Analisi forense di Tor Browser Bundle su sistemi Windows

Transcript

1 ICT Security Magazine ICT Security - La Prima Rivista Dedicata alla Sicurezza Informatica Analisi forense di Tor Browser Bundle su sistemi Windows Author : Cosimo De Pinto Date : 18 Marzo 2019 In questo nuovo articolo illustrerò i vari aspetti legati all analisi forense[1] del browser Tor, acronimo di The onion routing, ovvero di uno dei browser più utilizzati per accedere alla rete Tor, evidenziando gli artefatti che potrebbero rappresentare una fonte attendibile di informazioni utili ai fini investigativi. Il browser Tor è in realtà Mozilla Firefox, opportunamente modificato in modo da potersi connettere alla rete Tor. Pertanto, se si ha già esperienza di analisi forense del browser Mozilla Firefox, si potranno notare, nel corso delle operazioni descritte, evidenti similitudini. Il Tor Browser può essere utilizzato su svariati sistemi operativi tra cui Windows, Mac e Linux e può essere eseguito sia da computer che da Pen Drive o Hard Disk esterno. In fig. 1 la tipica struttura su disco dopo l installazione della versione 8.0.6: 1 / 6

2 Prima di addentrarsi nel processo di analisi dal punto di vista forense, è necessaria una premessa almeno introduttiva del contesto in cui browser come Tor si trovano ad operare. The Tor Project venne originariamente sviluppato, negli anni '90, dal Naval Research Laboratory negli Stati Uniti, in collaborazione con il matematico Paul Syverson e gli informatici Michael Reed e David Goldschlag; lo scopo del progetto era la creazione di uno strumento atto a proteggere le comunicazioni sensibili dell'intelligence. Fu il periodo dell affermazione del principio cardine del routing di Tor-onion e della tecnica che protegge, ancora oggi, l'anonimato degli utenti online attraverso una serie di livelli crittografati. 2 / 6

3 Ci sarebbero voluti ancora anni prima che la versione originale di Tor diventasse disponibile: la versione alfa di The Onion Router o TOR venne rilasciata solo nel Quindi, l utilizzo dei principi di routing onion sviluppato negli anni '90 aveva consentito lo sviluppo di uno strumento veramente sicuro e anonimo per navigare in Internet. Sarebbero comunque passati altri due anni prima del rilascio del codice sorgente del progetto da parte del Naval Research Laboratory, con una licenza free. Fu proprio in quel momento che la Electronic Frontier Foundation (EFF) iniziò a finanziare lo sviluppo di Tor; nel 2006 nacque l attuale organizzazione senza scopo di lucro dedita alla gestione e manutenzione del progetto, denominata Tor Project, che rese sempre più popolare l utilizzo del browser Tor per chiunque stesse cercando uno strumento atto a mantenere la propria identità al sicuro durante la navigazione Web. Oggi, The Tor Project ha sede in Massachusetts e opera nell ambito della ricerca continuando a mantenere sia il Browser Tor che l'intricato sistema di ritrasmissione globale in grado di fornire i necessari strati di anonimato indispensabili alla navigazione in sicurezza; il tutto in un'epoca in cui, la sorveglianza da parte di agenzie governative e non solo -, desta non poche preoccupazioni nei frequentatori della rete Internet. Ma cos è esattamente Tor? Nella sua accezione più semplice, The Tor Project è composto da due parti: 1. un browser lato client che consente agli utenti di connettersi alla rete Tor; 2. un sistema globale di trasmissione che, basandosi su punti di ingresso della rete apparentemente casuali, hop[2] di instradamento e punti di uscita, rende ostica l identificazione, attraverso l'analisi dello stesso o il monitoraggio della rete, del percorso end-to-end relativo al flusso di traffico. Quando si utilizza un browser Web convenzionale, la maggior parte delle richieste Internet sono facilmente intercettate. È relativamente semplice comprendere la posizione di un determinato utente sulla base dell'indirizzo IP (Internet Protocol) anche se nella realtà potrebbe non essere così scontato. L'utilizzo di Tor fornisce un modo sicuro per navigare in Internet senza trasmettere l'indirizzo IP del dispositivo o alcuna delle informazioni visualizzate durante la sessione. Il sistema sembra funzionare talmente bene che, la National Security Agency (NSA) ha più volte affermato come Tor sia "il re dell'anonimato di Internet ad alta sicurezza e bassa latenza". Tor rende dunque anonimo l'indirizzo IP, ma vi sono altri dettagli che potrebbero comunque rivelarne l identità: i font installati, il tipo di browser e la grandezza delle finestre di navigazione. Tra i vari suggerimenti che lo stesso browser evidenzia, uno di questi è rappresentato dalla buona norma di non tenere la finestra di navigazione a schermo intero, come da figura in calce, 3 / 6

