De FBI heeft een onderdeel van de populaire hackingtool Metasploit gebruikt om Tor-gebruikers te identificeren. Metasploit is een tool waarmee penetratietesters en beveiligingsexperts de veiligheid van systemen en netwerken testen. Het wordt nu ontwikkeld en beheerd door beveiligingsbedrijf Rapid7.

Wired meldt dat de FBI in 2012 een onderdeel van Metasploit inzette om succesvol verschillende Tor-gebruikers via Adobe Flash Player te identificeren. De Amerikaanse opsporingsdienst maakte daarbij gebruik van een verlaten Metasploit-project genaamd "Decloaking Engine". Het ging om een in 2006 ontwikkeld experimenteel concept waarbij meerdere trucs werden gebruikt om gebruikers van een anonimiseringsdienst zoals Tor via een speciaal opgezette website te achterhalen. In het geval de Tor-gebruiker zijn installatie goed had beveiligd kon hij niet via de website worden geïdentificeerd. Als gebruikers echter een fout maakten werd hun werkelijke IP-adres zichtbaar.

Flash Player

Eén van de trucs was het gebruik van een Flash-applicatie. Adobe Flash Player kan een directe verbinding over het internet opzetten en zo het IP-adres van de gebruiker lekken. Een bekend probleem en het Tor Project adviseert gebruikers dan ook om Flash Player niet te installeren. Uiteindelijk verscheen er in 2011 een versie van Tor Browser, de software om het Tor-netwerk te benaderen, waardoor gebruikers beter beschermd waren en de testwebsite die voor de Decloacking Engine was opgezet bijna geen gebruikers meer identificeerde.

De FBI gebruikte Decloaking Engine echter als basis voor een operatie tegen kinderpornosites op het Tor-netwerk. De opsporingsdienst had toegang tot verschillende van deze sites gekregen en liet ze vervolgens Flash-programma's in de browsers van bezoekers uitvoeren om zo hun echte IP-adres te achterhalen. In totaal werden 25 gebruikers in de Verenigde Staten geïdentificeerd en een onbekend aantal daarbuiten. Volgens Wired is het de eerste keer dat de FBI spyware-achtige software tegen alle bezoekers van een website inzette in plaats van gericht tegen bepaalde individuen te gebruiken.

Identificatie

Het is echter onbekend of de FBI de standaard Decloaking Engine heeft gebruikt of een aangepaste versie. H.D. Moore, de oorspronkelijke ontwikkelaar van Metasploit en de Decloaking Engine, stelt dat zijn versie nauwelijks nog Tor-gebruikers kon identificeren. Alleen verdachten met een zeer oude Tor-versie of die veel moeite hadden gedaan om Flash Player te installeren zouden risico hebben gelopen.

Op deze manier zou de FBI zich alleen op verdachten met de slechtste operationele beveiliging hebben gericht in plaats van de grootste overtreders. Een aantal maanden later had de FBI het weer op Tor-gebruikers voorzien. Toen werd er een exploit voor een bekend Firefox-lek gebruikt om het IP-adres en MAC-adres van Tor-gebruikers te achterhalen. Wederom ging het om gebruikers met een slechte operationele beveiliging, aangezien het aangevallen Firefox-lek in de meest recente versie van Tor Browser al was opgelost.