Tor sin cifrado: El metodo utilizado para obtener las contraseñas de las embajadas

Dan Egerstad de Derangedsecurity.com, quien publicara un listado de contraseñas de cien casillas de correos de ciertas embajadas días atrás; ha hecho público el método utilizado en la recolección de las mismas, demostrando así que no ha habido intrusión alguna en sus sistemas, es decir no se ha cometido delito alguno, sino que el problema ha sido el descuido de los usuarios al utilizar la red Tor de manera inadecuada.

De entre las reacciones obtenidas por la publicación de esos datos, el gobierno de Estados Unidos se lleva el premio a la estupidez, habiendo ordenando el cierre de la web, como queriendo hacer de cuenta que acá no paso nada.

El metodo
Dan Egerstad monto 5 servidores Tor filtrando tráfico POP3 e IMAP principalmente, enfocándose en ciertas palabras claves como “gov, government, embassy, military, war, terrorism, passport, visa” además de dominios pertenecientes a entidades gubernamentales.

El problema
El problema no es la red Tor, el hecho de que un administrador de un nodo pueda “leer” los datos que pasan a través de él, no es algo nuevo, es mas se encuentra en su FAQ, donde aclaran que el uso de Tor no sirve de nada si no se utilizan conexiones seguras cifradas a la hora de enviar y/o recibir información sensible, en otras palabras, el anonimato sin cifrado de nada sirve.

Enlaces relacionados:
Time to reveal…
http://www.derangedsecurity.com/time-to-reveal%e2%80%a6/

DEranged gives you 100 passwords to Governments & Embassies
http://www.derangedsecurity.com/deranged-gives-you-100-passwords-to-governments-embassies/

Can exit nodes eavesdrop on communications? Isn’t that bad?
http://wiki.noreply.org/noreply/TheOnionRouter/TorFAQ#ExitEavesdroppers

El uso de Tor sin cifrado permitió acceder a las contraseñas de las embajadas
http://www.kriptopolis.org/tor-sin-cifrado-tras-caso-passwords-embajadas

Tor at heart of embassy passwords leak
http://www.theregister.co.uk/2007/09/10/misuse_of_tor_led_to_embassy_password_breach/

Fuente:
Martín Aberastegue
Rynho Zeros Web (http://www.rzw.com.ar)