Un programador español descubre cómo reconocer a alguien en Tor: con el movimiento del ratón

Jose Carlos Norte, CTO de eyeOS (la startup que compró Telefónica en 2014), ha ideado una manera de reconocer a un usuario de Tor con algo de código en JavaScript. Según explica en un artículo de su web, es fácil hacer un seguimiento de los movimientos del ratón de un usuario a través de una página web para crear una huella digital. Con un programa así, dice Jose Carlos, “sería posible identificar al usuario si su huella digital es la misma en en navegador Tor ya que cada persona mueve el ratón de una forma única.

[#4 sorrillo]

Una de las recomendaciones de seguridad principales al navegar por la red Tor es desactivar el javascript, ya que a través de éste es posible llegar a hacer cosas como identificar la IP del usuario.

En cualquier caso esa huella solo tiene utilidad si hay con quién compararla, si existe algún sospechoso. Ya que ni existe ni está previsto que exista una base de datos global con las "firmas" del movimiento del ratón asociadas a las personas físicas.

[#5 festuc]

O sea al usar tor, usad la pantalla táctil.
Los procesadores de Intel, tienen o tenían un identificador único.
Desactivad la grafica, por que tambéin se puede saber que grafica es por la manera de renderizar fotografias...
No se si desactivando javascript se puede lograr todo. Creo que la única manera válida de proteger nuestra libertad es no estar ligado a ningún país. A nadie le debería importar que interactuamos en la red Tor, o en la red pública.
Quiza buscar un ordenador de segunda mano sería lo más logico
#4 Con javascript puedes hasta saber la mac, y seguro que esta ya la guardan. Igual que se guarda la ip donde te has conectado.
Quizá deveríamos promover que el conocimiento y las comunicaciones sean inviolables e inutilizables en contra de nadie en ningún jucio.

[#6 sorrillo]

#5 Y el disco duro tiene número de serie, y la tarjeta ethernet tiene una MAC que seguramente permita identificar unívocamente la tarjeta de red, etc.

Si el atacante tiene acceso al equipo hay distintas fórmulas para recabar inforamción de éste, lo que desconozco es hasta que punto esos elementos permiten seguir el rastro hasta el comprador.

Respecto a adquirirlo de segunda mano ahora solemos dejar un rastro online (ebay) o telefónico (wallapop, milanuncios, etc.).

La seguridad como siempre es un compromiso entre el nivel de seguridad que buscamos y el coste de obtenerlo, no suele existir una seguridad absoluta ya que el coste para ello suele ser astronómico.

[#7 festuc]

#6 Siempre se puede comprar un ordenador en els "encants"
O mierda, ya me podrán buscar

[#16 Desactivado]

#6 No creo que nadie se dedique a rastrear quién compra qué, cuando es más sencillo y eficaz mirar quién usa qué.

[#18 sorrillo]

#16 No, no es más sencillo mirar quién usa qué.

El rastro de una compra sí puede fácilmente quedar registrado de la tarjeta de débito al comercio, del comercio al distribuidor y del distribuidor al fabricante. Lo que tú citas viene de ver muchas películas, muy pocos estados o instituciones tienen la capacidad de conocer quién usa qué mediante la intromisión en los equipos de los usuarios.

[#20 Desactivado]

#18 Iluso. Estas cosas están automatizadas y al alcance de quién quiera comprarlas. La poli española tiene un presupuesto dedicado a estas adquisiciones.

Tu estás tan fichado como yo, asúmelo.

[#37 Shotokax]

#6 algunos de esos problemas se resuelven virtualizando.

[#38 sorrillo]

#37 Cierto, eso añade una capa de seguridad más pero aunque los hipervisores son bastante seguros no están exentos de vulnerabilidades tampoco, con ello le complicas la vida al atacante pero de nuevo el riesgo sigue existiendo aunque sea más pequeño.

Si con lo que estás haciendo te estás jugando la vida, por ejemplo ante un régimen autoritario, el riesgo puede ser demasiado elevado. Eso debe valorarlo cada cual.

[#39 Shotokax]

#38 para eso sirven todas las medidas de seguridad que existen: para "complicar la vida" al atacante. Ninguna es infalible.

[#59 Desactivado]

#6 Macchanger.

[#60 sorrillo]

#59 Eso cambiará la MAC a nivel de software, seguramente dejando registros de la mac original en el arranque o pudiéndose leer la mac original leyéndola directamente del hardware.

