Darknet , freenets , onion routing , overlay networks , crime

1. DW Darknet, freenets, onionrouting, overlaynetworks, crime

2. Dejando las cosas claras • Desde que se aprobó la directiva de eliminar a activistas que atenten contra los sistemas de información, la cosa está tibia. • Irán, nos va a dar un susto. • ¿Identidad digital? • Si te cojo en CPs no tendré piedad • Permanentemente en DEFCON3

3. … tranquilo majete en tu sillón…

4. Contenido sensible

5. … si, tú, tú … • TAINT-DROID. • Buscarás diseñar bien para ganar dinero. • Tu app la usa mucha gente. • Cobras por publicidad. Cobrar la APP ya casi está hasta mal visto (caso de whatsapp). • Vendes información privada de tus USRs. • Ah! Qué no os lo creéis. • Tu app la usa poca gente. • Cobras una pasta por la APP. Al final muere la app.

6. … si, tú, tú … • Maravillosas PIN-TOOLS! • https://code.google.com/p/tartetatintools/ • http://appanalysis.org/ • Demo • http://www.youtube.com/watch?v=qnLujX1Dw4Y • Dale al Play Manolo …

7. Sólo carácter ilustrativo

8. Let’s go, en serio. • Qué es DW. • Los enlaces entre SW y DW : Onion.to • Qué es TOR. • Qué son las FreeNets. • BitCoins • Qué es el OnionRouting. • Principios básicos del “hunting”

9. Qué es DW

10. Qué es DW

11. Qué es DW • ¿Está listo Capt. Price? • http://k02.kn3.net/81A9FCAE2.png

12. Qué es DW • Google.com indexes 26.5 billion public web pages. • 92+ billion static web pages are publicly-available. These pages can easily be found by Google and other search engines. (e.g. www.honda.com, www.australia.gov.au) • 9.5 billion static pages are hidden from the public. As private intranet content, these are the corporate pages that are only open to employees of specific companies. (e.g. employees.honda.com, secure.australia.gov.au) • 300+ billion database-driven pages are completely invisible to Google. These invisible pages are not the regular web pages you and I can make. Rather, these are dynamic database reports that exist only when called from large databases.(e.g. custom online car quote for Shelly, Australian government discussion on aboriginal taxation) • So if Google only catalogs 8% of the World Wide Web, and other search engines catalog even less, then where is the remaining 92%of web content hidden?

13. Qué es DW • Metáfora de la cámara de fotos. • El coche que cambia de color. • TOR, Onion Routing.

14. Qué es la DW • ¿Cómo buscar en la DW? • Infomine es un buen ejemplo. • Podéis probarlo sin problema. • Un buen punto de entrada • http://www.robertlackie.com/invisible/

15. Let’s go, en serio. • Qué es DW. • Los enlaces entre SW y DW : Onion.to • Qué es TOR. • Qué son las FreeNets. • BitCoins • Qué es el OnionRouting. • Principios básicos del “hunting”

16. Qué es DW. Enlaces SW-DW • Onion.to • Google.es • site:onion.to <término a buscar>

17. Qué es DW. Enlaces SW-DW • ¿onion? • Ojito. • Tor -> onion. • Onion routing. • Algo más complejo de lo que pensais.

18. Let’s go, en serio. • Qué es DW. • Los enlaces entre SW y DW : Onion.to • Qué es TOR. • Qué son las FreeNets. • BitCoins • Qué es el OnionRouting. • Principios básicos del “hunting”

19. Qué es TOR • Tor, i2p, freenets (aunque esto lo veremos luego).

20. Qué es TOR • TheOnionRouter • Enrutamiento de segunda generación para ocultar tu conexión. • US Naval ResearchLab, ahora es libre. • El onionrouting funciona dirigiendo tu conexión entre varios routers “relevo” (relay) en diferentes lugares. Los routers son nodos de “voluntarios” en un alto porcentaje. • La conexión va cifrada. • MENOS EN EL NODO DE SALIDA

21. Qué es TOR • TOR no es la DW, pero se usa para navegar por ella. • TOR no te lleva a los sitions .onion, para ello tienes que saber dónde están. • Core.onion, en  eqt5g4fuenphqinx.onion • Tor Directory link  sitios .onion, • talk.Masked, un sitio donde postear anonimamente. • The Hidden Wikiat this address,  mirror of the hidden wiki .

