Darknet i komunikacja bez bezpośredniego kontaktu – dead drops, wiadomości asynchroniczne i metadane

Po analizie pseudonimów, stylometrii i identity correlation naturalnie przechodzimy do kolejnej warstwy Darknet Intelligence.

Nie chodzi już o to, kim może być użytkownik.

Tym razem pytanie brzmi:

W jaki sposób komunikują się ze sobą osoby, które chcą ograniczyć bezpośredni kontakt i jakie ślady pozostawia sama architektura komunikacji?

To ważne, ponieważ anonimowa komunikacja nie zawsze oznacza klasyczny model:

User A
   ↓
Message
   ↓
User B

W bardziej złożonych systemach komunikacja może być:

• asynchroniczna,
• jednorazowa,
• oparta na tymczasowych punktach publikacji,
• rozproszona,
• wielowarstwowo szyfrowana,
• automatycznie usuwana po określonym czasie.

Jednocześnie nawet wtedy pozostają potencjalne metadane:

WHEN
HOW OFTEN
HOW MUCH
IN WHAT PATTERN

I właśnie te informacje mogą być interesujące z punktu widzenia analizy bezpieczeństwa.

Direct communication nie zawsze jest najlepszym modelem

Klasyczna komunikacja wygląda prosto:

User A
   │
   │ Message
   ▼
User B

Obie strony muszą istnieć jednocześnie w określonym kanale.

Alternatywą jest model asynchroniczny:

User A
   │
   ▼
Temporary Location
   │
   ▼
User B

Punkt pośredni może pełnić funkcję cyfrowego „dead drop”.

Nie oznacza to fizycznej skrytki.

W świecie cyfrowym może to być tymczasowa lokalizacja, w której jedna strona pozostawia zaszyfrowaną informację, a druga odbiera ją później.

Taki model jest interesujący, ponieważ:

Sender ≠ Receiver Online at the Same Time

To ogranicza część informacji wynikających z bezpośredniej interakcji w czasie rzeczywistym.

Digital dead drop – architektura zamiast rozmowy

Koncepcyjnie taki system może wyglądać:

User A
   │
   ▼
Encrypted Message
   │
   ▼
Temporary Storage
   │
   ▼
User B

Najważniejszym elementem nie jest tutaj sama lokalizacja danych.

Znacznie ważniejsze jest:

• jak długo dane istnieją,
• kto może je odczytać,
• czy system zapisuje metadane,
• czy identyfikatory są powtarzalne,
• czy aktywność można skorelować czasowo.

W kontekście Darknetu podobne modele można analizować również przez pryzmat usług Onion. Techniczne podstawy działania ukrytych usług opisuje Netbe w artykule Jak działa mechanizm „Onion Services” (usługi .onion) od strony technicznej. (Netbe)

Asynchroniczność zmienia model analizy

Załóżmy klasyczną rozmowę:

10:00 → User A sends
10:00 → User B receives
10:01 → User B responds

Występuje tutaj wyraźna korelacja czasowa.

W modelu asynchronicznym może to wyglądać inaczej:

10:00 → Message published

14:37 → Message retrieved

21:12 → Response published

Next day → Response retrieved

Bezpośrednia korelacja staje się trudniejsza.

Ale nie znika całkowicie.

Analityk może nadal badać:

Publication Time
+
Retrieval Pattern
+
Message Size
+
Frequency
+
Repeated Schedule

To prowadzi do szerszego zagadnienia, jakim jest traffic analysis.

Netbe omawia ten problem w materiale Jak działa ukrywanie metadanych w ruchu sieciowym (traffic obfuscation). (Netbe)

Szyfrowanie wiadomości nie usuwa metadanych

To jedna z najważniejszych zasad całego bezpieczeństwa komunikacji.

Załóżmy:

Plaintext
   ↓
Encryption
   ↓
Ciphertext

Treść wiadomości zostaje zabezpieczona.

