28 septiembre 2010

Círculos privados

Si eres un aficionado a la seguridad o manejas información sensible es muy probable que estés o hayas oído hablar de círculos privados de intercambio. En este tipo de círculos donde solo un numero finito de personas pueden participar y circula información que en la mayoría de los casos la disposición de la misma se consideraría ilegal o al menos es de carácter privado. Tanto ideas políticas, religiosas, terrorismo, espionaje, organizaciones criminales, etc.

Antiguamente el uso de una simple lista de correo y cifrado del mismo era más que suficiente, o al menos eran las únicas soluciones que se empleaban. También existían otros medios más directos como IRC en servidores privados funcionando con SSL y algún tipo de cifrado en la capa de cliente del tipo OTR (Off-the-Record, plugin para irssi disponible en http://irssi-otr.tuxfamily.org/).

Por seguridad y para intentar salvaguardar la identidad de los usuarios de estas listas y las evidencias que estas mismas dejaban en las cabeceras de correo, se comenzó a usar una técnica de routing de correo conocida como remailing.

Definición extraída de la Wikipedia :
“Un remailer es un servidor que recibe emails en un formato especial, los procesa eliminando las cabeceras, y los dirige hasta el destinatario del mensaje. Los emails normalmente están aplicados con criptografía. Para conseguir un mayor grado de anonimato, se debería usar más de un remailer. Un sólo remailer suele ocultar toda la identidad, pero es más seguro usar varios ya que resultaría más difícil saber de donde viene el mensaje.”

La idea no era usar solo un servidor de remailing, sino encadenar varios para ocultar el origen del mismo añadiendo mas puntos de análisis, por lo que habría que ir servidor por servidor realizando un análisis forense del mismo hasta intentar localizar la fuente de origen. Algo bastante complejo ya que estos servidores de remailers dejan pocas evidencias forenses y sobre todo poco fiables. También sería necesario una orden judicial por cada ISP que se pretenda analizar añadiendo tiempo y esfuerzo a la localización de los mismos. Podemos ver un ejemplo de un envío cualquiera hacia el destinatario contacto@securitybydefaultcom con una latencia de 2 horas y cifrado.

----- Codigo -----
::
Anon-To : contacto@securitybydefault.com
Latent-Time: +2:00
Encrypted: PGP

/eyc7Pz8/P0tUKkhGZz8/ajQ/Pz9mIj8/Xj9+UXo/P3I/Pz8/P0w/P2FaMT95fHs6P2I/JD8iSD93JiMxOTkyOz9bPyYjNjcxNDs/Pz8/Pw0KMTI1Njt7Pz9qPz9cPz8/P2c/ZWk/Vz8/JT8/dj8/P0Z8bT8/P0YmIzUyNjkxOzs/Vj8jJiMxNjY5Oz8/P0I/Pz97K2o/Pz84P2Azaz8/Mz92P0plPj9WPz86DQomIzEyNjY7Pz8/bT9SJiMyMDA0Oz8/P2Y/Pz8/RT9gWz8/Pz8/Pz8/JiMxMjUzO1g/PyYjOTg0Oz8mIzMzMzM0Oz8mIzE0ODk7PyY/JiM1MTY1MzshZTU/PyE/P2w/cT8pPz9cPz89K21AP0UmUEE/P0s/Kj9yPz8/

----- Codigo -----

Durante muchos años he sido usuario de remailers y algunas listas privadas de I+D. En muchas de estas listas se usaban técnicas comunes de espionaje y contraespionaje, donde se intentaba evitar la filtración de información o dejar un rastro de evidencias para no comprometer la seguridad personal de cada usuario. Recuerdo como por el año 2000 solía pernoctar por diferentes servidores de IRC y era aficionado a escanear canales de Onda Corta. Hice algunas amistades y se crearon algunos canales de comunicación como el uso de remailers y cuadernos de claves OTP. El cuaderno lo genero una persona y lo envío por correo ordinario a cada uno, pero siendo necesario una dirección postal para evitar conocer nombres y direcciones físicas de cada usuario. Se crearon ciertas reglas de confianza para poder acceder a la lista y escribir en ella, que en resumidas cuentas fueron :

  • Direcciones de correo variable cada 2 meses o bajo petición de un usuario si la lista podía haber sido comprometida. 
  • La información de las nuevas cuentas solo podía facilitarse bajo un canal seguro. 
  • No podía existir información del usuario, localización, zona horaria, nombres, etc. 
  • No se podía almacenar correo en servidor solo en cliente de email.
  • Todo el correo debía estar cifrado para cada destinatario con su clave pública.
Se usaban técnicas de mixing, el correo se enviaba a 3 remailers que soportaban cifrado de clave pública. Se cifraba por triplicado el correo, primero con la clave pública del primer servidor de remailing, una vez el servidor lo descifraba con su clave privada obtenía las cabeceras de envío para el segundo remailer. El segundo servidor de correo recibía el correo cifrado en su segunda capa con su clave publica, este lo descifraba, obtenía las cabeceras del nuevo servidor de correo a donde enviarlo y este obtenía el correo en el destino. Si se adjuntaban ficheros, todos debían estar alojados en servidores públicos y de forma cifrada con la clave correspondiente del cuaderno. Si no eras una persona activa quedabas fuera en las actualizaciones de claves

La mayoría de información que pasaba por ahí tenia que ver con servicios de inteligencia, grabaciones, documentación, software, ayuda para resolver algunos problemas técnicos, teléfonos, phreaking/wardialing, esquemas, traducciones, curiosidades, etc. Al menos estuve un par de años usando esa lista y vi algunas cosas que me llamaron mucho la atención, algunas daban bastante impresión y otras eran demasiado absurdas.

