FBI: usato Flash per risalire all'identità di utenti TOR

Gli agenti dell’FBI, nel corso di un’operazione volta ad identificare criminali informatici che nascondevano il loro IP reale utilizzando TOR, avrebbero fatto uso di una tra le più note piattaforme di penetration testing: Metasploit. La conferma è arrivata in queste ore.
Non solo. I federali dell’agenzia di investigazione statunitense, dopo aver posto sotto sequestro alcuni siti web, hanno provveduto ad inserirvi dei riferimenti a creatività Flash esterne, invisibili ad una rapida occhiata ma sempre caricate dal browser web, anche da parte di coloro che si collegavano attraverso il network TOR.

I plugin per il browser, infatti, operano in maniera indipendente e non seguono le impostazioni proxy. Quando si decide di navigare in anonimato utilizzando il software TOR, è necessario attivare l’utilizzo – da parte del browser web – del proxy server locale: in questo modo, tutte le richieste di connessione verso i vari siti web non avvengono più in maniera diretta (esponendo quindi il reale indirizzo IP dell’utente) ma hanno luogo passando attraverso una lunga serie di onion router della rete TOR, che di fatto permettono di rendere anonimo il collegamento al sito di destinazione (vedere Anonimato in Rete con TOR: per visitare qualunque sito tutelando la propria privacy e Navigare anonimi online con Chrome).

I tecnici dell’FBI hanno utilizzato l’ormai defunto software accessorio di Metasploit – Decloaking Engine – per generare codice Flash in grado di identificare gli utenti collegatisi al sito web oggetto del provvedimento di sequestro.
Grazie al semplice espediente, il caricamento delle pagine HTML avveniva passando per la rete TOR mentre il download dei contenuti Flash avveniva in modo diretto, esponendo l’indirizzo IP degli utenti.

Il Decloaking Engine è stato poi ritirato dal suo sviluppatore, HD Moore, perché – nel frattempo – TOR ha rilasciato il pacchetto Browser Bundle. Esso contiene una versione speciale di Firefox che non integra alcun plugin e che quindi permette di evitare qualunque rischio di “deanonimizzazione”.