Expert demonstrující špatné použití Toru zatčen

Švédský bezpečnostní expert demonstroval známou skutečnost, že Tor není vhodný pro přenos nešifrovaných dat, protože data jsou přenášena přes neznámé cizí servery - Tor zajišťuje anonymitu, a ne soukromí. Vytvořil 5 výstupních routerů a měl štěstí: zachytil hesla k e-mailovým schránkám ambasád a také organizací pro lidská práva. Část ze zachycených dat zveřejnil jako ukázku problému. Nyní jej policie zatkla a zabavila jeho hardware a dokumenty.

15.11.2007 17:07 | Luboš Doležel (Doli) | Zajímavý článek

Komentáře

[pic]

střílejte posly....

ideální řešení možných problémů

[Ilfirin]

No to snad není pravda.. O_O

[Martin]

Proč myslíš? Já tedy nevím, jaký byl přesně důvod jeho zatčení, ale troufnul bych si odhadnout, že to bylo kvůli zveřejnění těch citlivých dat. To by mi přišlo celkem pochopitelné a v pořádku.

[Ilfirin]

Hmm, to je fakt :-/

[juzna]

Jaky byl duvod toho zatceni?

[Lu-Tze]

Že zveřejnil zachycená data. To se nemůže ani u nás.

[Luboš Doležel (Doli)]

Ani pokud jsou data nasměrována přes můj systém?

[Lu-Tze]

To bych řekl, že je úplně jedno. Ale žádný důkaz pro to teď nemám.

[Filip Jirsák]

Předpokládám, že ani tak ne. Rozhodně pošta nebo poštovní doručovatelka nemá právo číst si moje dopisy jenom proto, že prochází „přes ně“ – a „tajemství dopravovaných zpráv“ bylo na elektronickou komunikaci rozšířeno již docela dávno.

[Luboš Doležel (Doli)]

Problémem Toru je to, že data jsou technicky směřována vám. Vy (výstupní router) je dešifrujete a z vaší adresy jsou poslána dál.

[Lu-Tze]

Ale jen technicky. Snad aždá komunikace v internetu prochází přes spoustu uzlů, s kterými nemá nic společného ani příjemce ani odesilatel.

[Luboš Doležel (Doli)]

No pozor, v IP hlavičce je jako cílová adresa v moment přijetí adresa výstupního routeru. V tom se to od běžných routerů liší.

[Lu-Tze]

A proč by někoho mělo zajímat, co je v hlavičce. Dá se poznat, že to nejsou jeho data? Ano. Řekl bych, že je to podobné jako vrstva Toru + síťová vrstva vs síťová vrstva + linková vrstva.

[black - aka pol]

A proč by někoho mělo zajímat, co je v hlavičce. Dá se poznat, že to nejsou jeho data? Ano. Řekl bych, že je to podobné jako vrstva Toru + síťová vrstva vs síťová vrstva + linková vrstva.

Taky si myslim, jenže co se týká zákonů zarazíš se už na té vrstvě toru. ...smůla.

[xm]

To co tvrdíte je naprostá pitomost. Tím že provozujete Tor server, provozujete veřejnou službu, která se dá zcela oprávněně přirovnat třeba k té k reálné poště. Co co je uvedeno v IP hlavičce je naprosto irelevantní, to je jen technická otázka (skutečný cíl zprávy je jiný), v principu je to prostě a jednoduše to samé jako kdyby pošťák na Internetu zveřejňoval dopisy lidí, které ráno roznášel do schránek.

[Luboš Doležel (Doli)]

A definuje nějak zákon, jak má být určeno, komu je paket vlastně směrován?

[Filip Jirsák]

Zákon naštěstí neřeší takovéhle technické detaily, ale zabývá se věcnou stránkou věci. Tj. onen expert nejpozději v době zveřejnění věděl, že ty zprávy nebyly určené jemu – jinak by je asi nezveřejňoval

[Filip Jirsák]

Mail na server také přijde s cílovou IP adresou serveru, ale hlavičky e-mailu určují, kam má být předán dál – a to ještě neznamená, že správce serevru ty e-maily může číst. Ostatně dopis je také směrován nejprve na počtu dle PSČ, a teprve odtud jde do vaší schránky.

