Possibile risalire all'indirizzo IP pubblico dei siti Tor

Uno dei responsabili di RiskIQ, società californiana specializzata nella sicurezza informatica, ha scoperto che in molti casi è possibile risalire all’indirizzo IP pubblico dei siti pubblicati all’interno del network Tor.

Ma Tor non doveva tutelare l’anonimato dei suoi utenti? Si sono subito chiesti in molti.
In realtà, come ha chiaramente spiegato Yonathan Klijnsma, il problema non risiede in Tor in sé bensì nell’errata configurazione del server web da parte di alcuni tra coloro che erogano servizi su siti .onion (vedere anche Tor Browser, cos’è e come funziona la nuova versione del programma per saperne di più sul funzionamento di Tor).

Affinché le connessioni verso il sito esposto sulla rete Tor vengano correttamente anonimizzate è infatti fondamentale che il server venga posto in ascolto sull’IP 127.0.0.1 e non sull’indirizzo pubblico.

Klijnsma spiega che il server web locale (ad esempio Apache o Nginx) resta in attesa delle connessioni in ingresso su * o 0.0.0.0 quando in realtà dovrebbe prendere in carico soltanto le richieste sull’interfaccia di loopback 127.0.0.1.
Quando i gestori di un sito pubblicato sul network Tor aggiungono un certificato digitale così da poter sfruttare il protocollo HTTPS, associano ad esso il dominio .onion.
Se il server viene posto in ascolto sull’IP pubblico diventa possibile sfruttare database composti precedentemente in seguito a scansioni della rete Internet e collegare un indirizzo IP pubblico con il corrispondente URL su rete Tor.
Il ricercatore ha utilizzato allo scopo i database di RiskIQ ma è possibile effettuare analisi del tutto similari anche con tool come Shodan (Shodan, cos’è e come permette di scovare webcam, router, NAS e altri dispositivi remoti).

Il tweet che ripubblichiamo di seguito chiarisce ancor meglio la situazione:

Another #Tor hidden service exposed through an incorrect configuration of the listening server. Hiding your private forum on the deep dark (and still very public) web. Certificate can be found here (host is still live!): https://t.co/KEqN6hfyFb pic.twitter.com/cwHOuUdwmk

— Yonathan Klijnsma (@ydklijnsma) 4 agosto 2018

Klijnsma non ha certo individuato alcuna vulnerabilità in Tor né ha provato ad attaccare il network. Al ricercatore va invece il merito di aver individuato un errore estremamente comune tra i gestori di siti .onion che può portare a smascherare l’identità piuttosto facilmente.