Un'università americana ha attaccato Tor, per ordine dell'FBI

Aggiornamento: Kenneth Walters, un portavoce della Carnegie Mellon University (CMU), ha riferito a Motherboard per email, "Non abbiamo nulla da aggiungere alla nostra dichiarazione risalente al 18 novembre." Jillian Stickels, una portavoce dell'FBI, quando gli è stato domandato come l'FBI sapesse che c'era un progetto di ricerca del Dipartimento della Difesa relativo a Tor in corso, così che l'agenzia potesse ottenere un mandato per sbloccare ulteriori informazioni, ha detto a Motherboard in una telefonata che, "Per questo domanda specifica, chiederei a loro [alla Carnegie Mellon University]. Se questa informazione verrà mai resa pubblica, saranno loro a farlo."

A novembre, Motherboard ha scritto di come un "istituto di ricerca universitario" avesse fornito all'FBI informazioni che hanno poi portato all'identificazione di numerosi sospetti criminali del cosiddetto dark web. Le prove circostanziali hanno fatto corrispondere quell'istituto al Software Engineering Institute (SEI) della Carnegie Mellon University (CMU). A seguito di un polverone mediatico, il CMU ha pubblicato un comunicato stampa redatto con estrema attenzione, in cui implicava di essere stato obbligato da un mandato a rilasciare gli indirizzi IP che aveva ottenuto durante il progetto di ricerca.

Ora, sia il nome dell'università che l'esistenza di un mandato sono stati confermati durante l'archiviazione del materiale relativo a uno di questi casi.

"I documenti dimostrano che l'indirizzo IP dell'imputato è stato identificato dal Software Engineering Institute ("SEI") della Carnegie Mellon University (CMU") [sic] durante le ricerche sulla rete Tor condotte dal SEI e finanziati dal Dipartimento della Difesa ("DOD")," si legge in un documento archiviato martedì relativo al caso di Brian Farrell — Quest'ultimo è accusato di associazione a delinquere al fine di spaccio di cocaina, eroina e meta-anfetamine dato il suo presunto ruolo di membro dello staff del market del dark web Silk Road 2.0.

"L'indirizzo IP di Farrell è stato osservato durante le operazioni condotte dal SEI sulla rete Tor. Questa informazione è stata ottenuta dalle autorità in seguito a un mandato inviato al SEI-CMU," continua il documento.

Tra il gennaio e il luglio 2014, un gran numero di nodi malevoli hanno operato sulla rete Tor, per, secondo il Tor Project, contribuire alla de-anonimizzazione di diversi siti e utenti del dark web. L'attacco ha sfruttato una serie di vulnerabilità del software Tor — che da allora sono state corrette — e secondo una fonte, questa tecnica è stata capace di smascherare nuovi servizi nascosti nell'arco di due settimane.

Le prove mostravano come ci fosse il SEI dietro quell'attacco: i ricercatori del SEI Alexander Volynkin e Michael McCord avrebbero dovuto presentare la loro ricerca su come smascherare gli indirizzi IP dei servizi nascosti su Tor durante la Black Hat hacking conference nell'agosto del 2014, quando il loro talk è stato improvvisamente annullato senza alcuna spiegazione.

Il SEI ha anche inviato un paper di ricerca sullo stesso argomento alla 21esima ACM Conference on Computer and Communications Security (CCS) nel 2014, benché il paper si pensa fosse basato su simulazioni, e non su attacchi veri e propri. La ricerca è stata finanziata dal contratto numero FA8721-05-C-0003 del Dipartimento della Difesa. (Il Tor Project ha affermato senza prove che il CMU era stato pagato dall'FBI per almeno 1 milione di dollari per effettuare l'attacco.)

Questo nuovo documento processuale dimostra che, come molti hanno sospettato, c'era proprio il SEI dietro gli attacchi su Tor, e che le informazioni ottenute mediante l'attacco sono state sfruttate dalle autorità grazie a un mandato — Questione che la difesa di Farrell conosceva da diverso tempo, considerando gli ultimi documenti.

Quando gli è stato domandato come l'FBI sapesse che c'era un progetto di ricerca del Dipartimento della Difesa relativo a Tor in corso, così che l'agenzia potesse ottenere un mandato per sbloccare ulteriori informazioni, Jillian Stickels, una portavoce dell'FBI, ha detto a Motherboard in una telefonata che, "Per questa domanda specifica chiederei a loro [alla Carnegie Mellon University]. Se questa informazione verrà mai resa pubblica, saranno loro a farlo.""

