Tor-nätverket ger välbehövlig anonymitet till miljontals internetanvändare, men systemet har sina brister.

När du surfar in på IDG.se med Tors webbläsare går din trafik in i nätverket och skickas runt mellan flera anslutningar i olika delar av världen innan du landar hos oss. Det går inte att se att du besökt oss, bara att någon från Tor-nätverket gjort det. 

Men det finns aktörer som kan knäcka systemet.

– Tor är gjort för att vara ett snabbt anonymitetsnätverk, även om det inte alltid känns så. Det innebär att man gjort vissa avvägningar, en av dem är att om någon kan ha koll både på trafiken som kommer in i nätverket och trafiken som kommer ut, kan det inte skydda användarna, säger Tobias Pulls som är postdoktor i datavetenskap vid Karlstad Universitet.

Läs också: Tekniken och etiken styr framtiden för det mörka nätet

Tillsammans med kollegor vid Kungliga tekniska högskolan och Princeton University har han undersökt hur sådana angrepp kan gå till – och de är lättare att genomföra än man tidigare trott.

Boven i dramat är dns-systemet.

Det kan förklaras som internets adressbok. Det är dns som översätter ip-nummer till adresser som IDG.se. När du surfar in på en sajt så skickar webbläsaren alltid en förfrågan till en dns-server för att koppla ihop webbadressen med ett ip-nummer. Det gäller även Tor.

Och någon som kan kartlägga krypterad trafik som går in i Tor-nätverket och matcha den mot dns-trafik som kommer ut på andra sidan kan lista ut vad användarna surfar på för sajter.

Så vilka kan utnyttja sårbarheten?

Det handlar fortfarande om ganska stora spelare. Underrättelsetjänster, internetleverantörer och stora teknikföretag.

De behöver för det första kunna läsa krypterad trafik som går in i Tor. Din internetleverantör kan göra det, en hackare som installerat spionprogram i din router kan det och underrättelsetjänster som FRA kan.

Sedan måste de snappa upp ny trafik på andra sidan.

– Det kan Google en eller andra dns-operatörer göra, men man kan även ha kontroll över en router på internet där det går mycket dns-trafik. Trafiken är okrypterad så vem som helst kan sitta och lyssna på den, säger Tobias Pulls.

Just Google skulle ganska enkelt kunna börja avanonymisera vissa Tor-användare.

I USA är teknikjätten internetleverantör via Google Fiber. Samtidigt kontrollerar Google en populär dns-server (8.8.8.8) som en dryg tredjedel av Tor-nätverket kopplar upp sig mot. De får tillgång till trafiken som går in i nätverket från Fiber-kunderna, och kan samtidigt läsa en stor del av trafiken som kommer ut på andra sidan. Med ett finger på varje sida av Tor-nätverket kan Google börja matcha trafiken mot varandra och hitta vem som surfar var.

Den här typen av attacker är inte helt okända – de har gått att göra genom att rikta in sig på tcp-trafik – men dns-trafiken är på många sätt lättare att utnyttja, och öppnar för att mindre aktörer ska kunna avanonymisera många Tor-användarna.

Men Tobias Pulls manar ändå till lugn.

Läs också: Ny studie: Tor-användare behandlas som andra klassens nätmedborgare

– Vi tycker inte att det finns någon anledning att få panik. Det finns en medvetenhet om de här attackerna, och vi börjar komma till insikt att de är både möjliga och praktiska. Men det är ett stort steg från att göra attackerna i experiment som vi gör och att göra dem i verkligeheten.

Däremot anser han att det är dags för Tor-nätverket att agera. Till att börja med måste de sluta använda Googles dns-servrar i så stor utsträckning – en enskild aktör ska inte få veta så mycket om användarna.

– Kortsiktigt tror jag att vi måste sluta lägga alla ägg i samma låda hos Google, långsiktigt hoppas jag att Tor bygger in skydd mot de här attackerna, säger Tobias Pulls.

Han håller själv på med ett annat forskningsprojekt där han med stöd av Internetstiftelsen i Sverige undersöker sådana alternativ.

– Vi har tittat på hur farliga de här attackerna är och lärt oss förstå dem bättre, nu försöker vi dra ett strå till försvaret mot den här typen av angrepp, säger Tobias Pulls.