[[176314]]

各位同學(xué)們大家好，我將會(huì)在這一系列的文章中跟大家討論有關(guān)匿名系統(tǒng)安全方面內(nèi)容，包括暗網(wǎng)的運(yùn)行機(jī)制以及其中的各種匿名服務(wù)。以下是我在2016年HackFest大會(huì)(2016年11月5日)上所做的演講內(nèi)容，如果有不對(duì)的地方歡迎大家批評(píng)指正。

寫在前面的話

我的名字叫Sarah，我是一名獨(dú)立的匿名隱私研究人員。在此之前，我曾經(jīng)是一名任職于亞馬遜公司的安全工程師，當(dāng)時(shí)我的工作就是幫助公司防止攻擊者通過(guò)機(jī)器學(xué)習(xí)系統(tǒng)來(lái)對(duì)我們客戶進(jìn)行網(wǎng)絡(luò)欺詐活動(dòng)。在加入亞馬遜之前，我還是英國(guó)情報(bào)機(jī)構(gòu)政府通信總部(GCHQ)一名計(jì)算機(jī)科學(xué)家。不過(guò)不好意思，有關(guān)GCHQ的工作內(nèi)容我就不能告訴各位了。

今天，我準(zhǔn)備跟大家討論一些關(guān)于匿名性和隱私安全方面的東西，所有的這些內(nèi)容我都已經(jīng)在網(wǎng)站mascherari.press上發(fā)布過(guò)了，感興趣的同學(xué)可以訪問(wèn)查看。

內(nèi)容概述

首先，我會(huì)跟大家簡(jiǎn)單介紹一下關(guān)于隱藏服務(wù)安全方面的內(nèi)容。請(qǐng)大家放心，我不會(huì)再去跟各位詳細(xì)討論Tor網(wǎng)絡(luò)的運(yùn)行機(jī)制。我相信即便你并不是十分了解匿名服務(wù)，你同樣能夠聽(tīng)得懂我在說(shuō)什么。在今年年初，我曾對(duì)目前匿名系統(tǒng)的安全性進(jìn)行了研究，我總結(jié)出了該系統(tǒng)目前所面臨的五大安全風(fēng)險(xiǎn)，所以我首先會(huì)向大家介紹這五大安全風(fēng)險(xiǎn)。

接下來(lái)就是我此次演講的核心內(nèi)容了，我會(huì)告訴大家暗網(wǎng)所能實(shí)現(xiàn)的匿名化程度到底有多高，這部分內(nèi)容也是我這幾個(gè)月以來(lái)的研究成果。介紹完之后，我還會(huì)給大家提供幾個(gè)研究案例。不過(guò)在此我要提醒大家的是，雖然我會(huì)提到關(guān)于去匿名化的內(nèi)容，但是在演講過(guò)程中我并不會(huì)直接告訴大家如何實(shí)現(xiàn)去匿名化以及哪些因素將有可能導(dǎo)致訪問(wèn)者身份暴露。

最后，我將在演講結(jié)束之前與大家分享我對(duì)暗網(wǎng)未來(lái)的看法。除此之外，我也會(huì)與大家討論我們應(yīng)該如何去解決暗網(wǎng)目前所面臨的安全問(wèn)題。

基本概念

現(xiàn)在，我準(zhǔn)備給大家介紹一下什么是隱藏服務(wù)，尤其是如何實(shí)現(xiàn)隱藏服務(wù)的去匿名化。這其實(shí)并不算是密碼學(xué)研究上的新突破，而且也不會(huì)對(duì)Tor網(wǎng)絡(luò)和其他的匿名網(wǎng)絡(luò)產(chǎn)生影響。實(shí)際上，我今天所要演示給大家看的東西可以讓網(wǎng)站運(yùn)營(yíng)者和軟件設(shè)計(jì)者更加清楚地知道我們到底應(yīng)該保護(hù)那些類型的信息。

關(guān)于隱藏服務(wù)最重要的一點(diǎn)就是，它們所要隱藏的東西其實(shí)就是IP地址，這一點(diǎn)請(qǐng)你記住。如果服務(wù)隱藏在某個(gè)匿名網(wǎng)絡(luò)(例如Tor網(wǎng)絡(luò))的后面，那么客戶將永遠(yuǎn)無(wú)法獲取到這個(gè)暗網(wǎng)服務(wù)的IP地址，反之亦然，隱藏服務(wù)同樣無(wú)法得知客戶的IP地址。但是，隱藏服務(wù)在設(shè)計(jì)之初并沒(méi)有提供任何防止服務(wù)信息外泄的保護(hù)機(jī)制。比如說(shuō)，我現(xiàn)在運(yùn)營(yíng)著一大堆隱藏服務(wù)，而所有的這些服務(wù)都與我的“明網(wǎng)”身份有著某種聯(lián)系，所以別人可以輕易地發(fā)現(xiàn)這些隱藏服務(wù)背后的運(yùn)營(yíng)者其實(shí)就是我。

