Zero day-aanval op Tor Browser was voor één persoon bedoeld
De zero day-aanval op Tor Browser die vorig jaar november werd ontdekt was voor één persoon bedoeld, zo stelt Logan Brown, directeur van Exodus Intelligence, het bedrijf dat de Tor Browser-exploit aan een overheidsinstantie leverde. De aanval was tegen een gebruiker van een kinderpornosite gericht.
Volgens Brown klopte de overheid bij hem aan omdat ze een bepaald iemand wilde oppakken. "Het was nooit onze intentie dat gebruikers hierdoor getroffen zouden worden", aldus Brown tijdens een paneldiscussie van Mozilla en het Stanford Center for Internet and Society. Brown stelt dat hij vond dat de verdachte die werd gezocht een "slecht persoon" was en besloot daarom de exploit voor het onbekende lek in Tor Browser te leveren. Via de aanval kon het werkelijke ip-adres van Tor Browser-gebruikers worden achterhaald. De browser is juist ontwikkeld om het ip-adres van gebruikers te beschermen.
Zes uur nadat het bedrijf de exploit had geleverd werd de verdachte opgepakt. De manier waarop de overheidsinstantie de zero day-aanval echter gebruikte was volgens Brown roekeloos en onverantwoord, waardoor het bestaan van de kwetsbaarheid in de openbaarheid kwam. Aanleiding voor Exodus Intelligence om niet meer met deze niet nader genoemde overheidsinstantie samen te werken. In het geval van het zero day-lek in Tor Browser besloot Exodus Intelligence na het openbaar worden samen met Mozilla aan een oplossing te werken. In de onderstaande video van de paneldiscussie gaat Brown rond de 48 minuten in op de zaak over de Tor Browser-exploit.
Jammer dan toch dat een heleboel groten, die het fenomeen aanvoeren, buiten beeld worden gehouden. Vaak tot na hun dood.
Denken we aan een 'roofdier' als Jimmy Saville en Ted Heath. Zij werden met opzet beschermd door kringen die het aansturen, terwijl kleinere vissen, als C-klasse artiesten, zoals Garry Glitter, bijvoorbeeld voor de bijl gingen en werden opgeofferd om de aandacht van de werkelijke problemen af te leiden.
Als de 'grootgebruikers' van dit soort "rotzooi" en de pedo-p**iers niet worden aangepakt, blijft het misbruik voortduren.
Een beetje symptoombestrijding, waar we het hier over hebben, is goed, dat laat ik onverlet, maar is niet de definitieve oplossing.
Dan kan ik me niet aan de indruk ontdekken dat het aanvallen van tor meer ten dienste van algemene surveillance is en de bijvangsten dik worden uitgemeten. Het elitaire Satanische misbruik kringetje blijft echter buiten schot en blijkt goed beschermd te zijn.
Het valt me nog mee dat er überhaupt Tor gebruikers over zijn. Na het opdoeken van Freedom Hosting, het meermalen neerhalen van Silk Road en het de-annonimiseren van de gebruikers zouden ze toch beter moeten weten? Als je echt wat te verbergen hebt wil je al jaren niet op Tor zitten.
Natuurlijk houden ze het klein. "We willen één gebruiker pakken" ipv "we willen alle gebruikers pakken'. De vraag die je jezelf moet stellen is : hoe krijg ik het IP adres van iemand die ik niet ken? Ze wisten dat de man op een kp site rondhing die in het onion netwerk staat, dus het makkelijkste is de Tor site hacken en er een exploit op zetten. Zodra de gebruiker komt, haalt deze ongewild de exploit binnen. Die geeft weer het IP adres van de gebruiker aan de opsproringsdienst.
Echter, iemand die je niet kent valt niet specifiek te targetten. Dus iedereen haalt de exploit op. En er zullen er meer zijn waarbij het lek bestaat. Als het echt een zero day is zouden ze wel eens bijna allemaal gemeld kunnen worden.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Toezichthouder informatiebeveiliging Overheid
Rijksinspectie Digitale Infrastructuur (RDI)
Vind je het leuk om als toezichthouder bij te dragen aan de verdere groei in informatie-beveiliging van de overheid en in contact te staan met (belangen) organisaties binnen de overheid? Dan kun je komen bouwen aan toezicht op een veilige en betrouwbare Digitale Infrastructuur in Nederland.
Adviseur Informatiebeveiliging
Je bent een belangrijke speler om invulling te geven aan de gemeentelijke ambities op het gebied van informatiebeveiliging. Deze ambities neem jij op in het Informatie-beveiligingsbeleid Gemeente Zoetermeer. Wil je helpen bij het verbeteren van de informatiebeveiliging in Zoetermeer en het versterken van het cyberbewustzijn binnen onze organisatie? Wacht dan niet en kom ons team informatiebeveiliging versterken!
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.