Con el objetivo de encontrar vulnerabilidades es con el que partía un experimento desarrollado por dos expertos de seguridad, que realizaron durante 72 días para intentar encontrar fallos de seguridad en los nodos de Tor. Como cebos, utilizaban sistemas trampa llamados HOnions, que analizaban el tráfico en busca de anomalías. Estos HOnions estuvieron funcionando entre el 12 de febrero y el 24 de abril de este año, cuando cerraron los servidores y se pusieron a analizar los datos que habían recogido durante los 72 días.
Para recoger estos datos, analizaron el tráfico 1.500 servidores de la red Tor, y entre ellos, encontraron evidencias de que había 110 HSDirs que presentaban un comportamiento fuera de lo normal. Estos HSDirs guardan la información del dominio, y cuando el cliente se conecta a un servicio oculto, acude a un HSDir para descargar el descriptor y poder “encontrar” el sitio para establecer la conexión.
La mayoría de peticiones que realizaban los servidores eran accesos la ruta a la raíz del servidor, los archivos .json con descripciones del servidor, o el estado de la página en Apache. A pesar de esto, otros directamente presentaban un comportamiento malicioso, intentando realizar inyecciones SQL o cross-site scripting (XSS).
Más del 70% de estos servidores maliciosos estaban alojados en servicios profesionales en la nube, con lo que se demuestra que los que realizaban estos ataques no era el típico hacker en su casa, sino que eran empresas privadas o incluso instancias gubernamentales. Debido a que a través de la red Tor se realizan algunas actividades ilegales, las autoridades están constantemente intentando recabar el máximo de información posible de la red.
Uno de los principales peligros de la red Tor es que, aunque no se pueda monitorear quién genera el tráfico, sí se puede monitorear el tráfico en sí, es decir, la cantidad de datos que son transferidos en un nodo. Esto es lo que hacían el 25% de los servidores HSDir, que funcionaban como nodos de salida, permitiéndoles así espiar el tráfico que los usuarios generaban en ese nodo.
Fuente: adslzone