22. Qué es TOR: .onion .onion es un pseudodominio de nivel superior genérico ( como .bitnet y .uucp) que indica una dirección IP anónima accesible por medio de la red Tor. No son en realidadDNS, acceder a sitios .onion usando programas proxy y enviando la solicitud a través los servidores de la red Tor.

23. Qué es TOR: .onion • El objetivo tanto el suministrador de información como el receptor sean difícilmente trazables. • Las direcciones .onion son opacas, no mnemotécnicas y fruto de una combinación de 16 caracteres alfanuméricos generados automáticamente basándose en una clave pública cuando Tor es configurado. • El nombre "onion" (cebolla) hace referencia a la técnica de encaminamiento de cebolla

24. Qué es TOR: browser! (debian) • Pasos configurar Firefox para acceder a los dominios .onion de forma directa a través de tu demonio/proxy Tor local. De esta forma, nos aseguramos que todo el tráfico va directo a través de la red tor. • Configurar Firefox para enviar a través de Tor las peticiones a los dominios .tor : Firefox para que solo envíe las peticiones a los dominios .onion a través de la red Tor, pero no queremos que Firefox envíe a través de Tor el resto de peticiones. Guarda el siguiente contenido en un fichero (por ejemplo como ~/.proxy_pac) function FindProxyForURL(url, host) { isp = "PROXY ip_address:port; DIRECT"; tor = "SOCKS 127.0.0.1:9050"; if (shExpMatch(host,"*.onion")) { return tor; } return "DIRECT"; } • usar dicho fichero como fichero de configuración proxy en(Editar->Preferencias->Avanzado->Red->Ajustes->Dirección de configuración de proxy automático).En Dirección de configuración de proxy automático has de poner el fichero

25. Qué es TOR: browser! • Configurar Firefox para enviar las peticiones DNS a través de un proxy SOCKS5: decirle a Firefox que debe resolver las peticiones DNS a través del proxy SOCKS5 de Tor cuando intentas acceder a un dominio .onion. Por defecto, Firefox intentará resolver los dominios .onion usando tu servidor DNS local, por lo tanto no podrá resolver dichos dominios. Activar la variable network.proxy.socks_remote_dns en la página de configuración avanzada. . • Esto hará que firefox envíe las peticiones DNS para dominios .onion a través de tu demonio local Tor. Esto también añade privacidad ya que evita que las peticiones a los dominios .onion puedan ser interceptadas por tu servidor DNS local.

26. Qué es TOR: browser! • Mejor usar el que trae TOR, que viene preparado, ¿no? • El otro lado de la moneda • Crear los servidores ocultos • https://www.steroids.to/es/blog/2013/01/04/configuraci-n-de-un-servicio-de-tor-ocultado-onion-para-el-servidor-nginx-creado • http://www.hiddenwiki.org/how-to-register-onion-domain.html

27. Qué es TOR: mas sobre nodos .onion torhostg5s7pa2sn.onion que es un hosting gratuito para la deep web. Torhost.onion da cada usuario Tor alojamiento gratuito en nuestros servidores. Cuenta segura Anónimo Personal. Cebolla dirección 50 MB espacio web Ancho de banda ilimitado PHP apoyo SQLite apoyo SFTP acceso Si tiene un proyecto social o útile de alguna manera le daremos GRATIS una cuenta FAIRPAID con: Espacio web ilimitado Ilimitado MySQL y PostgreSQL Unlimited. Cebolla dominios Importación / exportación de cebolla dominios existentes. (Con clave privada) El acceso a la red Bitcoin a través de monitor de servicio Copias de seguridad diarias (interesante pero menos fiable que un tutorial de youtube con música hardcore…)

28. Qué es TOR • Black-markets. • Veamos algunos videos. • Configuración de TOR • Acceso a la Hidden Wiki • Contenido DeepWeb • Market (no BM ni SR) mas pequeño • Navegación de ejemplo

29. Let’s go, en serio. • Qué es DW. • Los enlaces entre SW y DW : Onion.to • Qué es TOR. • Qué son las FreeNets. • BitCoins • Qué es el OnionRouting. • Principios básicos del “hunting”

30. Qué es FreeNets • https://freenetproject.org/

31. Let’s go, en serio. • Qué es DW. • Los enlaces entre SW y DW : Onion.to • Qué es TOR. • Qué son las FreeNets. • BitCoins • Qué es el OnionRouting. • Principios básicos del “hunting”