Tanto grabaciones de lo que parecía espionaje militar/empresarial a documentos que recababan información de lo mas variopinta, desde personajes importantes de varios países que no encontrarías en ‘altavista.com’ , situaciones en conflicto y análisis de las noticias de los periódicos de diferentes países. Fue una época muy interesante y me marcó bastante sobre todo porque algunas veces se podía sentir el miedo si alguien dejaba de escribir o se mandaban nuevas claves porque se pensaba que se había comprometido la lista.

Tal vez por eso fui dejandola poco a poco y centrándome más en otras cosas que fui descubriendo según surgía la necesidad. Hoy en día siguen existiendo técnicas similares de comunicación, se usan redes VPN, túneles por otro tipo de redes cifradas tipo TOR, pero al final el medio es bastante similar y tal vez jamas descubras quién se esconde detrás de ese tipo de redes, si un paramilitar, un entusiasta o quien sabe.

-- Anónimo

12 comments :

Román Ramírez dijo...

Los problemas con este tipo de soluciones son siempre los mismos.

Si has estado usando remailers, conocerás perfectamente el caso de anon.penet.fi... que no ha sido el único, pero sí uno de los más famosos e importantes.

Como siempre comentamos en seguridad, la cadena es tan fuerte como el eslabón más... no sé qué palabra usar... ¿el eslabón más judas? :)

Teniendo en cuenta que una vez dentro del "círculo" puedes hacer de forwarder o router (que se lo cuenten a Manning :)) ) pues...

El error es pretender que con tecnología vas a tener garantías de control sobre personas y vas a tener contención absoluta sobre los "leaks" de información.

Desde mi punto de vista hay que aprender de los expertos en "cazar espías" :)

Por ejemplo, es de conocimiento general que las grandes bases de datos de contactos incorporan erratas intencionadas; conociendo qué información con qué erratas ha sido propagada, sabes quién ha sido la fuente de propagación. Y no es muy técnica esta medida...

Por otro lado, tor, freenet, bouncing, ... ¿de verdad crees que por emplear ese tipo de mecanismos de ofuscación va a ser imposible rastrear el origen de una comunicación?

Hay tantos métodos indirectos de rastreo que estoy absolutamente convencido que, las agencias que se dedican a ello, tienen la típica herramienta de botón gordo...

Vamos, ya se hablaba de ello con Echelon hace quince años... seguro que "algo" habrá evolucionado todo el sistema... (sin querer parecer conspiranoico)

Y no quiero que se interprete el comentario como un "no lo hagas". Claro que soy usuario de redes con SSL, he usado y uso tor/privoxy, he usado bouncers y he usado remailers... pero no se me ocurriría poner garantías sobre todas esas piezas si de verdad me importara la información o el secreto que manejo.

Anónimo dijo...

Según leo, habla de cuadernos OTP enviados por un canal "seguro" como son direcciones postales. Supongo que es la capa de información/descifrado que falta.

Yo por mi parte conozco dicho caso, y como dices no ha sido el unico, pero no dudo de que hable de remailers variados y/o no tan publicos.

Supongo que forwarders habria al igual que los hay en la vida real, de eso no puedes huir.. pero como bien dices hay leaks que te permiten ir cerrando camino hasta dar con la semilla.

Lamentablemente se siguen usando los mismos tipos de cifrados que hace 40 años cuando la computacion era.. nula?, con las inversiones de DARPA nada más que en analizar estos tipos de cifrados.. vectores existiran.

Como dices, la tecnologia no lo es todo, el ejemplo mas claro es Fabián Escalante que protegio la vida de Fidel Castro en más de 638 intentos de asesinatos planificados con unos recursos bastante escasos comparandolos con los de la CIA de aquella epoca.

Tambien se hace en documentación interna de ciertas compañias, se añaden huellas digitales o incluso erratas en texto.

Con Tor paso exactamente eso.. con los nodos fraudulentos que se usaban para sniffar comunicaciones. Tambien hay tecnicas para sacar a alguien de la red Tor con ciertas peticiones, no dudo que en otro tipo de Redes alternativas existan dichas tecnicas. Ademas.. una red creada por los Marines..

Creo que todo dependera de la informacion que se maneje. Por ejemplo Wikileaks suele usar esteganografia, gpg, remailers.. Y como no.. envios por correo ordinario.

Anónimo dijo...

¿Y qué ha sido de freenet? En teoría surgió como una forma de red absolutamente anónima y no trazable, pero no he vuelto ha oir gran cosa sobre el proyecto desde hace años.

Newlog dijo...

