничего полезного для спамеров или мошенников, стоят за ним, скорее всего, те же американские спецслужбы — ФБР или АНБ.

Таким образом, если для Маркеса игра фактически сыграна, то для посетителей многочисленных сайтов, хостившихся на Freedom Hosting, всё только начинается. ФБР поделится собранными IP-адресами с организациями, борющимися с детским порно (по крайней мере в США и Европе, но может быть, и с Россией тоже), те с участием полиции проведут собственные расследования, и, надо полагать, уже осенью начнутся аресты.

Лично я буду последним, кто выскажет им сочувствие. Маркес и потребители его контента (а там были, к примеру, и сцены пыток детей) знали, на что шли, и вполне заслужили быть наказанными за свою отвратительную привязанность. Но вот что не даёт мне покоя: можно ли после столь масштабного провала — затронувшего всю цепочку, от хостера до клиентов — ещё доверять TOR? Упомянутый выше Javascript-эксплойт сейчас гуляет по сети и наверняка ещё не раз будет применён против тех, кто ленится следить за обновлениями (а вы обновляете свой TOR и браузер?). Но даже разработчики TOR предупреждают, что дыра в Firefox не была первой — и уж, конечно, не будет последней в своём роде. Кроме того, и помимо Javascript, в современных браузерах полно компонентов, которые хотя бы теоретически могут стать причиной потери анонимности.

Разработчики TOR теперь официально рекомендуют отключать в браузере Javascript, Flash, вообще любые браузерные аддоны и по возможности избегать MS Windows, где особенно тяжело отследить все утечки. Лучшим решением будет использование специального «живого» дистрибутива Linux, сконфигурированного понимающими людьми и работающего с компакт-диска (см. к примеру, TAILS).

И всё равно остаётся неотвеченным как минимум один вопрос. Если вы читали историю Маркеса внимательно, то, конечно, уже задались им. Как атаковали посетителей, как получили доступ к сайтам на Freedom Hosting — ясно, но нигде не говорится, как вышли на самого Маркеса.

ФБР, по причинам понятным, молчит. Но предположить, как это было сделано, нам ведь никто не мешает. Так вот, знающие люди вспоминают про фундаментальный, принципиально неустранимый недостаток TOR. Это возможность идентифицировать узел А (из примера выше; на котором, скажем, работает веб-сервер с нелегальным контентом), наблюдая за всем или значительной частью трафика в сети интернет. Будем стучаться на спрятанный в подпространстве TOR-сайт. Даже если пакеты многократно зашифрованы и никто не знает, откуда и куда они направляются, зная IP-адреса всех TOR-узлов (а они известны) и статистически сопоставляя всплески активности на них в моменты совершения наших запросов, можно установить, какой из TOR-узлов является узлом А.

Фантастика? Полно вам! После того, что рассказал Эдвард Сноуден, едва ли могут быть сомнения, что то же АНБ (и его европейские партнёры и российские конкуренты) имеет возможность контролировать метаинформацию о подавляющем большинстве IP-адресов сети. Возможно, Маркес стал жертвой именно такой атаки. Помните об этом, если соберётесь делать анонимный блог. И, конечно, дайте ссылку ;-).

К оглавлению