Публичные IP-адреса сайтов Tor видны через SSL-сертификаты

Исследователь безопасности компании RiskIQ Йонатан Клийнсма ( Yonathan Klijnsma ) обнаружил способ быстрого выявления публичных IP-адресов некорректно сконфигурированных серверов даркнета.

Главной причиной создания доступного только через Tor сайта в даркнете является желание его владельца скрыть свою личность. Однако для сохранения анонимности администратор должен настроить сервер на прослушивание только localhost (127.0.0.1), а не доступного через интернет публичного IP-адреса.

Тем не менее, Клийнсма обнаружил в сети Tor множество сайтов, использующих SSL, и скрытых сервисов с ненадлежащей конфигурацией, доступных через интернет. Поскольку RiskIQ «прочесывает» Сеть и находит соответствия между любым SSL-сертификатом и IP-адресом, исследователю не составило труда обнаружить некорректно сконфигурированные скрытые сервисы Tor с соответствующими публичными IP-адресами.

Как пояснил Клийнсма, проблема заключается в том, что администраторы сайтов настроили свои локальные серверы Apache или Nginx на прослушивание любых (* или 0.0.0.0) IP-адресов. Безусловно, подключение через Tor будет установлено, но оно также будет установлено и через внешний интернет, в особенности, если не используются межсетевые экраны.

«Эти серверы должны быть настроены на прослушивание только 127.0.0.1», – сообщил исследователь порталу Bleeping Comuter.

Когда операторы сайтов используют SSL-сертификаты, они связывают домен .onion с сертификатом. Если сервер настроен неправильно и слушает публичные IP-адреса, то и сертификат, содержащий домен .onion, также будет использоваться для этих адресов.