Haría falta una herramienta que actualizase el firmware de la tarjeta de red, lo más parecido que he visto ha sido con D-Link pero en ciertas circunstancias la mac original se restauraba, por lo que se seguía guardando como algo que no se puede modificar.

[#61 Desactivado]

#60 Desactivando, por defecto, la tarjeta de red en el arranque no creo que sea detectable.

[#62 sorrillo]

#61 Para conectar a la red Tor necesitas una tarjeta de red.

Sea como fuere si el hardware sigue conociendo la mac original un atacante podría acceder a esa información.

[#15 Desactivado]

#5 Es más sencillo usar una máquina virtual, donde las cosas como números de serie pueden estar debidamente controladas.

Una URL, por aquello que descuenta del karma: https://www.virtualbox.org/
Una imagen, para no empezar de zero. https://tails.boum.org/doc/advanced_topics/virtualization/virtualbox/index.en.html

Note: Snowden dijo que bajarse Tails es motivo suficiente para que la NSA te incluya en la lista de personas bajo vigilancia. ¡Aprovechad!

[#17 festuc]

#15 virtualbox, de sun, vmware ...

[#19 Desactivado]

#17 Oracle. No hay sun, lo apagó Charles Montgomery Burns

[#21 festuc]

#19 Más razón me das

[#46 Desactivado]

#5 La MAC no sale de la LAN.

[#65 nergeia]

#5 Detectar la MAC con javascript?? Venga, no te flipes.

A no ser q uses plugins, o javascripts firmados, no se puede. Lo mismo para los números de serie de procesadores y discos duros.

Si se pudiese hacer eso, no sería noticia hacer un fingerprinting por el movimiento de raton.

[#8 Desactivado]

#4 cierto, pero por defecto Javascript está activado porque sino muchas páginas web ni funcionarían...

https://www.torproject.org/docs/faq.html.en#TBBJavaScriptEnabled

[#27 cereal_killer]

#8 En TOR Browser viene desactivado por defecto entre otras cosas.

[#31 Findeton]

#27 No, en Tor browser viene ACTIVADO por defecto.

[#36 cereal_killer]

#31 Pues debe ser ahora. Hace tiempo que no lo uso.

[#47 Findeton]

#36 Que yo sepa nunca han desactivado el javascript por defecto.

[#14 Desactivado]

#4 ni existe ni está previsto que exista una base de datos global con las "firmas" del movimiento del ratón asociadas a las personas físicas.

Eres un iluso. Si es posble hacerlo, la NSA lo tiene.

Por ejemplo, hace decenios que la NSA compila una base de datos con todos los nicks usados en internet, junto con su correlación con personas. Esto lo empezó en la época del IRC.

[#34 triturator]

#14 Otro ejemplo más molón, es que si no tienes la hora de tu ordenador perfectamente sincronizada con algún servidor de tiempo, el desfase de tu hora respecto a la real sirve para identificarte, por mucho tor que uses.

Eso lo usaba la NSA según los papeles de Snowden.

[#35 Desactivado]

#34 Correcto, por eso una de las gracias de Tails es la sincronización del tiempo.

[#22 M_M]

#4 O navegar con la mano izquierda!

[#32 Mister_Lala]

#22 Salvo si eres zurdo

[#25 cereal_killer]

#4 En el TOR Browser viene desactivado por defecto por ejemplo. El método en realidad no tiene demasiada utilidad en el Mundo Real ™

[#57 rojo_separatista]

#4, además de que el algoritmo debe fallar más que una escopeta de feria.

[#70 IvanDrago]

#4 yo haré el mal con la izquierda y así parece que lo hace otro...

[#73 Desactivado]

#4 Tú dale tiempo a la NSA...

[#76 Ellyster]

#1 #4 Si tienes JavaScript activado cuando navegas por la red Tor, te pueden entrar hasta la cocina sin necesidad de complicarse tanto.

Por otra parte, que a los usuarios se los puede reconocer por el movimiento del ratón, o por los patrones en la pulsación de teclas al escribir no es algo nuevo (ni lo ha descubierto este chaval). El fingerprinting es una técnica muy conocida.

Lo único que ha hecho es escribir un programa en JavaScript para tal función y decir que se puede usar en la red Tor (si navegas con js activado)... que no esta mal.

[#2 jucargarma]

Si durante mucho tiempo deja el ratón parado es que se está haciendo una pajilla.

Y así ya el match con millones de hombres es imposible

[#50 Desactivado]

#2 los profesionales de ver porno en internet tenemos una gran destreza manejando el ratón con la zurda

[#56 jucargarma]

#50 Yo es que soy más de ver la película hasta las tomas falsas del final.

