ФБР против Tor. Как на самом деле ловили людей в даркнете
Silk Road, Freedom Hosting, Playpen, операция Onymous, AlphaBay. Каждый раз заголовки кричали, что «Tor взломан». Каждый раз правда оказывалась интереснее - и поучительнее.
1 октября 2013 года, вторая половина дня. Филиал публичной библиотеки в районе Глен-Парк в Сан-Франциско. За столиком в отделе научной фантастики сидит 29-летний мужчина в футболке и работает на ноутбуке. За его спиной начинается ссора - пара громко выясняет отношения. Мужчина поворачивает голову. В ту же секунду женщина, которая только что ссорилась, хватает его открытый ноутбук и передаёт его агенту ФБР.
Так закончилась история Росса Ульбрихта, известного как «Dread Pirate Roberts», - создателя Silk Road, крупнейшего на тот момент интернет-рынка наркотиков. Ссора была инсценирована. Нужно было захватить ноутбук, прежде чем владелец успеет его закрыть и сработает шифрование. Это удалось: компьютер был разблокирован, а на нём - дневник, заметки и панель администратора сайта.
Но самое интересное в этой истории - не сам арест. Самое интересное - как ФБР вообще вышло на Ульбрихта.
Altoid
Silk Road работал с 2011 года как скрытый сервис в сети Tor. Сервер должен был быть неотслеживаемым, а платежи в биткоинах - анонимными. Два года следователи пробовали технические методы. Прорыв принесло нечто гораздо более простое.
Гэри Олфорд, следователь налоговой службы США, работавший с DEA, сделал то, что может сделать любой: поискал старые записи в интернете. Он нашёл сообщения начала 2011 года, в которых кто-то под ником «altoid» рекламировал новый сервис Silk Road. Тот же «altoid» несколько месяцев спустя попросил техническую помощь на форуме программистов. И указал адрес e-mail, в котором были его имя и фамилия: Ross Ulbricht.
Никакая криптография не была взломана. Tor работал ровно так, как должен. Подвёл человек, который за два года до этого, ещё не думая об осторожности, оставил в сети след, связывавший его псевдоним с настоящей личностью. Интернет не забывает. Ульбрихта приговорили к пожизненному заключению. В январе 2025 года его помиловал президент Дональд Трамп.
Freedom Hosting: браузер как троянский конь
Летом 2013 года ФБР прибегло к другому методу. Целью был Freedom Hosting - хостинговая компания, работавшая внутри сети Tor, на серверах которой размещались в том числе сайты с материалами сексуального насилия над детьми. В конце июля в Дублине задержали её оператора, Эрика Эойна Маркеса. Серверы перешли под контроль ФБР.
Вместо того чтобы сразу их отключить, агенты добавили на сайты код JavaScript. Код использовал уязвимость браузера Firefox 17 ESR - того самого, на котором тогда был основан пакет Tor Browser. Когда пользователь заходил на сайт, браузер отправлял - в обход сети Tor - его настоящий IP-адрес и имя компьютера на сервер в Вирджинии.
ФБР называет такие инструменты «NIT» - Network Investigative Technique, «сетевая следственная техника». На языке специалистов по безопасности это просто вредоносная программа. Важно было другое: использованная уязвимость уже была исправлена. Атака работала только против тех, кто не обновил браузер.
Playpen: две недели в роли администратора
В феврале 2015 года ФБР захватило сервер Playpen - одного из крупнейших в сети Tor сайтов с материалами сексуального насилия над детьми. На этот раз агенты пошли дальше, чем когда-либо: почти две недели они сами вели сайт с одного сервера в Вирджинии и заражали компьютеры посетителей своим NIT.
Масштаб был беспрецедентным. Согласно показаниям, данным позже в суде, ФБР на основании одного ордера, выданного в Вирджинии, взломало более 8000 компьютеров в 120 странах. Дело вызвало горячую юридическую дискуссию. Часть судей признала, что ордер выходил за пределы полномочий выдавшего его суда. В нескольких процессах ФБР предпочло снять обвинения, лишь бы не раскрывать код своего инструмента. Несмотря на споры, правила в США позже изменили так, чтобы подобные операции было проводить проще.
И снова: сам Tor не был взломан. Взломали браузер на компьютерах людей, которые считали, что одного Tor достаточно для анонимности.