Queda alguna vía de comunicación segura?

Sí, sí, sí, sí... Que si búnker, que si ordenador sin conexión a internet, etc.

Pero vosotros, si tuvieras que montar un sistema de comunicación el máximo de fiable, qué haríais? Có-có-cómo lo haríais?
Alguna opción que no se haya comentado?

SiD dijo...

Si quieres estar seguro de que no te leen... no escribas.

La historia nos demuestra que es más fácil atacar que defender... y muchos de los que leen este blog pueden dar fe de ello.

Asegurar en un 100% que una comunicación es segura, es tan arriesgado como asegurar que "el desembarco es en Calais".

Todos hemos oído la frase "si alguien lo hace, otr@ lo rompe"...

...o como le dijo el elefante a la hormiga "dame tiempo y disfruta"

A día de hoy para la mayoría de la gente, todo canal es seguro hasta que "algo" quiere que deje de serlo.

Saludines varios.

Newlog dijo...

De ahí mis primeras tres líneas del comentario, que veo que has obviado...
Ya sé que no se puede asegurar que algo es 100% seguro.
De ahí las últimas cuatro líneas de mi comentario...

Anónimo dijo...

Buenas,..

Estaría bien que dierais más información sobre las técnicas existentes para expulsar a alguien de la red TOR, suena interesante.

Anónimo dijo...

Buenas,

Cuando me refiero a sacar es obtener información del usuario real que esta detras de la red Tor. Hay varios POC/Docs sobre Tor unmasking.

www.fortconsult.net/images/pdf/tpr_100506.pdf


web.mit.edu/tabbott/www/papers/tor.pdf

fscked.org/talks/TorFlow-HotPETS-final.pdf
..

SiD dijo...

@Newlog :)

SiD dijo...

@Newlog :)

Anonymous dijo...

Según leo, habla de cuadernos OTP enviados por un canal "seguro" como son direcciones postales. Supongo que es la capa de información/descifrado que falta.

Yo por mi parte conozco dicho caso, y como dices no ha sido el unico, pero no dudo de que hable de remailers variados y/o no tan publicos.

Supongo que forwarders habria al igual que los hay en la vida real, de eso no puedes huir.. pero como bien dices hay leaks que te permiten ir cerrando camino hasta dar con la semilla.

Lamentablemente se siguen usando los mismos tipos de cifrados que hace 40 años cuando la computacion era.. nula?, con las inversiones de DARPA nada más que en analizar estos tipos de cifrados.. vectores existiran.

Como dices, la tecnologia no lo es todo, el ejemplo mas claro es Fabián Escalante que protegio la vida de Fidel Castro en más de 638 intentos de asesinatos planificados con unos recursos bastante escasos comparandolos con los de la CIA de aquella epoca.

Tambien se hace en documentación interna de ciertas compañias, se añaden huellas digitales o incluso erratas en texto.

Con Tor paso exactamente eso.. con los nodos fraudulentos que se usaban para sniffar comunicaciones. Tambien hay tecnicas para sacar a alguien de la red Tor con ciertas peticiones, no dudo que en otro tipo de Redes alternativas existan dichas tecnicas. Ademas.. una red creada por los Marines..

Creo que todo dependera de la informacion que se maneje. Por ejemplo Wikileaks suele usar esteganografia, gpg, remailers.. Y como no.. envios por correo ordinario.

Román Ramírez dijo...

Los problemas con este tipo de soluciones son siempre los mismos.

Si has estado usando remailers, conocerás perfectamente el caso de anon.penet.fi... que no ha sido el único, pero sí uno de los más famosos e importantes.

Como siempre comentamos en seguridad, la cadena es tan fuerte como el eslabón más... no sé qué palabra usar... ¿el eslabón más judas? :)

Teniendo en cuenta que una vez dentro del "círculo" puedes hacer de forwarder o router (que se lo cuenten a Manning :)) ) pues...

El error es pretender que con tecnología vas a tener garantías de control sobre personas y vas a tener contención absoluta sobre los "leaks" de información.

Desde mi punto de vista hay que aprender de los expertos en "cazar espías" :)

Por ejemplo, es de conocimiento general que las grandes bases de datos de contactos incorporan erratas intencionadas; conociendo qué información con qué erratas ha sido propagada, sabes quién ha sido la fuente de propagación. Y no es muy técnica esta medida...

Por otro lado, tor, freenet, bouncing, ... ¿de verdad crees que por emplear ese tipo de mecanismos de ofuscación va a ser imposible rastrear el origen de una comunicación?

Hay tantos métodos indirectos de rastreo que estoy absolutamente convencido que, las agencias que se dedican a ello, tienen la típica herramienta de botón gordo...

Vamos, ya se hablaba de ello con Echelon hace quince años... seguro que "algo" habrá evolucionado todo el sistema... (sin querer parecer conspiranoico)

Y no quiero que se interprete el comentario como un "no lo hagas". Claro que soy usuario de redes con SSL, he usado y uso tor/privoxy, he usado bouncers y he usado remailers... pero no se me ocurriría poner garantías sobre todas esas piezas si de verdad me importara la información o el secreto que manejo.