32. Qué es BitCoin • http://www.youtube.com/watch?v=CA7dS_-oB3Y • http://www.youtube.com/watch?v=YZTnpFVa7BE • http://www.youtube.com/watch?v=oJ-IbBXrQvY

33. GUIminer (ejemplo) • http://www.youtube.com/watch?v=NiFkql5_Sws • http://www.youtube.com/watch?v=ejiqbzqmxSE • http://www.youtube.com/watch?v=lEGIZOO-HYY

34. ¿Qué es la minería? • ¿Cómo se consiguen Bitcoins ? Los Bitcoin se encuentran en bloques, que se generan entre todos los nodos de la red. Cuando un nodo de la red genera un bloque, automáticamente gana 50 Bitcoin. Para evitar que la gente emita todo el dinero que le diese la gana, para que un bloque sea aceptado por la red debe calcularse un hash (una función matemática muy compleja) con determinado nivel de dificultad que regula la propia red, el cual se va ajustando de acuerdo a la cantidad de “usuarios minando” para que la cantidad de Bitcoins descubiertos no crezca, sino que se mantenga constante. • La forma más sencilla de generar es ir a http://www.bitcoin.org, descargar el cliente, y en el menú de configuración marcar la opción “Generar bitcoins”. Cuidado, no generará nada hasta que haya bajado todos los bloques, que llevará bastante. Como las CPUs son muy lentas para este proceso, programas “mineros” que usan las tarjetas gráficas para acelerar el proceso. Como se puede tardar bastante (sobre todo con CPU, puedes tardar años), hay servicios de “minería en grupo” (mining pools) – gracias mrCavern-. (http://mining.bitcoin.cz/ y http://deepbit.net/) • Comprándolos • Vendiendo cosas: http://bitbid.net/http://www.biddingpond.com/ • Apostando: Como es una red anónima, sin tasas, impuestos y sin control de gobiernos ni entidades financieras, hay varios sitios de apuestas. El número total de bitcoins tenderá a 21 millones con el tiempo.

35. Let’s go, en serio. • Qué es DW. • Los enlaces entre SW y DW : Onion.to • Qué es TOR. • Qué son las FreeNets. • BitCoins • Qué es el OnionRouting. • Principios básicos del “hunting”

36. Onion Routing • La red TOR es un sistema de enrutamiento que permite a los usuarios que hacen uso de ella para establecer conexiones anónimas que impidan el rastreo de la dirección IP de origen, canalizando su tráfico de red a través de distintos nodos o repetidores repartidos por todo el mundo. En el siguiente gráfico se el proceso de comunicación que realiza Alice a través de TOR para comunicarse con Jane.

37. Onion Routing

38. Onion Routing • Como se ve, inicialmente Alice establece una conexión cifrada, en color verde, con uno de los nodos TOR disponibles. Este nodo se comunicará con otros nodos aleatorios para hacer más difícil el traceo de la conexión, también utilizando conexiones cifradas. Sin embargo, el último de los nodos TOR debe realizar una conexión no cifrada con Jane, ya que no está dentro de la red. A primera vista, éste parece un eslabón débil dentro de la cadena de comunicación de esta red. • Por todos es sabido que la red TOR es buena para el anonimato, pero mala para la privacidad de las conexiones.

39. Onion Routing • Se montó un servidor proxy en modo transparente, un nodo TOR, y un servidor DNS para resolver las peticiones que por allí pasaran a mi gusto. Ese servidor DNS se encargaba de realizar la resolución de nombres de dominio de las peticiones que el nodo realizaba, y el servidor proxy se encargaba de almacenar todo del tráfico que pasaba a través de él, solo para hacer un estudio de "privacidad" en la red TOR. Para conseguir esto, se configuró el servidor DNS de tal modo que respondiera con la IP del servidor proxy fuera cual fuera el dominio a resolver. • Tras tener todo el entorno con este DNS Hijacking configurado se inició la captura de tráfico a través del Proxy a ver qué caía por allí... pero me cazaron. ¿Cómo? Pues porque la red TOR ya pensó en este tipo de ataques, y se realizan distintas comprobaciones para detectar estos ataques de DNS Hijacking, como se ve en la captura de pantalla del log.