[Robert Krátký]

Rozhodně pošta nebo poštovní doručovatelka nemá právo číst si moje dopisy jenom proto, že prochází „přes ně“

A vztahuje se to i na pohledy a korespondenční lístky?

[Filip Jirsák]

Ano, i na ně. Nezáleží na tom, jak moc pracné je k obsahu se dostat.

[janik]

Aj ked mi omylom pride cudzia posta na moju adresu, nemozem porusit listove tajomstvo... Takisto ako nemozem citat postu podnajomnikov a podobne... Myslim ze v tomto pripade je to to iste

[Luboš Doležel (Doli)]

Je to jako kdyby vám přišel dopis s vaší adresou (IP hlavička), uvnitř kterého by na začátku bylo napsáno, že to máte dát sousedovi.

[happy barney]

rozdiel je v tom, že to nie je vnútri, ale sused ti vopred oznámil, že ti ten-a-ten pošle "omylom" list prenho.

[black - aka pol]

On nezveřejnil zachycená data, spíš bych to přirovnal k principu když tobě někdo pošle spam a ty ho pak vyvěsíš. Důvod zatčení byl nejspíš jiný, něco jako odposlech tajných služeb a hackerů... - to ale není ilegální, i když určitě nemilé pro dané instituce.
Nevšiml jsem si, že by v českých zprávách o tom proběhla žádná zpráva, přitom seznam byl uveřejněn 30 srpna..

[Lu-Tze]

Ale píše se tam "Egerstad is responsible for publicly disclosing e-mail account and server login information for embassies, companies, and government agencies."

[black - aka pol]

Ono se tam toho píše víc. Třeba že ty ambasády a policie o to stejně předtím nejevily zájem, s jedinou vyjímkou. V podstatě tím odmítly, pravost údajů.

[black - aka pol]

Drobná oprava, 'zachycená data' ve smyslu, že by vstoupil na cizí počítač a chytil si je tam. Protože 'defacto' tento termín označuje veškerou komunikaci směřující k vám.

[billgates]

Podla mna urobil ten clovek prospesnu vec, lebo poukazal na to, ze mnohi tuto technologiu pouzivaju nespravne (lebo jej vobec nerozumeju). Zabezpecena je jedine anonymita odosielatela, ale data idu od vystupneho uzlu az k cielovemu serveru nezasifrovane, takze kazdy po ceste si ich moze precitat.

[xm]

Což je všeobecně znám věc a na stránkách Toru je to patřičně zdůrazněno - o bezpečnost dat po jejich "vystoupení" ze sítě Toru do obyčejného Internetu se samozřejmě musí starat daný protokol (https, atp.).

Jediné co onen člověk ukázal je debilita vládních úředníků, kteří tak jednoduchou (a všude zdůrazňovanou) věc jako že Tor se stará o anonymitu, nikoliv o bezpečnost, nedokáží pochopit. Nicméně tím že zveřejnil zachycená data rozhodně porušil zákon a měl by být potrestán (stejně jako třeba pošťák, který by na Internetu zveřejňoval obsahy dopisů které zrovna ráno roznášel).

[black - aka pol]

Ne, ne, ne a ne.
Tady je prostě vidět, že nemáte k dispozici originální článek. Ten člověk zveřejnil komunikaci přes Tor která byla viditelná komukoliv (ze správného místa) a také nebyla vědomě posílána zmíněnými úředníky. Oni neměli zdání, že tam mají Tor - oni ho tam totiž mít něměli.
Co s tím dělat netuším, ale když příslušné státní orgány prostě popřou, že by měli problém, je to asi jediný způsob jak na to upozornit.
Mimochodem s dobrým právníkem ho za tohle určitě neodsoudí, není to možné.

[black - aka pol]

Předpokládám, že ani tak ne. Rozhodně pošta nebo poštovní doručovatelka nemá právo číst si moje dopisy jenom proto, že prochází „přes ně“ – a „tajemství dopravovaných zpráv“ bylo na elektronickou komunikaci rozšířeno již docela dávno.

Pro jistotu ještě jednou - poštovní tajemství s tím nemá do dělat. Toto je otevřená (rozuměj přístupná komukoliv, dvěma nebo miliónum lidí - je to jedno) komunikace a na tu se žádná ochrana nevztahuje. Navíc zveřejněny byly nešifrované loginy, takovéto http://myname@mypass/mydomain.com
Ne obsah.

