09.11 // Массовая слежка за пользователями Skype доступна одиночному противнику

Исследователи Стивенс Ле Блонд, Чао Жэнг, Арно Лего, Кейт Росс и Валид Дабусс (Государственный Институт Исследований в информатике и автоматике, Франция; Институт Информатики Общества Макса Планка, Германия; Политехнический Институт Нью-Йоркского Университета, США) изучили некоторые особенности приватности, предоставляемой системами P2P-связи, в первую очередь сосредоточившись на популярном протоколе связи Skype.
Их работа называется "I Know Where You are and What You are Sharing: Exploiting P2P Communications to Invade Users' Privacy" — "Я знаю где вы и какими файлами обмениваетесь: использование P2P-коммуникаций для вторжения в приватность пользователей".

Продвигаясь от простого к сложному, сначала они решили выяснить идентификаторы пользователей Skype из контрольной группы добровольцев. Это обычный адрес для связи, который пользователь получает при регистрации. Пользуясь методами социальной инженерии и сопоставления данных поиска в сети, такие адреса можно выяснить и у тех, кто мог указать неполные данные при регистрации. Исследователям удалось выяснить Skype ID для девяти из четырнадцати профессоров Политехнического Университета и с некоторой погрешностью для ещё четырёх.

Более интересным, но также несложным, является определение их IP-адресов. При этом возможны три ситуации:

1. Пользователь в сети и не находиться за NAT.
2. Пользователь в сети и находится за NAT.
3. Пользователь не в сети, но был в Скайпе не позднее, чем 72 часа назад (неважно через NAT или нет).

Во всех трёх случаях исследователям удалось добиться определённых результатов. В первом случае связь идёт напрямую и выделить IP-адрес в потоке шифрованного (и закрытого коммерческим ПО) трафика оказалось несложно, несмотря на прохождение пакетов от других узлов. Во втором случае утечка данных об IP-адресе NAT-пользователя происходит через поля пакетов, пропускаемых промежуточными узлами. В третьем случае сведения о том, через какие IP-адреса пользователь выходил в Skype также возможно получить — также как и в предыдущих случаях для этого надо сделать имитацию звонка на данный Skype ID и проанализировать приходящие данные (сведения об IP публично доступны в течении 72 часов через суперузлы).

Дальнейшее развитие методики состоит в том, чтобы делать пользователю незаметные звонки, обрывая соединения (самого звонка не происходит, идёт лишь незавершённый обмен пакетами со сброшенными флагами и используются некоторые другие манипуляции с протоколом — это больше напоминает сканирование). При этом не раскрывается и атакующий. Также этот метод успешно обходит настройки приватности, предоставляемые Скайпом — белый и чёрный список (для разрешённый звонков с известных номеров и для заблокированных номеров).

Использование скайпа на мобильных устройствах позволило исследователям отслеживать местоположение пользователей в любой момент времени посредством IP-геолокации, а также определять визиты друг к другу пользователей социальной сети Facebook.

Используя поисковые возможности Skype Public API, исследователи, предварительно скачав общие данные множества пользователей из Facebook (имена, даты рождения), нашли соответствующие им Skype ID, составив базу из примерно 13 миллионов Skype ID. Используя технику параллельного скрытного прозванивания, им удалось следить одновременно за 10000 пользователей с 30 компьютеров с разными IP-адресами. Используя облачные платформы это обошлось бы 500$ в неделю.

Другим интересным и очевидным направлением исследования стало выслеживание P2P-привычек пользователей. Проводя статистический анализ корреляций между IP-адресами, засветившимися в таких неанонимных файлообменных протоколах, как BitTorrent, удалось собрать сведения о скачиваемых и выкладываемых пользователями файлах. А в случае, если Skype и BitTorrent принадлежат одной машине за NAT, то возможно различать особенности файлообмена разных пользователей и за NAT. В ходе экспериментов исследователи выследили 765 пользователей, пользующихся BitTorrent и Skype. Это та группа, связь которых по результатам эксперимента можно считать доказанной, также им удалось выявить самых активных "качальщиков".

Авторы работы отмечают, что предупреждали компанию Skype о проблемах в её протоколе ранее, но к моменту публикации, по-крайней мере в течении прошедшего полугода, никаких изменений в протоколе с её стороны сделано не было. Аналогичные фундаментальные проблемы, связанные с возможностью локации положения и отслеживания сетевой активности пользователей, возможны и для других протоколов неанонимной связи, таких как MSN Live, QQ, Google Talk.

В качестве меры защиты предлагается изменить протокол Skype так, чтобы не было возможности делать скрытные имитации звонков от неизвестных лиц. Хотя такая мера не является полноценной — доверяемые абоненты (друзья, коллеги по работе) всё ещё смогут проводить слежку под разными предлогами. Более радикальным методом было бы использование анонимных систем связи, но из-за их малой пропускной способности это представляется авторам малореалистичным.

Исследователи старались соблюдать нормы этики и проводили часть исследования на малой группе добровольцев, а основную часть, связанную с исследованием большой массы ничего не подозревающих пользователей, провели с соблюдением анонимности и уничтожением всех собранных исходных данных. Тем не менее они предупреждают, что любой человек или небольшая группа могут воспроизвести их результаты и выложить в открытый доступ данные по перемещениям каких-либо пользователей Скайпа или по скачиваемым ими BitTorrent-файлам.

Источник: Государственный Институт Исследований в информатике и автоматике, Франция