40. Onion Routing

41. Onion Routing • Para ello, pasan un test de resolución de DNS buscando que no haya irregularidades, es decir, que no se respondan a dominios inexistentes, ni haya cambios de direcciones a nombres de dominios conocidos.  En este caso los dominios du.invalido www.yahoo.com, están dentro del test para ver si los dominios invalid tienen respuesta cuando no deberían o si la dirección de www.yahoo.com es una de las que ellos comprueban en paralelo. Bien por ellos. • Por supuesto, esta protección no evita ni mucho menos los ataques de man in themiddle, y seguro que a muchos de vosotros se os ocurren formas de saltarse esta protección. Yo, después de montar el resto de los ataques os sigo recomendando la red TOR para ocultar la dirección IP de origen, pero mucho cuidado con la privacidad y los datos que por allí envías... o recibes.

42. Onion Routing • Numb3rs, lo explicaron: • http://www.youtube.com/watch?v=XIDxDMwwlsw • Paper, para más detalles. • https://svn.torproject.org/svn/projects/design-paper/tor-design.pdf • Conferencia • http://www.youtube.com/watch?annotation_id=annotation_212740&feature=iv&src_vid=6xB_50VKxME&v=6xB_50VKxME#t=5m20s • (minuto 11:36) • Video freak • http://www.youtube.com/watch?v=Z5WNlmxgjLc

43. Let’s go, en serio. • Qué es DW. • Los enlaces entre SW y DW : Onion.to • Qué es TOR. • Qué son las FreeNets. • BitCoins • Qué es el OnionRouting. • Principios básicos del “hunting”

44. Principios del hunting • This unencrypted connection on the exit node is what we will be exploiting.Packet Sniffing:TOR, like various other forms of hiding your identity, has its vulnerabilities. First of all, there's a chance your traffic could be passing through a government node as the onion routing takes place(unlikely, but still possible).Now, TOR is highly encrypted when travelling from node to node, but once it leaves the final node, the connection is not encrypted(unless encryption is forced). This means, if you setup your network as a TOR EXIT node, you can then sniff traffic as it travels through your network - setting up a MITM(Man In The Middle) style attack.To do this, you'll first need your connection to be a TOR exit node. So, lets get started. First off, you need to install Vidalia.

45. Principios del hunting • Vidalia:All Vidalia is, is a GUI for TOR, giving you easier control over things. Start up by installing TOR and Vidalia, and setup your TOR connection. Download them here. Make sure you select the vidalia bundle for your OS.Once you have vidalia installed, you need to configure it to become an exit node. To do this, you need to configure it so your connection acts as an exit node. You need to go to 'Setup Relaying' on the Vidalia GUI, and then find exit policies, and tick any of the boxes.My advice would be only to allow the unencrypted HTTP and 'Retrieve Mail', as most other default ports that tor is being used are useless - either that or they are TLS encrypted.

46. Principios del hunting • Getting the data:Now, lets get to work. If you're running a Linux distro, I'd suggest using TCPflow for this, download it here.Once you have TCPflow installed, create a new directory, then open up a console session, use the cd command to cd to the new directory you made, switch over to the root account, then run the following commands in that directory(TCPflow is console-based):Code:tcpflow -i eth0 port 80Code:tcpflow -i eth0 port 110Code:tcpflow -i eth0 port 143

47. Principios del hunting • This will capture HTTP requests, POP3 emails, and IMAP emails. open a new consone window and use the following command to stop sniffing:Code:killalltcpflow • or of course just use CTRL + C to kill the processes currently running in the terminal. If you want to have a play around wthTCPflow, then there's a guide on how to use it here.What you're doing with these commands, is sniffing the traffic that travels through your connection, allowing you to read and intercept the traffic of people using TOR, before it reaches the final desination. You'll be able to see useful information here, including people's passwords for site logins, and potentially sensitive email information.If you're using Windows or another operating system, then try downloading wireshark here. Unlike TCPflow, wireshark is not console based, the whole thing has a GUI and it's fairly straightforward to use.

48. Principios del hunting • Warning:I suggest changing your exit policies, so you're running as an exit node ONLY when you want to sniff unencrypted traffic and gather data. Your ISP may not be too happy if people are viewing illegal content, using your connection as an exit node.Use this knowledge wisely, and know that I don't advocate, nor should I be held responsible for misuse of this knowledge.

49. Principios del hunting • Cuidadito con los nodos de salida: • WIRED

50. Ahora vais y lo tuiteais