80% wizyt w sieci Tor dotyczy pornografii dziecięcej – albo i nie

dodał 2 stycznia 2015 o 16:50 w kategorii Prywatność  z tagami: •
80% wizyt w sieci Tor dotyczy pornografii dziecięcej – albo i nie

Wyniki ciekawego eksperymentu pokazują, że 4/5 wszystkich zapytań o lokalizację ukrytych usług w sieci Tor dotyczyło adresów zawierających pornografię dziecięcą. Przed przejściem do  wniosków warto jednak spojrzeć co i w jaki sposób badano.

W trakcie konferencji 31C3 brytyjski naukowiec Gareth Owen pokazał ciekawe wyniki analizy popularności ukrytych usług w sieci Tor. Przeanalizujmy jego badanie oraz osiągnięte rezultaty.

Pół roku i 40 węzłów

Jak spisać wszystkie adresy ukrytych usług w sieci Tor? Jest to z założenia niemożliwe. Dopóki ktoś nie opublikuje świadomie adresu swojego serwera z końcówką .onion, to adres ten pozostaje znany tylko kilku wybranym węzłom sieci. Problem ten spróbował rozwiązać Gareth Owen, który wraz ze swoimi studentami przez sześć miesięcy prowadził 40 węzłów sieci Tor.

Nie będziemy wnikać w szczegóły działania sieci Tor na poziomie protokołu (na nagraniu prezentacji poniżej Gareth je dość przejrzyście przedstawia), ale wystarczy wspomnieć, że każdy węzeł sieci Tor ma szansę stać się punktem posiadającym informację o konkretnej ukrytej usłudze. Oczywiście nie będzie to informacja o jej lokalizacji, a jedynie o jej adresie oraz węźle, gdzie można się z nią skontaktować. Dzięki takiej architekturze osoba, która kontroluje węzeł sieci, może zapisywać, o jakich ukrytych usługach danego dnia jej węzeł wie oraz ile otrzymał zapytań na temat możliwości połączenia z konkretnym węzłem. Dane zbierane przez dłuższy czas można poddać analizie – i jej wyniki przedstawił kilka dni temu Gareth.

Statystyki ukrytych usług

Zespół kontrolował 40 węzłów przez 6 miesięcy. Ze względu na rotację informacji o ukrytych usługach przez ten czas mógł zebrać informację o sporej części adresów .onion. Oczywiście nie ma żadnej gwarancji, że natrafił na wszystkie – jest jednak dość prawdopodobne, że wszystkie bardziej popularne i stabilne napotkał co najmniej raz. W trakcie trwania eksperymentu zaobserwowano jednoczesną obecność około 45 tysięcy ukrytych usług. Jako że adresy te pojawiają się i znikają, to ich całkowita liczba zaobserwowana w trakcie eksperymentu jest większa i wynosi około 80 tysięcy.

Ilość ukrytych usług

Ilość ukrytych usług

Ciekawa jest informacja o stabilności adresów. Duża część z nich była zaobserwowana przez zespół badaczy tylko raz, a większość poniżej 10 razy. Oznacza to, że spora część adresów .onion pojawia się na krótką chwilę, by następnie dokonać żywota.

Wiek ukrytych usług

Wiek ukrytych usług

Ciekawie wygląda także porównanie danych zebranych w tym badaniu z danymi z innego badania z roku 2013, kiedy to naukowcom udało się wykorzystać lukę w protokole by wyliczyć istniejące ukryte usługi. Porównanie obu zebranych zestawów danych wskazuje, że w stosunku do badania sprzed ponad roku ok. 5000 adresów dalej istnieje, 45 000 zniknęło a 60 000 się pojawiło.

