FBI kontra Tor. Jak naprawdę łapano ludzi w darknecie
Silk Road, Freedom Hosting, Playpen, Operacja Onymous, AlphaBay. Za każdym razem nagłówki krzyczały, że „Tor został złamany”. Za każdym razem prawda była ciekawsza - i bardziej pouczająca.
1 października 2013 roku, popołudnie. Filia biblioteki publicznej w dzielnicy Glen Park w San Francisco. Przy stoliku w dziale science fiction siedzi 29-letni mężczyzna w T-shircie i pracuje na laptopie. Za nim zaczyna się kłótnia - para głośno się sprzecza. Mężczyzna odwraca głowę. W tej samej sekundzie kobieta, która przed chwilą się kłóciła, chwyta jego otwarty laptop i podaje go agentowi FBI.
Tak skończyła się historia Rossa Ulbrichta, znanego jako „Dread Pirate Roberts” - twórcy Silk Road, największego wówczas internetowego targowiska z narkotykami. Kłótnia była zaaranżowana. Chodziło o to, by przejąć laptop, zanim właściciel zdąży go zamknąć i uruchomić szyfrowanie. Udało się: komputer był odblokowany, a na nim dziennik, notatki i panel administracyjny strony.
Ale najciekawsze w tej historii nie jest samo zatrzymanie. Najciekawsze jest to, jak FBI w ogóle do Ulbrichta dotarło.
Altoid
Silk Road działał od 2011 roku jako ukryta usługa w sieci Tor. Serwer miał być nie do namierzenia, a płatności w bitcoinach - anonimowe. Śledczy przez dwa lata próbowali technicznych sposobów. Przełom przyniosło coś znacznie prostszego.
Gary Alford, śledczy amerykańskiego urzędu skarbowego współpracujący z DEA, zrobił to, co może zrobić każdy: przeszukał stare wpisy w internecie. Znalazł posty z początku 2011 roku, w których ktoś o pseudonimie „altoid” reklamował nowy serwis Silk Road. Ten sam „altoid” kilka miesięcy później zadał na forum programistów pytanie o pomoc techniczną. I podał adres e-mail, w którym widniało jego imię i nazwisko: Ross Ulbricht.
Żadna kryptografia nie została złamana. Tor działał dokładnie tak, jak powinien. Zawiódł człowiek, który dwa lata wcześniej, zanim jeszcze myślał o ostrożności, zostawił w sieci ślad łączący pseudonim z prawdziwą tożsamością. Internet nie zapomina. Ulbricht został skazany na dożywocie. W styczniu 2025 roku ułaskawił go prezydent Donald Trump.
Freedom Hosting: przeglądarka jako koń trojański
Latem 2013 roku FBI sięgnęło po inną metodę. Celem był Freedom Hosting, firma hostingowa działająca wewnątrz sieci Tor, na której serwerach znajdowały się między innymi strony z materiałami przedstawiającymi wykorzystywanie dzieci. Pod koniec lipca w Dublinie zatrzymano jej operatora, Erica Eoina Marquesa. Serwery przeszły pod kontrolę FBI.
Zamiast od razu je wyłączyć, agenci dodali do stron kod JavaScript. Kod wykorzystywał lukę w przeglądarce Firefox 17 ESR - tej samej, na której opierała się wtedy paczka Tor Browser. Kiedy użytkownik wchodził na stronę, przeglądarka wysyłała - z pominięciem sieci Tor - prawdziwy adres IP i nazwę komputera na serwer w Wirginii.
FBI nazywa takie narzędzia „NIT” - Network Investigative Technique, czyli „technika dochodzeniowa w sieci”. W języku specjalistów od bezpieczeństwa to po prostu złośliwe oprogramowanie. Ważne było co innego: luka, którą wykorzystano, została już wcześniej załatana. Atak działał tylko na tych, którzy nie zaktualizowali przeglądarki.
Playpen: dwa tygodnie w roli administratora
W lutym 2015 roku FBI przejęło serwer Playpen - jednej z największych w sieci Tor stron z materiałami przedstawiającymi wykorzystywanie dzieci. Tym razem agenci poszli dalej niż kiedykolwiek: przez blisko dwa tygodnie sami prowadzili stronę, z jednego serwera w Wirginii, i infekowali komputery odwiedzających swoim NIT-em.
Skala była bez precedensu. Według zeznań złożonych później przed sądem FBI na podstawie jednego nakazu wydanego w Wirginii włamało się do ponad 8000 komputerów w 120 krajach. Sprawa wywołała gorącą debatę prawną. Część sędziów uznała, że nakaz przekraczał uprawnienia sądu, który go wydał. W kilku procesach FBI wolało wycofać zarzuty, niż ujawnić kod swojego narzędzia. Mimo kontrowersji amerykańskie przepisy zostały później zmienione tak, by podobne operacje były łatwiejsze.
I znowu: sam Tor nie został złamany. Złamano przeglądarkę na komputerach ludzi, którzy uznali, że Tor wystarczy, by byli anonimowi.