Ale system może nadal wiedzieć:

Sender Activity
Timestamp
Message Size
Transfer Frequency
Destination

Dlatego warto rozdzielić:

Content Security

od:

Metadata Security

Możemy mieć bardzo dobrze zaszyfrowaną wiadomość, której treść pozostaje niedostępna.

Jednocześnie sama informacja:

„W określonym momencie przesłano 8 MB danych”

może stanowić użyteczny sygnał analityczny.

Message size fingerprint

Wyobraźmy sobie system, w którym użytkownik regularnie przesyła:

512 KB
512 KB
512 KB
512 KB

Następnie drugi użytkownik pobiera dane o bardzo podobnej charakterystyce.

Jednorazowo niczego to nie dowodzi.

Ale jeśli wzorzec powtarza się:

Upload
   ↓
Size Pattern
   ↓
Time Pattern
   ↓
Download

można badać potencjalną korelację.

To podobna zasada do analizy ruchu w sieci Tor, gdzie interesująca może być nie tylko treść pakietów, ale również ich czas i objętość. (Netbe)

Onion Services jako warstwa komunikacyjna

Usługa .onion może pełnić różne funkcje.

Nie musi być klasyczną stroną WWW.

Koncepcyjnie może działać jako:

Message Board

albo:

Temporary Drop

lub:

Encrypted File Exchange

Sama technologia Onion Services ukrywa lokalizację komunikujących się stron na poziomie sieciowym, ale nie eliminuje automatycznie błędów aplikacyjnych, problemów z konfiguracją czy śladów pozostawianych przez użytkownika. (Netbe)

To właśnie dlatego:

Tor
≠
Complete Operational Security

Kanał komunikacji jest częścią OPSEC

Użytkownicy często koncentrują się na pytaniu:

„Czy wiadomość jest zaszyfrowana?”

To oczywiście ważne.

Ale równie istotne jest:

„Co wie system, przez który ta wiadomość została przesłana?”

Możemy stworzyć model:

Security
   │
   ├── Encryption
   │
   ├── Network Privacy
   │
   ├── Metadata Protection
   │
   ├── Identity Separation
   │
   └── Operational Discipline

Jeżeli jedna warstwa jest słaba, może osłabić cały model.

Tymczasowość danych nie oznacza braku śladów

Wiele systemów wykorzystuje automatyczne usuwanie danych.

Przykład:

Message Created
      ↓
Available: 24h
      ↓
Deleted

To może ograniczać czas dostępności informacji.

Nie oznacza jednak automatycznie:

No Logs
No Metadata
No Copies
No Backups

Z punktu widzenia analizy bezpieczeństwa należy rozdzielić:

Message Lifetime

od:

Data Persistence

To, że użytkownik nie widzi już wiadomości, nie musi oznaczać, że nie istnieje żaden ślad jej wcześniejszego istnienia.

Pastebin jako punkt pośredni

Jednym z modeli komunikacji asynchronicznej może być publikowanie krótkich informacji w punkcie pośrednim.

Netbe porównuje takie kanały w artykule:

Porównanie kanałów przesyłania ukrytych danych: E-mail, OnionShare, PasteBin (.onion). (Netbe)

Ciekawy jest tutaj sam model architektoniczny:

Sender
   │
   ▼
Published Data
   │
   ▼
Recipient

Nie wymaga on utrzymywania aktywnego połączenia między obiema stronami.

Ale jednocześnie może tworzyć:

• historię publikacji,
• charakterystyczne godziny,
• powtarzalne identyfikatory,
• podobny format wiadomości.

Powtarzalność jest wrogiem anonimowości

Załóżmy, że użytkownik publikuje wiadomości zawsze:

Monday 22:00
Wednesday 22:00
Friday 22:00

Dodatkowo każda wiadomość ma:

~4 KB
Same Formatting
Same Encryption Method

Po pewnym czasie powstaje profil:

TIME
+
SIZE
+
FORMAT
+
FREQUENCY

Nie identyfikuje on automatycznie człowieka.