今天我們主要討論的是隱藏服務(wù)無(wú)意間的身份泄漏問(wèn)題，待會(huì)兒你就會(huì)看到，識(shí)別出隱藏服務(wù)的身份信息其實(shí)并不難。

匿名服務(wù)的安全現(xiàn)狀

在今年年初，我曾掃描了8000多個(gè)暗網(wǎng)網(wǎng)站，希望可以找出一些包含錯(cuò)誤配置的暗網(wǎng)站點(diǎn)。需要注意的是，由于很多隱藏服務(wù)的正常運(yùn)營(yíng)時(shí)間具有不確定性，因此整個(gè)掃描過(guò)程花費(fèi)了我好幾周的時(shí)間。在對(duì)掃描結(jié)果進(jìn)行了非常詳細(xì)的人工分析之后，我總結(jié)出了暗網(wǎng)服務(wù)目前所面臨的五大安全風(fēng)險(xiǎn)。

問(wèn)題NO.5：開(kāi)放/可讀的網(wǎng)站目錄

首先，問(wèn)題NO.5是開(kāi)放/可讀的網(wǎng)站目錄。這種情況在“明網(wǎng)”中非常的常見(jiàn)，但是這種開(kāi)放目錄將會(huì)對(duì)隱藏服務(wù)的安全性帶來(lái)非常嚴(yán)重的影響。網(wǎng)站管理員通常喜歡將網(wǎng)站資源直接存放在類似“Backup”這樣的目錄中，因?yàn)樗麄冇X(jué)得沒(méi)人會(huì)來(lái)查看這些目錄或文件。上圖顯示的就是我在某個(gè)暗網(wǎng)服務(wù)中掃描到的網(wǎng)站目錄，其中每一個(gè)文件夾中都包含有22個(gè)隱藏服務(wù)的相關(guān)資源。由此可以看出，所有的這些隱藏服務(wù)全部都托管在同一臺(tái)網(wǎng)絡(luò)服務(wù)器之中，其中還包括多個(gè)出售非法藥物的暗網(wǎng)市場(chǎng)和一個(gè)社交網(wǎng)站。其實(shí)這還不是最糟糕的情況，某些隱藏服務(wù)的管理員會(huì)直接將網(wǎng)站的數(shù)據(jù)庫(kù)備份文件(sql文件)和配置文件直接存放在“Backup”文件夾中，這才是最可怕的事情。

問(wèn)題NO.4：EXIF元數(shù)據(jù)

問(wèn)題NO.4是EXIF元數(shù)據(jù)。這類數(shù)據(jù)是編碼在圖片之中的，它可以告訴你這張數(shù)字相片是在哪里拍攝的、用哪種設(shè)備拍攝的、或者是用什么軟件編輯的等等。實(shí)際上，EXIF元數(shù)據(jù)的安全問(wèn)題早在幾年前就已經(jīng)出現(xiàn)了。比如說(shuō)，你可以從暗網(wǎng)市場(chǎng)中下載一張?jiān)谑劭煽ㄒ虻纳唐穲D片，然后從中提取出拍照地點(diǎn)的GPS坐標(biāo)，接下來(lái)你就可以利用地圖服務(wù)的街景模式來(lái)找到這個(gè)地方了。

最近，很多大型暗網(wǎng)市場(chǎng)已經(jīng)開(kāi)始對(duì)所有上傳的圖片進(jìn)行重新編碼了，以確保圖片不會(huì)留下可被分析的元數(shù)據(jù)。但是，你仍然可以在很多小型網(wǎng)站或產(chǎn)品廠商頁(yè)面中找到包含EXIF元數(shù)據(jù)的圖片，雖然已經(jīng)沒(méi)有多少圖片還包含GPS數(shù)據(jù)了，但是這些元數(shù)據(jù)仍然會(huì)給暗網(wǎng)服務(wù)帶來(lái)安全問(wèn)題。