Operacja Onymous i tajemnica Carnegie Mellon
W listopadzie 2014 roku Europol i FBI ogłosiły Operację Onymous - nazwa była złośliwą grą słów z „anonymous”. W 17 krajach zatrzymano 17 osób, a z sieci zniknęło ponad 400 ukrytych usług, w tym Silk Road 2.0, następca pierwszego Silk Road. Jego operator, 26-letni Blake Benthall, został zatrzymany w San Francisco.
Tym razem pytanie, jak to zrobiono, było poważniejsze. Kilka miesięcy wcześniej Tor Project ogłosił, że od lutego do lipca 2014 roku w sieci działała grupa węzłów, które przeprowadzały atak nazwany „relay early”. Węzły oznaczały przechodzący ruch w sposób, który pozwalał powiązać użytkownika z ukrytą usługą, którą odwiedzał. Atak zbiegł się w czasie z odwołanym nagle wykładem badaczy z Carnegie Mellon University, którzy zapowiadali na konferencji Black Hat pokaz deanonimizacji użytkowników Tora „za mniej niż 3000 dolarów”.
Później z dokumentów sądowych wynikało, że informacje o użytkownikach Silk Road 2.0 pochodziły od „instytutu badawczego związanego z uniwersytetem”, działającego na podstawie wezwania sądowego. Tor Project zareagował ostro, ale przede wszystkim technicznie: luka została załatana, a sieć wzmocniona. To jedyny z opisanych przypadków, w którym zaatakowano samą sieć Tor - i jedyny, który doprowadził do jej realnej poprawy.
AlphaBay: powitalny e-mail
W lipcu 2017 roku służby USA, Kanady i Tajlandii zamknęły AlphaBay - targowisko kilkakrotnie większe niż kiedyś Silk Road. Jego twórcą okazał się 25-letni Kanadyjczyk Alexandre Cazes, mieszkający w Bangkoku. Zdradził go drobiazg z pierwszych dni działalności serwisu: e-maile wysyłane do nowych użytkowników przy rejestracji i resetowaniu hasła zawierały w nagłówku jego prywatny adres - z pseudonimem, którego używał też na forach i w serwisach z ogłoszeniami, i z rokiem urodzenia.
Scenariusz zatrzymania przypominał ten z San Francisco. Policja w Bangkoku podstępem zwabiła Cazesa przed dom - podobno pod pretekstem stłuczki samochodowej - podczas gdy jego laptop pozostawał otwarty i zalogowany. Kilka dni później Cazes zmarł w areszcie. Śledczy przejęli serwery, konta i miliony dolarów w kryptowalutach.
Znów żadna kryptografia nie została złamana. Wystarczył jeden adres e-mail sprzed lat i jeden niezablokowany komputer.
Wzór, który się powtarza
Spójrzmy na te historie razem. Ulbricht wpadł przez stary wpis na forum. Cazes - przez adres e-mail sprzed lat. Użytkownicy Freedom Hosting - przez nieaktualną przeglądarkę. Użytkownicy Playpen - przez lukę w przeglądarce i przekonanie, że sam Tor zapewnia im anonimowość. Tylko w przypadku Onymous zaatakowano samą sieć, i to za pomocą węzłów, które dało się wykryć i usunąć.
To potwierdza to, co sama NSA napisała w ujawnionych przez Snowdena dokumentach: Tora nie da się łatwo złamać, więc atakuje się wszystko wokół niego. Komputer. Przeglądarkę. Nawyki. Pamięć internetu.
Trzeba też powiedzieć jasno: opisane operacje dotyczyły głównie przestępstw najcięższego kalibru i wielu ludzi przyjęło ich wyniki z ulgą. Ale te same techniki działają na każdego. Na dziennikarza, który chroni źródło. Na aktywistę w kraju, w którym krytyka władzy jest przestępstwem. Na prawnika, który przechowuje dokumenty klienta. Narzędzie nie wybiera, kogo zaatakuje.
Co z tego wynika dla Ciebie
Lekcje są proste, choć wymagają dyscypliny. Aktualizuj wszystko - zawsze i od razu. Oddzielaj tożsamości: to, co robisz anonimowo, nigdy nie może dotykać tego, co robisz pod własnym nazwiskiem, ani dziś, ani w przeszłości. Nie ufaj jednemu narzędziu: Tor chroni drogę, którą płyną dane, ale nie ochroni komputera, z którego je wysyłasz. Jeśli przeglądarka zostanie przejęta, a system, w którym działa, ma dostęp do wszystkiego, napastnik ma wszystko.
Dlatego najlepsze konfiguracje łączą anonimową sieć z izolacją na poziomie systemu. Wtedy nawet udany atak na przeglądarkę kończy się w przedziale, który nie zna Twojego prawdziwego adresu, nie widzi Twoich plików i za chwilę przestanie istnieć.
Tor nie przegrał tych bitew. Przegrywali ludzie, którzy myśleli, że jedno narzędzie zrobi za nich całą robotę.