Операция Onymous и загадка Карнеги-Меллона
В ноябре 2014 года Европол и ФБР объявили об операции Onymous - название было язвительной игрой слов с «anonymous». В 17 странах задержали 17 человек, а из сети исчезли более 400 скрытых сервисов, в том числе Silk Road 2.0, преемник первого Silk Road. Его оператора, 26-летнего Блейка Бентолла, задержали в Сан-Франциско.
На этот раз вопрос о том, как это было сделано, был серьёзнее. За несколько месяцев до этого Tor Project сообщил, что с февраля по июль 2014 года в сети работала группа узлов, проводивших атаку под названием «relay early». Узлы помечали проходящий трафик так, что пользователя можно было связать со скрытым сервисом, который он посещал. Атака совпала по времени с внезапно отменённым докладом исследователей из Университета Карнеги-Меллона, анонсировавших на конференции Black Hat демонстрацию деанонимизации пользователей Tor «с бюджетом» около 3000 долларов.
Позже из судебных документов следовало, что сведения о пользователях Silk Road 2.0 поступили от «исследовательского института при университете», действовавшего на основании судебной повестки. Tor Project отреагировал резко, но прежде всего технически: уязвимость закрыли, а сеть укрепили. Из описанных случаев это единственный, когда атаке подверглась сама сеть Tor, - и единственный, который привёл к её реальному улучшению.
AlphaBay: приветственное письмо
В июле 2017 года власти США, Канады и Таиланда закрыли AlphaBay - рынок, в разы больше, чем когда-то Silk Road. Его создателем оказался 25-летний канадец Александр Казес, живший в Бангкоке. Его выдала мелочь из первых дней работы сервиса: письма, которые получали новые пользователи при регистрации и сбросе пароля, содержали в заголовке его личный адрес - с ником, которым он пользовался и на форумах, и на сайтах объявлений, и с годом рождения.
Сценарий задержания напоминал сан-францисский. Полиция Бангкока хитростью выманила Казеса из дома - по имеющимся данным, под предлогом автомобильной аварии, - пока его ноутбук оставался открытым и залогиненным. Через несколько дней Казес умер под стражей. Следователи захватили серверы, счета и миллионы долларов в криптовалюте.
И снова никакая криптография не была взломана. Хватило одного адреса e-mail многолетней давности и одного незаблокированного компьютера.
Повторяющийся шаблон
Посмотрим на эти истории вместе. Ульбрихт попался из-за старого сообщения на форуме. Казес - из-за адреса e-mail многолетней давности. Пользователи Freedom Hosting - из-за устаревшего браузера. Пользователи Playpen - из-за уязвимости браузера и уверенности, что одного Tor достаточно для анонимности. Только в случае Onymous атаке подверглась сама сеть, и то с помощью узлов, которые можно было обнаружить и удалить.
Это подтверждает то, что само АНБ написало в документах, раскрытых Сноуденом: Tor нелегко взломать, поэтому атакуют всё вокруг него. Компьютер. Браузер. Привычки. Память интернета.
Нужно сказать и прямо: описанные операции касались в основном тягчайших преступлений, и многие встретили их результаты с облегчением. Но те же техники работают против кого угодно. Против журналиста, защищающего источник. Против активиста в стране, где критика власти - преступление. Против адвоката, хранящего документы клиента. Инструмент не выбирает, кого атаковать.
Что это значит для вас
Уроки просты, хотя требуют дисциплины. Обновляйте всё - всегда и сразу. Разделяйте личности: то, что вы делаете анонимно, никогда не должно соприкасаться с тем, что вы делаете под своим именем, - ни сегодня, ни в прошлом. Не полагайтесь на один инструмент: Tor защищает путь, по которому идут данные, но не защитит компьютер, с которого вы их отправляете. Если браузер захвачен, а система, в которой он работает, имеет доступ ко всему, у злоумышленника есть всё.
Поэтому лучшие конфигурации сочетают анонимную сеть с изоляцией на уровне системы. Тогда даже успешная атака на браузер заканчивается в отсеке, который не знает вашего настоящего адреса, не видит ваших файлов и вот-вот перестанет существовать.
Tor не проиграл эти битвы. Проигрывали люди, которые думали, что один инструмент сделает за них всю работу.