Może jednak pozwolić na porównanie z innymi aktywnościami.

I tutaj wracamy do koncepcji z poprzedniego artykułu:

Korelacja nie jest dowodem, ale może tworzyć coraz silniejszą hipotezę.

Steganografia jako dodatkowa warstwa

Kryptografia ukrywa treść.

Steganografia może ukrywać sam fakt istnienia wiadomości.

Koncepcyjnie:

Visible File
     +
Hidden Data
     =
Carrier

Netbe omawia podstawy tego zagadnienia w artykule Steganografia – ukrywanie informacji w cyfrowym świecie.

Sama steganografia nie rozwiązuje jednak wszystkich problemów.

Nadal mogą istnieć:

• metadane pliku,
• charakterystyczne rozmiary,
• powtarzalne wzorce publikacji,
• ślady systemowe.

Dlatego:

Steganography
+
Encryption
+
Secure Transport

nie musi automatycznie oznaczać pełnej anonimowości.

Metadane mogą przeżyć treść

To szczególnie interesujące z punktu widzenia Darknet Intelligence.

Treść wiadomości może być:

Encrypted
Deleted
Destroyed

Ale analiza może nadal opierać się na:

When?
How often?
How large?
Between which events?

Możemy więc zapisać:

Content may disappear.

Patterns may remain.

I właśnie dlatego analiza metadanych jest tak ważna w cyberbezpieczeństwie.

Komunikacja bez bezpośredniego kontaktu

Model cyfrowego dead dropa można rozszerzyć:

User A
   │
   ▼
Encrypt
   │
   ▼
Publish
   │
   ▼
Temporary Identifier
   │
   ▼
Retrieve
   │
   ▼
Decrypt
   │
   ▼
User B

Z perspektywy bezpieczeństwa każdy etap ma inne ryzyka.

Tworzenie

Może pozostawić:

Local Files
Metadata
Temporary Data

Publikacja

Może ujawnić:

Timing
Network Pattern
Account Relationship

Odbiór

Może tworzyć:

Access Pattern
Correlation Opportunity
Repeated Behavior

Usuwanie

Nie zawsze oznacza:

Complete Erasure

Dlaczego warstwa systemowa nadal ma znaczenie?

Użytkownik może korzystać z Tora, ale nadal pracować na zwykłym systemie operacyjnym.

Wtedy pojawiają się kolejne warstwy:

Application
      ↓
Operating System
      ↓
Local Storage
      ↓
Network

Dlatego w środowiskach nastawionych na prywatność analizuje się również izolację systemową i wirtualne maszyny.

Netbe opisuje ten temat w artykule Tor i wirtualne maszyny: kompleksowe podejście do zwiększenia anonimowości. (Netbe)

Najważniejsza zasada pozostaje prosta:

Bezpieczeństwo komunikacji nie kończy się na przeglądarce ani na samym tunelu sieciowym.

Communication graph

Każdą komunikację można przedstawić jako graf.

Przykład:

User A
   │
   ▼
Message ID
   │
   ▼
Storage Location
   │
   ├──── Timestamp
   │
   ├──── Size
   │
   └──── Format
   │
   ▼
User B

Jeżeli występuje wiele takich zdarzeń:

Message 1 ──┐
Message 2 ──┼── Pattern
Message 3 ──┤
Message 4 ──┘

analityk może badać powtarzalność.

To już nie jest analiza pojedynczej wiadomości.

To analiza systemu komunikacyjnego.

Cross-layer communication analysis

Najciekawsze wyniki mogą pojawić się wtedy, gdy połączymy kilka warstw:

Communication Timing
        +
Message Size
        +
Identity Pattern
        +
Infrastructure
        +
OSINT

Każda warstwa osobno może być niewystarczająca.