Jaki rodzaj usług dominuje

Okazuje się, że zdecydowanie najczęściej w sieci Tor poszukiwane są adresy kontrolerów botnetów. Usługi te zajmują 40 pierwszych miejsc na liście najpopularniejszych adresów. Naukowcy natrafili na adresy serwerów C&C siedmiu różnych botnetów, w tym również botnetu Skynet, którego twórca przeprowadził nawet AMA na Reddicie i miał swoje konto Twittera. Co prawda został już zatrzymany (co w tym kontekście nie było zaskoczeniem) a botnet wyłączony, jednak zainfekowane maszyny nadal szukają swojego centrum sterowania.

Kontrolery botnetów

Kontrolery botnetów

Po odfiltrowaniu kontrolerów botnetów naukowcy pobrali zawartość pozostałych adresów by określić ich charakter. Aby uniknąć łamania przepisów pobierali jedynie treści tekstowe. W ten sposób przeprowadzili klasyfikację rodzajów usług wskazującą, że najliczniejsze są serwisy oferujące narkotyki, na drugim miejscu znajdują się różne platformy handlowe a na trzecim strony poświęcone oszustwom. Okazało się jednak, że strony oferujące narkotyki odpowiadają jedynie za ok. 5 % wszystkich zapytań.

Rodzaj ukrytych usług

Rodzaj ukrytych usług

Gdzie ta pornografia

Pornografia dziecięca, ukryta pod hasłem „abuse”, pod względem ilościowym znajdowała się pod koniec klasyfikacji ukrytych usług. Kiedy jednak spojrzeć na ilość zapytań, jakie odnotowały poszczególne usługi, okazuje się, że aż 83% zapytań o konkretne adresy .onion dotyczyło właśnie usług zawierających pornografię dziecięcą.

Popularność ukrytych usług

Popularność ukrytych usług

Na tej podstawie Wired napisał, że 80% wizyt w Torze związanych jest z pedofilią. Problem jednak polega na tym, że tego tak naprawdę nie wiemy. Spójrzmy zatem na możliwe scenariusze oraz kontekst pozyskanych danych.

Po pierwsze widzimy jedynie zapytania o ukryte usługi, +/- odpowiednik zapytań do serwera DNS. Nie oznacza to ani liczby wizyt, ani liczby gości. Klient Tora – jeśli go nie restartujemy – musi tylko raz zapytać o daną usługę w ramach jednej sesji. Nie wiemy zatem, ile było wizyt, nie wiemy, jaka była przepustowość ruchu, nie wiemy nawet, czy byli to użytkownicy czy jakieś boty.

Nie jest tajemnicą, że niejedna jednostka policji czy też organizacji powołanych do walki z pornografią dziecięcą regularnie skanuje serwisy pedofilskie w poszukiwaniu nowych treści i śladów mogących prowadzić do zatrzymania sprawców. Część widocznych zapytań powinna zatem pochodzić z takich właśnie automatów. Możliwe także, że zarejestrowane dane to np. efekt próby ataku DDoS na ukrytą usługę. Nie sposób tego wykluczyć.

Jak słusznie zauważają przedstawiciele Tor Project, jedynie ok. 1,5% ruchu w sieci Tor to ruch do ukrytych usług. W 98,5% przypadków sieć Tor wykorzystywana jest do odwiedzania witryn lub innych usług w „normalnym” internecie. Oznacza to, że w najgorszym razie 80% z 1,5% to ruch związany z pornografią dziecięcą.

Warto także zauważyć, że klasyfikacja witryn zaobserwowanych w trakcie eksperymentu następowała pod jego koniec. Oznacza to, że witryny, które pojawiły się na jego początku a następnie zniknęły z sieci nie zostały sklasyfikowane. Skutkiem tego jest bez wątpienia nadreprezentacja w klasyfikacji witryn o największej stabilności działania. Również wizyty przez bramki typu Tor2Web nie mogły być ujęte w opublikowanych wynikach.

To, że Internet is for porn nie ulega żadnej wątpliwości. Czy jednak Tor is for child porn? To badanie nie przedstawia jednoznacznych dowodów na potwierdzenie tej tezy.

Podobne wpisy