[#1 Desactivado]

Jose Carlos Norte recomienda desactivar por completo JavaScript para evitar que otros hackers puedan rastrearte a través de algo tan inocente como tus movimientos del ratón.

@cocopino seal of approval

[#67 Desactivado]

#1 Sólo si el ratón ha sido comprado en el LIDL.

[#74 Desactivado]

#1 Lo mejor para que no te identifiquen ni te descubran es no navegar por internet. Punto.

[#12 Desactivado]

Tema relacionado: Google puede identificar de manerá única a una persona solo con mirar qué trayectos hace.

Es decir: Si te roban el móvil, google puede saber no solo que ha cambiado de usuario, sino también quién es.

[#24 M_M]

#12 Google Police?

[#29 Charles_Boycott]

#24 Hay quien considera a Google capitalista, neoliberal y otros calificativos similares. Nada más lejos de la realidad. Google no es sino uno de los principales filones del anarcocapitalismo. https://es.wikipedia.org/wiki/Anarcocapitalismo

Cuando llegue el momento, Google extenderá sus tentáculos al mundo offline, y todo el mundo querrá adquirir los servicios de Google Police, Google Army y Google Laws. Google Online Security se encargará de la parte online y Google Offline Security de la parte que depende del mundo real. El sueño de los antagonistas de Tron Legacy hecho realidad.

Un cordial saludo.

[#44 PedroMateu]

#29 ¿Y el "anarcocapitalismo" no es capitalista?

[#45 M_M]

#44 Posiblemente sea peor...

[#52 sinson]

#12 robado o cambiado de pareja.

[#33 triturator]

En realidad, los últimos captchas de Google funcionan parecido: en vez de complicados juegos de letras/imágenes que hay que reconocer, son simplemente un checkbox que dice "No soy un robot", y lo que se analiza es si el movimiento del cursor hasta el checkbox y el clic son compatibles con los movimientos de una mano humana, o son demasiado automáticos y por tanto son de un programa.

Ahora bien, una cosa es diferenciar un humano de una máquina, y otra identificar personas concretas. Eso ya me parece columpiarse bastante, y dudo que sea factible.

[#26 Desactivado]

Con el movimiento de muñeca
identificaríamos a los pajeros meneantes
o por su forma de fumar porros
o por sus gafas y tirantes

[#9 PedroMateu]

Las firmas del movimiento del ratón son una patraña. Este está vendiendo una moto que se le han pagado muy bien. Lo que quieren es dar legitimidad a esa farsa llamada "firma del movimiento del ratón".

[#10 Desactivado]

#9 tienes alguna fuente? gracias

[#11 PedroMateu]

#10 En el grifo hay agua

[#13 Desactivado]

#11 en resumen: te has sacado la afirmación anterior de la manga

[#23 M_M]

#9 #10 #11 #13 Las famosas FMR! Busca en google, hay cientos de páginas que hablan de ellas!

[#43 PedroMateu]

#13

[#3 Desactivado]

más info en inglés http://jcarlosnorte.com/security/2016/03/06/advanced-tor-browser-fingerprinting.html

[#49 Desactivado]

#3 O al mismo@jcarlosn

[#30 reithor]

Solución Íñigo Montoya: cuando entres donde no quieras ser reconocido, te cambias el ratón de mano.

[#53 sinson]

#30 o se lo dejas manejar al gato.

[#58 reithor]

#53 No dejas alternativa a los alérgicos a los gatos. Aunque yendo al extremo, yo tampoco le dejo alternativa a los mancos. Edito, a los mancos eunucos.

[#41 cyrus]

A mi me la suda, aparte de un cadaver en el sotano, no tengo nada que ocultar

[#64 TALIVAN_HORTOGRAFICO]

Bah, eso es para la gente que no navega por TOR a través de un niño de 10 años al que apunto con una pistola en la cabeza y le digo donde ir haciendo click.

lol noobs

[#72 GoDie]

#71 Eso lo tendrían que responder ellos, quizás prefieren anteponer el poder usar sin problemas en "ambientes" censurados para saltarte dicha censura que en ambientes que necesitan algo lo más irrastreable/anónimo posible.

No olvides que el proyecto también nació para saltarse la censura, no solo para permanecer en el anonimato.

Tor lleva NoScript para deshabilitar todo tipo de scripts, javascript , flash etc todo opcional para el modo digamos "paranoid".

