Um relatório de bug anônimo postado no Cryptome com tons sombrios.

Às vezes, leia os comentários.

Houve muitos votos positivos nos últimos dias em sites como HackerNotícias e Reddit para uma postagem no Cryptome . A postagem sugere que os sites que contratam CloudFlare facilitar inadvertidamente a identificação de visitantes usando o navegador Tor; no entanto, os leitores que passarem pelo título encontrarão vários comentários perguntando se há realmente algo novo na postagem.

O cofundador da Cryptome, John Young, confirmou por e-mail que a mensagem veio de um correspondente anônimo, que escreveu: A insistência da Cloudflare em resolver quebra-cabeças reCAPTCHA quando os visitantes vêm dos nós de saída do Tor para um dos 2 milhões de sites que a Cloudflare 'protege' pode ser muito instrumental para análise de tráfego e desanonimização de usuários do Tor.

Abaixo da postagem do Hacker News, escreveu @tedunangst, não vi nada que o tornasse exclusivo do ReCaptcha. Qualquer padrão de tráfego compatível com impressão digital que possa ser observado indo e vindo funcionará.

Os captchas são gerados do nosso lado. É por meio de uma conexão segura, disse Matthew Prince, CEO da CloudFlare, por telefone. Não consigo pensar em nenhuma maneira de fornecer informações adicionais que permitiriam triangular o usuário do Tor.

CloudFlare fornece melhoria de desempenho e segurança de sites para clientes em todo o mundo. É conhecido, em particular, por impedir ataques de negação de serviço (DOS). Para proteger seus clientes, mantém um registro de endereços IP conhecidos por serem usados ​​para spam, botnets e outros comportamentos maliciosos. Se um visitante chegar a um site usando um navegador menos seguro, o CloudFlare poderá identificá-lo como um ser humano e não lhe fornecerá um captcha.

No entanto, Tor é um navegador que anonimiza os usuários, direcionando seu tráfego através de vários servidores, sob camadas de criptografia, para que o CloudFlare não possa identificá-los como humanos. É por isso que muitas vezes exige que esses usuários concluam um ReCaptcha (aqueles testes em que você é solicitado a identificar todas as fotos com sopa ou todas as placas de rua, feitas pelo Google (GOOGL)), para provar que são humanos. Isso prejudica a experiência do usuário, criando tensão entre os usuários do Tor e o CloudFlare, como a placa-mãe relatou .

Este novo relatório levanta uma questão adicional: os ReCaptchas tornam os usuários do Tor um pouco mais fáceis de identificar em um ataque de análise de tráfego ? Nesses ataques, alguém com um alto grau de visibilidade na rede (ou seja, alguém com muitos recursos, como um grande ISP, uma empresa de telecomunicações ou um estado-nação) pode combinar a atividade e os pontos de entrada e de saída, em para combinar os usuários com os sites visitados.

Em 2014, um grupo de pesquisadores conduziu um estudo experimental e controlado de dispositivos em uma rede Tor baseada em laboratório, testando se perturbações artificiais no fluxo de tráfego no ponto de entrada pode ser detectado no ponto de saída.

A postagem do Cryptome argumenta que os ReCaptchas criam uma perturbação artificial semelhante. A ideia é um pouco semelhante à que exploramos, escreveu Sambuddho Chakravarty, principal autor do estudo de 2014, ao Startracker por e-mail. Há muitos fatores envolvidos – frequência de amostragem, posição do adversário, nós de entrada e saída usados ​​e a largura de banda alcançada pelo cliente, a duração do experimento, etc.

Após o estudo, uma postagem no blog no projeto Tor escreveu: O design da rede Tor, no entanto, não protege contra um ataque direcionado de um adversário passivo global (como a NSA).

Isso não é novidade, Roger Dingledine, cofundador do Tor, escreveu ao Startracker por e-mail, por meio de um porta-voz.

Prince reconheceu a frustração da comunidade Tor com as defesas de sua empresa em uma postagem no blog de março . Desde então, ele disse que a CloudFlare tem colaborado com o Tor e o proprietário do ReCaptcha, Google, para melhorar a experiência do usuário para usuários da web que desejam navegar anonimamente. Por exemplo, garantimos que um usuário do Tor nunca receberia mais de um captcha, disse ele.

Prince não acredita que os captchas tornem mais fácil para um adversário com uma visão ampla da rede desanonimizar os usuários do Tor, mas ele se ofereceu para que sua empresa tome medidas para tapar tal vazamento se forem encontradas evidências.