Ale razem mogą tworzyć:

Potential Relationship Graph

To dokładnie ten sam kierunek, który pojawiał się wcześniej w analizie infrastruktury i cyfrowych tożsamości.

Darknet Intelligence staje się więc coraz bardziej:

• analizą grafową,
• analizą zachowania,
• analizą czasu,
• analizą infrastruktury,
• analizą metadanych.

Największy paradoks anonimowej komunikacji

Im bardziej zaawansowany jest system komunikacji, tym więcej uwagi użytkownik może poświęcać technicznym warstwom bezpieczeństwa.

Ale jednocześnie może pozostawić prosty wzorzec:

Every Friday
23:00
Same Size
Same Activity
Same Alias

I właśnie takie powtarzalne zachowania mogą być bardziej interesujące niż sama treść komunikacji.

Tor może utrudniać obserwację ścieżki sieciowej, ale nie gwarantuje automatycznego ukrycia wszystkich wzorców aktywności. (Netbe)

Najważniejszy wniosek

Komunikacja w środowisku Darknetu nie powinna być analizowana wyłącznie przez pytanie:

„Czy wiadomość była zaszyfrowana?”

Znacznie szerszy model wygląda tak:

CONTENT
+
TRANSPORT
+
METADATA
+
TIMING
+
BEHAVIOR
+
INFRASTRUCTURE

Szyfrowanie chroni treść.

Tor może chronić część informacji sieciowych.

Ale OPSEC obejmuje znacznie więcej.

Największe znaczenie może mieć to, czego użytkownik nawet nie zauważa:

• kiedy publikuje,
• jak często,
• jakiej wielkości dane przesyła,
• jakie wzorce powtarza,
• czy oddziela swoje tożsamości,
• jakie ślady zostawia lokalnie.

Podsumowanie

Cyfrowe dead drops i komunikacja asynchroniczna pokazują, że anonimowa komunikacja nie musi przypominać klasycznego czatu.

Może być oparta na:

Publish
   ↓
Wait
   ↓
Retrieve
   ↓
Delete

Ale nawet najbardziej tymczasowy model pozostawia potencjalne informacje do analizy.

Dlatego przyszłość Darknet Intelligence coraz mniej będzie skupiała się wyłącznie na pytaniu:

„Co znajduje się w wiadomości?”

Znacznie częściej pytanie będzie brzmiało:

„Jakie wzorce tworzy cała komunikacja?”

I właśnie analiza tych wzorców — czasu, objętości, częstotliwości, infrastruktury i zachowania — może być kolejną warstwą w budowaniu pełnego obrazu aktywności cyfrowej.

Powiązane artykuły na Netbe.pl

• Jak działa mechanizm „Onion Services” (usługi .onion) od strony technicznej
• Jak działa ukrywanie metadanych w ruchu sieciowym (traffic obfuscation)
• Porównanie kanałów przesyłania ukrytych danych: E-mail, OnionShare, PasteBin (.onion)
• Porównanie bezpieczeństwa pastebinów .onion i publicznych: co wybrać?
• Tor i wirtualne maszyny: kompleksowe podejście do zwiększenia anonimowości
• Czym jest sieć Tor i jak działa Onion Routing?
• Czy Tor jest naprawdę anonimowy?
• Monitoring ruchu w sieci Tor – czy rządy i agencje mogą śledzić aktywność?
• Ukryte usługi w sieci Tor (Dark Web) – kompleksowy przewodnik

Polecane wpisy

Sysmon – szczegółowe monitorowanie aktywności w Windows

Sysmon – szczegółowe monitorowanie aktywności w Windows Sysmon (System Monitor) to narzędzie firmy Microsoft z pakietu Sysinternals, przeznaczone do rejestrowania Czytaj dalej

Usunięcie wirusów z komputera

Podczas pracy na komputerze, zdarza się że zaczyna nam coś mulić, wyświetlać dziwne reklamy w przeglądarkach i ogólnie mamy wrażenie Czytaj dalej