También si mal no recuerdo cuando arrancas te avisaba o al menos antes lo hacia de que tenias eso habilitado. Tambien en el FAQ es de lo primero que te advierten en el tema al respecto.

https://www.torproject.org/docs/faq.html.en#AnonymityAndSecurity

Sea como sea repito lo mismo, para navegar con Tor anónimo con la máxima seguridad (y no infalible) siempre hubo que desactivar todo el codigo que se ejecuta en el lado del cliente, es algo que cae de cajón aunque muchos crean estar más seguros de lo que estan con esa configuración por defecto. De nada te vale navegar con tor si visitas una web que te manda un script que va a ejecutar de tu lado y realizar alguna acción.

[#28 sangetsu]

os diré como mantener la privacidad en la red, no haciendo nada ya que todo lo que hagas tiene rastro en internet. cada cosa que hagas en la red tendrá su rastro y este te levara a ti

[#48 GoDie]

Me parece un poco irrelevante no la técnica que si funciona es interesante si no el perder el ser anonimo por eso, por que por mucho que venga activado por defecto el javascript (que lo dudo aun que no recuerdo), cualquiera que quiera ser realmente anonimo sabe que tiene que navegar con el desactivado.

[#51 Desactivado]

#48 viene activado por defecto. Bájate el tor browser y lo pruebas tu mismo. Además lo pone en la propia faq del proyecto.

En serio, informaros un poco antes de soltarla

[#54 GoDie]

#51 ya he dicho que no lo recuerdo. pero es irrelevante venga o no venga si quieres navegar anonimo hay que desactivarlo, eso es lo relevante.

[#63 Desactivado]

#54 pero al desactivarlo te deja de funcionar muchísimas webs, por eso viene activado por defecto hoy en día. Es un dilema complejo.

[#66 GoDie]

#63 No hay dilema ninguno, si quieres ser anónimo tienes que desactivas javascript, si la pagina hace uso de javascript no es una pagina en la que puedas estar seguro de conservar dicho anonimato, por lo que es una pagina que debes desechar como de consulta anónima. PUNTO.

Si quieres solo evitar parcialmente tu exposición y no facilitar tu tracking y en definitivamente tu nivel de anonimato no es exigente y/o simplemente evitar un poco el abuso que hacen de las innumerables formas de control y registro de datos y poder visitar todas las paginas pues adelante, pero siempre tienes que contar que tu anonimato no esta garantizado.

Aparte una web en tor que realmente le importa el anonimato de sus visitantes sabe que debería evitar el javascript para compartir la información que ofrece, si no lo hace no es algo de lo que te deberías fiar.

El javascript, cookies, sessiones, no es necesario para compartir anonimamente cosas. Generalmente lo encuentras en registros de usuario y temas así y eso es algo que te catalogo y registra tu actividad, que es algo que supuestamente no quieres cuando navegas por TOR anonimamente.

[#68 Desactivado]

#66 El problema es que a menudo los disidentes lo que necesitan es acceder, vía tor, a páginas NORMALES para estar informado. Por ejemplo a periodicos de occidente etc. Y esas páginas normales para mantenerse informados hoy en día suelen requerir javascript: de hecho esa es la razón por la que javascript viene activado por defecto en tor browser.

Yo estoy de acuerdo en lo que dices, pero el problema es que entonces lo que estamos insinuando es que si una parte muy importante del www depende de javascript, no es posible obtener esa información con garantías de forma anónima. Y ese era precisamente UNO de los temas que en teoría resolvía tor

[#69 GoDie]

#68 Tor siempre se recomendó que para salvarguardar totalmente el anonimato utilizar sin javascript.

De todas formas tener javascript activado y navegar por medios de otro pais no te pone en mucho riesgo con respecto al regimen de tu pais. Y el principal objetivo en estos casos de evadir la censura lo evitas. Pero vamos ciertamente no es totalmente seguro, ni nunca lo fue.

[#71 Desactivado]

#69 Si tor fue concebido así, por que Tor Browser, producido por el proyecto tor, lleva javascript habilitado por defecto?

[#42 llou]

Vaya uno que descubrió la polvora...

[#55 Desactivado]

Pues que se sienten en la mano, que se les duerma y parece que el ratón lo usa otra persona.

Es una pequeña variación, de bueno, me lo han contado, yo nunca lo he hecho....

[#40 Desactivado]

Saben hasta cuando y como te masturbas.

[#75 Desactivado]

Jose Carlos Norte, otro perrito obediente trabajando para el Sistema.