4 per motivi che potrebbero anche non essere di immediata comprensione. Fig. 2 Bene, dopo questa breve e necessaria panoramica poco tecnica gli addetti ai lavori mi perdoneranno, risulta di palmare evidenza la sfida che un informatico forense si trova ad affrontare. Risulta altresì evidente come l utilizzo di strumenti come Tor possa rientrare nella definizione di Anti-Forensic (AF), quale tentativo di ridurre la qualità e la quantità degli artefatti digitali per garantire che le evidenze digitali ritrovate da un investigatore forense non siano utilizzabili o non rappresentino la reale situazione in essere, non agevolando il lavoro di chi dovrebbe estrarle per contribuire alla verità processuale. Come approcciare l analisi? Per prima cosa è necessario trovare la cartella di installazione di Tor che potrebbe essere ovunque su di un dispositivo, essendo un applicazione portatile. Chi cerca di nascondere il browser Tor potrebbe aver rinominato l eseguibile o averlo installato in una directory di sistema, dove non ci si aspetterebbe di trovarlo. È ovvio che il metodo più accurato e veloce per scovarlo è utilizzare i valori di hash corrispondenti in aggiunta alla ricerca di Tor. Poiché il browser Tor viene costantemente aggiornato, nel dispositivo potrebbero risiedere varie versioni di Tor. Creare un proprio set di hash univoco delle versioni di Tor con cui effettuare le ricerche successive è semplice: il Tor Project archivia tutte le versioni precedenti al seguente 4 / 6

5 indirizzo web: come evidenziato in fig. 3. Uno degli scopi della ricerca di versioni più datate di Tor è quello di avere contezza circa il periodo di tempo in cui l utente potrebbe aver utilizzato Tor come strumento di navigazione e di comunicazione anonima, indizio che, se verificato, avrebbe una sua rilevanza. Infatti, un utente abituale di Tor aggiorna il proprio browser con regolarità onde evitare la compromissione a seguito di debolezze insite nelle versioni precedenti. Fig. 3 Quindi, dove cercare? Cosa analizzare? Quali artefatti tenere in considerazione? L analisi forense del browser Tor può essere davvero ardua e rappresentare, come già evidenziato, una grande sfida per un esperto di Digital Forensics. Il tempo è il fattore più determinante in caso di analisi live: per recuperare la cronologia di 5 / 6

6 Powered by TCPDF ( navigazione di Tor, è necessario un dump di memoria della macchina; sfortunatamente gli artefatti di Tor rimangono in memoria solo per pochi minuti dopo l uso. Se il browser Tor è stato eseguito e successivamente terminato, i dati in memoria scompaiono quasi istantaneamente. Tuttavia, se è ancora in esecuzione, è possibile, sebbene la disponibilità sia di pochi minuti, recuperare le tracce relative alle url utilizzate. Quindi è necessario, qualora ci si trovi con un dispositivo e Tor in esecuzione, catturare il contenuto della memoria; ogni secondo è prezioso. Vi sono pochi altri artefatti di Tor utili alle indagini che forniscono, principalmente, alcune indicazioni sul suo utilizzo, ma poco o nulla sul contenuto effettivo delle comunicazioni o sulla cronologia di navigazione. Il file di paging di Windows (pagefile.sys) potrebbe contenere il nome del file per il browser Tor e si potrebbero rinvenire tracce del browser Tor in file di cache entreremo nel dettaglio in seguito. 6 / 6