上面這張截圖顯示的是我從某個(gè)暗網(wǎng)市場(chǎng)收集到的一張圖片的元數(shù)據(jù)，如果你想要了解關(guān)于這個(gè)隱藏服務(wù)的更多內(nèi)容，那么這些數(shù)據(jù)絕對(duì)會(huì)非常有用。管理員在制作這張圖片時(shí)，使用的是Windows還是Mac呢?他們有沒(méi)有固定的制圖軟件?他們使用的是相機(jī)附帶的編輯軟件嗎?別擔(dān)心，EXIF元數(shù)據(jù)會(huì)告訴你一切。

問(wèn)題NO.3：克隆網(wǎng)站

問(wèn)題NO.3是克隆網(wǎng)站。在掃描過(guò)程中，我發(fā)現(xiàn)大約有29%的匿名服務(wù)有至少一個(gè)副本，這里的“副本”指的是網(wǎng)站頁(yè)面內(nèi)容的sha1哈希完全相同。在進(jìn)行了大量分析工作之后，我發(fā)現(xiàn)如果暗網(wǎng)服務(wù)使用的是動(dòng)態(tài)頁(yè)面的話，那么包含至少一個(gè)副本的網(wǎng)站數(shù)量可能會(huì)更高。

這些網(wǎng)站副本通常是管理員故意留下的，有可能是出于對(duì)網(wǎng)站均衡負(fù)載的考慮，也有可能是為了進(jìn)行某些其他的活動(dòng)。但是我們要知道，現(xiàn)在暗網(wǎng)中存在大量這種類型的克隆網(wǎng)站，這些網(wǎng)站可以監(jiān)聽(tīng)并篡改合法網(wǎng)站所發(fā)送的網(wǎng)絡(luò)請(qǐng)求，例如比特幣錢包地址等等。通常情況下，辨別克隆網(wǎng)站的唯一方法就是仔細(xì)查看網(wǎng)頁(yè)中的每一張圖片，看看這些圖片中是否有相應(yīng)網(wǎng)站的水印或者信息識(shí)別標(biāo)識(shí)。

問(wèn)題NO.2：SSH指紋

問(wèn)題NO.2是SSH指紋。每一臺(tái)服務(wù)器通常只有一個(gè)唯一的公共密鑰，所以我們可以通過(guò)對(duì)比兩個(gè)隱藏服務(wù)所使用的SSH指紋來(lái)判斷它們是否使用的是同一臺(tái)服務(wù)器。除此之外，如果你的服務(wù)器存在錯(cuò)誤配置或者主機(jī)端口對(duì)“明網(wǎng)”開(kāi)放的話，Shodan引擎將可以搜索到你的SSH公共密鑰。這樣一來(lái)，他人就可以直接找到你的隱藏服務(wù)所使用的IP地址了。在研究過(guò)程中，我通過(guò)Shodan引擎發(fā)現(xiàn)了至少有30個(gè)暗網(wǎng)網(wǎng)站的SSH指紋配置存在安全問(wèn)題。

問(wèn)題NO.1：Localhost繞過(guò)

問(wèn)題NO.1是本地主機(jī)繞過(guò)。如果你在隱藏服務(wù)中所運(yùn)行的軟件會(huì)給本地流量分配特殊的權(quán)限，或者是你對(duì)你的Web應(yīng)用進(jìn)行了額外的配置，那么就有可能發(fā)生問(wèn)題1所描述的這種情況，最常見(jiàn)的就是Apache的mod_status模塊了。我發(fā)現(xiàn)目前大約有6%的暗網(wǎng)網(wǎng)站存在Apache本地主機(jī)繞過(guò)問(wèn)題，這種安全問(wèn)題不僅會(huì)暴露服務(wù)器的IP地址，而且該服務(wù)器所托管的其他網(wǎng)站也將會(huì)受到影響。

這種問(wèn)題非常的常見(jiàn)，而且還會(huì)帶來(lái)非常嚴(yán)重的影響。目前大約有12%的Apach服務(wù)器存在mod_status泄漏的問(wèn)題，而且在過(guò)去的幾年里，這個(gè)數(shù)字有增無(wú)減。

總結(jié)

在這篇文章中，主要跟大家介紹了關(guān)于暗網(wǎng)服務(wù)的一些基本內(nèi)容，并且告訴了大家目前隱藏服務(wù)所面臨的五大安全問(wèn)題。在下一篇文章中，我將會(huì)給大家深入分析暗網(wǎng)服務(wù)的安全機(jī)制與匿名化的問(wèn)題。敬請(qǐng)關(guān)注!