Il Tor Project non ha per ora risposto alla nostra richiesta di commento, né l'hanno fatto il CMU, il Dipartimento di Giustizia, o i rappresentanti di Farrell. L'articolo sarà aggiornato appena riceveremo notizie.

Quest'ultima ordinanza era in risposta a una mozione per forzare la scoperta presentata dalla difesa di Farrell a gennaio. Hanno ricevuto "informazioni base" sull'attacco a Tor, così come i fondi e le relazioni strutturali tra il SEI e il Dipartimento della Difesa, stando all'ordinanza, ma hanno richiesto anche altro materiale. La mozione è stata negata dall'onorevole Richard A. Jones.

Molti documenti sono sotto sigillo, quindi è difficile farsi un'idea chiara di quali siano le informazioni esatte che gli avvocati di Farrell hanno cercato di ottenere, ma quest'ultima ordinanza fornisce qualche delucidazione. La difesa ha cercato più informazioni sull'attacco, e "rivelazioni riguardo i contatti tra il SEI, il Dipartimento di Giustizia e i federali," si legge sull'ordinanza, comprendendo periodi prima e dopo che il il SEI compiesse l'attacco, con un'enfasi particolare sull'incontro tra il Dipartimento della Giustizia e il SEI.

Per quanto riguarda il perché la corte abbia ordinato che non fossero forniti altri dettagli alla difesa su come il SEI ha agito e raccolto indirizzi IP, Jones sostiene che gli indirizzi IP, e persino quelli degli utenti di Tor, sono pubblici, e che gli utenti di Tor non hanno aspettative ragionevoli sulla privacy.

"Il SEI ha ottenuto l'indirizzo IP dell'accusato mentre quest'ultimo stava usando la rete Tor e il SEI stava operando nodi su quella rete, e non tramite un accesso a questo computer," si legge sull'ordinanza.

"Perché un utente possa usare la rete Tor, deve rivelare qualche informazione, tra cui l'indirizzo IP, a individui sconosciuti che gestiscono i nodi Tor, così che le sue comunicazioni possano essere dirette verso le destinazioni previste. In un sistema del genere, un individuo non può fare a meno di rivelare le proprie informazioni a completi sconosciuti," prosegue l'ordinanza.

Questa linea di argomentazione fa eco a quella di un caso recente di una grossa operazione di hacking da parte dell'FBI, dove un giudice ha dichiarato che Tor non dà ai propri utenti l'anonimato completo perché ad un certo punto gli utenti devono fornire i loro indirizzi IP reali ad un nodo di rete. A dirla tutta, nella sua ordinanza, Jones ha fatto riferimento esplicito a questa sentenza.

Per riassumere, "l'identificazione del SEI dell'indirizzo IP dell'accusato, per via del suo uso della rete Tor, non costituiva oggetto di scrutinio secondo il Quarto Emendamento," si legge.

Jones aggiunge che la richiesta per ulteriori prove è stata fatta "a dispetto dell'accordo comunicato da Tor Project che avverte dei punti vulnerabili della rete Tor e che gli utenti potrebbero non essere del tutto anonimi." Per quanto riguarda le altre richieste fatte dalla difesa di Farrell, il giudice ha stabilito che fossero irrilevanti, e che fossero già state fornite informazioni a sufficienza.

Il caso di Farrell è ben lontano da essere l'unico danneggiato dall'attacco del SEI a Tor.

All'inizio di questo mese, Gabriel Peterson-Siler si è dichiarato colpevole di possesso di materiale pedo-pornografico, e un altro caso di droga in Irlanda indica che è stato tirato in causa anche nelle azioni degli istituti. Infatti, sul mandato di perquisizione richiesto per Farrell si legge che sono stati ottenuti circa 78 indirizzi IP di quelli che sono entrati sulla sezione vendite di Silk Road 2.0. In cima a tutto questo, il sequestro di Silk Road 2.0 era parte della più ampia operazione Onymous, che è culminata nella chiusura di circa 27 siti diversi sul dark web, cosa che suggerisce che molti altri sospetti criminali, o già dichiarati colpevoli, sono stati probabilmente scoperti con lo stesso metodo.

Qui sotto trovate l'intera richiesta presentata in tribunale.

Farrell: 02_23_2016 Order Denying Motion to Compel di Joseph Cox