A estas alturas de la película, no es noticia que
Facebook haya abierto una 'sucursal' dentro de TOR
creando su propio 'hidden service' accesible a través de TOR, aquí cabe
decir que esto no significa que antes no se pudiese conectar a Facebook
desde TOR, el matiz está en que
ahora Facebook tiene un site 'puro' dentro de TOR.
Dejando a un lado los matices sobre privacidad, si tiene sentido o no el
movimiento, y en general esa clase de análisis que no me parecen
relevantes (en este blog), me gustaría hablar de la parte puramente
técnica.
Cualquiera que haya usado Tor y se haya conectado a un 'hidden service'
sabe que las URLs suelen ser todo menos bonitas o fácilmente
memorizables, así que, de entrada, llama mucho la atención el nombre que
han conseguido para su site en Tor: facebookcorewwwi.onion
En Tor, las URLs cumplen una función que va mas allá de ser un bonito y
descriptivo nombre, las URLs sirven para autenticar un nodo dentro de la
red.
1.5. Alice receives a z.onion address.
When Alice receives a pointer to a location-hidden service, it is as a
hostname of the form "z.onion", where z is a base32 encoding of a
10-octet hash of Bob's service's public key, computed as follows:
1. Let H = H(PK).
2. Let H' = the first 80 bits of H, considering each octet from
most significant bit to least significant bit.
3. Generate a 16-character encoding of H', using base32 as defined
in RFC 4648.
(We only use 80 bits instead of the 160 bits from SHA1 because we
don't need to worry about arbitrary collisions, and because it will
make handling the url's more convenient.)
Podemos ver que esas URLs tan 'feas' en realidad son una brillante forma
de autenticar sitios en Tor ya que la parte 'fea' que va a la izquierda
de un dominio .onion es, en realidad, una parte del hash SHA-1 de la
clave pública del servicio, de esa forma, podemos autenticar el sitio en
Tor, ya que podemos calcular el SHA-1 de la clave pública que nos
ofrece y validar que coincide con la URL.
Entonces ¿que pasa con Facebook? ¿Se han saltado el protocolo? ¿han hecho magia? Pues sí, se puede decir que han hecho magia,
magia a nivel técnico, ya que han conseguido la proeza de generar una
clave pública que, una vez calculado el hash SHA-1 de la clave, tomados
los primeros 80 bits de ese hash y convertidos a base32 dan exactamente facebookcorewwwi
Para conseguir un dominio tan 'cool' han tenido que hacer fuerza bruta
en la generación de las claves hasta que una ha dado ese precioso
dominio. Absolutamente brillante
Luego de eso, para hacer el golpe aun más efectista,
han convencido a Digicert para que les emita un certificado SSL para ese dominio
Como se aprecia en la captura, han incluido varios dominios .onion en ese certificado.
¿Es necesario tener un certificado SSL para un 'hidden service'? La
verdad es que no, de hecho Tor 'by default', como hemos visto, ya ofrece
cierta capacidad para autenticar un site y Tor 'by default' ya
incorpora cifrado. El movimiento, en mi opinión, ha ido más en la línea
de bordar la faena por si no tuviese mérito construirte un dominio
'bonito' además, consigues que te emitan un certificado para él. Como
decía líneas más arriba, un movimiento 10 en todos los sentidos
Autor:
Yago Jesus
