Хакер #305. Многошаговые SQL-инъекции
На конференции Defcon 2014 в Лас-Вегасе несколько известных хакеров, в том числе Райан Лэки (Ryan Lackey) из CloudFlare, Марк Роджерс (Marc Rogers) из Lookout, а также The Grugq выступили с презентацией довольно старого, но малоизвестного проекта PORTAL — прошивки для маршрутизатора с полной поддержкой Tor и разных дополнительных расширений Tor.
Проект получил название PORTAL (Personal Onion Router To Assure Liberty), что означает «персональный Onion-маршрутизатор для гарантированной свободы». Идея в том, чтобы всегда носить этот маршрутизатор с собой и выходить в интернет только через него. Это предохраняет от фатальных ошибок, когда вы забыли запустить на компьютере Tor перед работой или случайно перепутали какие-то настройки. Маршрутизатор гарантирует, что ваша анонимность всегда будет под защитой, и вы сможете нормально работать на компьютере, не ограничивая доступ к локальной памяти, как в дистрибутиве TAILS.
В принципе, на рынке есть несколько моделей Tor-маршрутизаторов. Например, PogoPlug Safeplug и Onion Pi. В то же время, PORTAL — всего лишь прошивка на Github, и устанавливать её нужно вручную.
Но авторы проекта объяснили на Defcon, что их маршрутизатор не просто пропускает трафик через Tor, но ещё поддерживает ряд дополнительных полезных расширений (подключаемых транспортов).
- Bananaphone для дополнительного обфусцирования Tor-трафика с помощью цепей Маркова, так что трафик выглядит как текст из настоящих слов.
- Obfs4 and Scramblesuit для устранения plaintext-заголовков из трафика.
- Flashproxy, который «заворачивает» Tor-трафик в формат WebSocket, использует XOR-шифрование и отправляет его через короткоживущие JavaScript-прокси, работающие локально в браузере.
- Format-Transforming Encryption (FTE) для кодирования Tor-трафика таким образом, чтобы он был похож на другой протокол, типа SSH, это защищает от фильтрации Tor-трафика по регулярным выражениям.
- Meek, который направляет Tor на адрес Google, откуда он отражается на сервер Meek и затем направляется по назначению.
Авторы презентации говорят, что соблюдать анонимность важно для каждого человека, даже для обычного гражданина, которому «нечего скрывать». Например, существует вероятность тотального наблюдения, когда даже безобидная информация может собираться годами на всех граждан, а спустя долгое время кто-то захочет её использовать каким-то образом. Вполне безобидные сейчас факты через 10 лет могут стать опасным компроматом.