[Filip Jirsák]

Poštovní tajemství se týká poštovních zásilek a chrání i informace o odesílateli a adresátovi (tj. pošťačka nemůže vykládat sousedkám na pavlači „a víte že Nováková dostala pohled od nějakého George až z Ameriky?“) O čem se bavíme je listovní tajemství – vizte článek 13 Listiny základních práv a svobod:

Nikdo nesmí porušit listovní tajemství ani tajemství jiných písemností a záznamů, ať již uchovávaných v soukromí, nebo zasílaných poštou anebo jiným způsobem, s výjimkou případů a způsobem, které stanoví zákon. Stejně se zaručuje tajemství zpráv podávaných telefonem, telegrafem nebo jiným podobným zařízením.

[black - aka pol]

O čem se bavíme není žádné tajemství. Definice 'poštovního' 'listovního' ani 'elektronické' verze téhož ti na to přesně nesedne. Jednou jsou ty informace vyslány jako veřejně přístupné - protože nejsou kódovány, není zde ani náznak ani ujednání. A tak také jsou veřejné. Pokud chceš vést soukromou komunikaci taky to nepůjdeš rozhlásit do televize a pak nenecháš pozatýkat všechny, kteří to vysílání slyšeli, že jim nebylo určeno a je 'státní' zájem.
Navíc ambasády byly 'hackerem' kontaktovány a svým postojem (tj. žádná odpověď) nepřímo daly najevo, že žádné informace od nich neunikly - z toho plyne, že je v pořádky je zveřejnit.
Mimochodem Tor má také podmínky pro užívání a nic nezaručuje. To si zaručíte pouze v případě, že máte vlastní Tor síť - což může být případ třeba armády.

[Bob]

Logická teorie, ale před právníky by IMHO neobstála (už jen proto že se jedná o myšlenkový postup, o čemž právo často není). Dovedete si představit, že by se někdo začal bavit tím, že by odchytával maily třeba z/na finanční úřad a zveřejňoval je? Princip veřejného vysílání na to pasuje...

[Filip Jirsák]

Že něco není kódováno ještě neznamená, že je to veřejně přístupné. Nikde jsem nenašel, že by se „veřejné“ a „soukromé“ v oblasti dopravování zpráv rozlišovalo podle stupně obtížnosti získání obsahu zprávy, vždy to je podle toho, zda je zpráva adresována nějak konkrétně, nebo je pouze dána k dispozici veřejnosti.

Nečinnost se za právní akt považuje jen ve specifických případech. Řekl bych, že to musí být stanoveno v zákoně nebo v nějaké předchozí smlouvě.

[xm]

Říkáte blbosti. To jestli je komunikace šifrovaná či nešifrovaná nijak neovlivňuje právo člověka na listovní tajemství, které je zaručeno Listinou základních práv a svobod.

Když někdo provozuje Tor server, je to z tohoto hlediska stejné jako kdyby provozoval třeba emailový server. Jednoduchost přístupu ostatních k dané komunikaci nijak vaše právo na listovní tajemství nesnižuje - třeba takový otevřený pohled také spadá pod listovní tajemství a pošťák si ho nesmí číst a už vůbec ne jeho obsah zveřejňovat.

[CET]

Hodne se tady mluvi o zatceni pro poruseni listovniho tajemstvi. Mozna, kdyby zverejnil komunikaci kohokoliv jinyho, tak se nic nedeje. Ale v tomhle pripade slo o ambasady. Pokud se nepletu, ambasada je cast uzemi jednoho statu na uzemi jineho statu. A pokud zverejnim heslo nejakyho statniho uradu, natoz pak zrovna ambasady na cizim uzemi, tak bych rekl, ze je to docela citliva informace. A co ma napr. CR v zakonech a myslim, ze i jine staty? V listine prav je neco ve smyslu "clovek ma pravo vyjadreni vlastniho nazoru a informaci, pokud to nebude v rozporu se zakonem" a zakon pak rika neco ve smyslu, ze "je zakazano zverejnovat citlive informace, ktere by nejakym zpusobem mohli oblizit statu". Takze kdyz reknou, ze zverejneni hesla ambasady muze hodne statu oblizit, tak ma chlapec problem.