MalOrbot: κακόβουλο λογισμικό στην πλατφόρμα του Android για την αποανωνυμοποίηση των χρηστών Tor

Abstract

Το διαδίκτυο δε δημιουργήθηκε και σχεδιάστηκε έχοντας ως βασική προτεραιότητα την τήρηση της ανωνυμίας των χρηστών. Γι ́ αυτόν το λόγο έχει παρατηρηθεί σημαντι- κή ανάπτυξη μεθόδων για την προστασία της ανωνυμίας των χρηστών, όπως είναι το δίκτυο ανωνυμίας Tor. Ο σκοπός της παρούσας διπλωματικής εργασίας είναι η σχεδία- ση και υλοποίηση ενός απλού στην εφαρμογή αλλά πολύ αποτελεσματικού σχήματος απο-ανωνυμοποίησης της δικτυακής κίνησης του χρήστη που διοχετεύεται μέσω Tor. Αυτό γίνεται με τον έλεγχο τόσο της κίνησης που εξέρχεται από τον Onion Proxy (OP) όσο και της κίνησης που εισέρχεται στον κόμβο Εξόδου (exit node). Πιο συγκε- κριμένα, η υλοποίηση έχει γίνει στη δημοφιλή πλατφόρμα του Android με τη δημιουργία κακόβουλου λογισμικού, το οποίο έχει το διττό ρόλο να μεταβάλλει κατάλληλα δρώντας ώς ενδιάμεσος (man-in-the-middle) την κίνηση του χρήστη πριν εισέλθει στο δίκτυο Tor καθώς και να ορίζει τον OP. Επίσης, χρησιμοποιεί έναν συγκεκριμένο κόμβο ε- ξόδου που είναι υπό τον έλεγχο του επιτιθέμενου. ́Οταν η κίνηση του χρήστη διέρχεται από το συγκεκριμένο κόμβο εξόδου φιλτράρεται και οι λεπτομέρειες της διεύθυνσης IP του χρήστη καθίστανται ορατές. Πέρα από την απο-ανωνυμοποίηση της κανονικής HTTP κίνησης που διέρχεται μέσω του δικτύου Tor, η προτεινόμενη αρχιτεκτονική είναι ικανή να μεταχειρίζεται εξίσου αποτελεσματικά κάθε αίτηση HTTPS.

Internet was not created and designed with anonymity in mind. For this reason, there has been significant development for methods destined to provide anonymity to its users. The aim of this master thesis is to present a moderately simple to im- plement but very effective deanonymization scheme for Tor traffic. This is done by bridging the mixes in Tor, that is, by controlling both the traffic leaving the Onion Proxy (OP) and the traffic entering the Exit node. Specifically, from a user’s view- point, this has been implemented in the popular Android platform as a malware, having the dual aim to manipulate user traffic before it enters the Tor overlay and instruct OP to choose an Exit node that is controlled by the attacker. When the user’s traffic is received by the rogue Exit node it is filtered, and the sender’s IP details become visible. Finally, apart from deobfuscating normal http traffic send via the Tor browser, the proposed scheme is able to manipulate https requests as well.