Protegiendo a los usuarios contra el phishing en servicios Onion

El Phishing es un problema común que afecta a muchos usuarios en línea, especialmente a los que usan servicios onion de Tor. El phishing se refiere a los intentos de actores maliciosos de engañar a las personas para que proporcionen información sensible haciéndose pasar por sitios web de confianza. Los servicios onion ofrecen anonimato a los usuarios, pero también tienen sus desafíos, principalmente porque sus nombres de dominio pueden ser difíciles de diferenciar de sitios falsos. Este documento aborda las estrategias que los operadores de servicios onion han implementado para proteger a sus usuarios de los intentos de phishing mientras mantienen la Privacidad del Usuario.

#Contexto

Los servicios onion son únicos de la red Tor, diseñados para proporcionar anonimato y resistir la censura. Esto los hace atractivos para usuarios como periodistas y activistas. Sin embargo, los dominios onion, que consisten en caracteres aparentemente aleatorios, pueden ser difíciles de recordar. Como resultado, los usuarios a menudo luchan por identificar servicios auténticos, lo que los convierte en blancos fáciles para el phishing.

#El Desafío

Para contrarrestar el phishing, los operadores de servicios onion han creado varias soluciones. Desafortunadamente, muchos de estos enfoques generan un registro de la actividad del usuario, lo cual es preocupante para aquellos que priorizan la privacidad, especialmente los usuarios vulnerables. El equilibrio entre proteger la identidad del usuario y prevenir el phishing es delicado.

#Revisión de Medidas Existentes

El examen de investigaciones previas revela solo dos estrategias efectivas para proteger a los usuarios contra el phishing sin comprometer su privacidad: visualización de hashes e intercambio de claves autenticadas por contraseña (PAKE).

#Visualización de Hashes

La visualización de hashes implica que los usuarios reconozcan grandes valores hash únicos asociados con dominios onion. Este método puede ser engorroso, ya que los usuarios deben recordar e identificar estos hashes complejos. Nuestra investigación propone un nuevo mecanismo, llamado el reconocedor, que simplifica este proceso.

#PAKE

PAKE permite a los usuarios crear un secreto compartido con el sitio web que se usa para la autenticación. Este método demuestra ser efectivo contra ataques de phishing sofisticados, pero requiere cambios en la infraestructura web existente.

#La Solución Propuesta: El Reconocedor

El reconocedor combina elementos de visualización de hashes con un nuevo enfoque que minimiza la cantidad de información que los usuarios necesitan memorizar.

#Cómo Funciona

Los usuarios seleccionarán múltiples dominios onion, resultando en un hash visual que representa estos dominios. Junto con esto, crearán una contraseña memorable. Esta combinación permite a los usuarios verificar la autenticidad del dominio onion que están visitando mientras mantienen un alto nivel de privacidad.

#Análisis de Seguridad y Privacidad

El reconocedor ofrece una fuerte seguridad contra ataques de phishing mientras asegura que los datos del usuario permanezcan privados. Al no almacenar información sensible directamente, el reconocedor mitiga el riesgo de divulgación.

#Experiencia del Usuario

#Configurando el Reconocedor

Para comenzar a usar el reconocedor, los usuarios ingresarán los dominios onion que desean recordar en una extensión del navegador. El sistema luego genera un hash visual único y una contraseña.

#Reconociendo un Dominio

Cuando los usuarios visitan un dominio onion específico, comprobarán el hash visual mostrado con el que memorizaron. Si coinciden, los usuarios pueden proceder con confianza, sabiendo que están en el sitio auténtico.

#Seguridad de la Información

#Modelos de Amenaza

Nuestra investigación identifica dos amenazas principales para los usuarios: phishing y divulgación no deseada. En el phishing, los atacantes se hacen pasar por servicios onion de confianza, mientras que en la divulgación, los adversarios buscan descubrir los servicios onion que los usuarios han accedido.

#Objetivos de Seguridad

Nuestro objetivo es diseñar un mecanismo que pueda proteger eficazmente contra ambas amenazas, asegurando que los usuarios sean conscientes de los intentos de phishing mientras mantienen su historial de visitas privado.

#Contramedidas Actuales

Evaluamos varios métodos existentes utilizados por servicios onion para mitigar el phishing. Estos incluían:

1. Certificados TLS: Estos están destinados a verificar la identidad de los servicios, pero dependen de la confianza externa, lo que los hace potencialmente vulnerables a la censura y al phishing.

2. Anclas de Confianza de Clearnet: Muchos servicios onion se vinculan a sitios web externos para confirmar su autenticidad. Sin embargo, este método también puede caer en ataques.

3. Directrices de Espejos Onion: Estas directrices sugieren que los servicios publiquen sus dominios legítimos, pero nuevamente dependen de la vigilancia del usuario.

4. Captchas: Algunos servicios emplean Captchas como una forma de seguridad adicional, pero también tienen limitaciones en cuanto a usabilidad y efectividad contra atacantes humanos.

5. Autenticación de Dos Factores: Varios servicios ofrecen autenticación de dos factores, pero aunque pueden aumentar la seguridad, también requieren que los usuarios gestionen información adicional.

#Nuestros Hallazgos

En nuestro análisis, encontramos que aunque estas contramedidas están en su lugar, ninguna cumple completamente con nuestros requisitos de seguridad y privacidad sin desventajas.

#Limitaciones de los Enfoques Actuales

1. Phishing: Muchos métodos no logran identificar eficazmente los intentos de phishing, particularmente contra ataques sofisticados.

2. Divulgación: La mayoría de las soluciones actuales dejan a los usuarios vulnerables a la divulgación, ya sea mediante el almacenamiento de datos sensibles o dependiendo de métodos de verificación externa.

3. Censura: Muchas contramedidas involucran confianza de terceros, que pueden ser blanco de la censura.

#Conclusión: Avanzando

En conclusión, el reconocedor proporciona una solución prometedora para proteger a los usuarios de servicios onion contra el phishing. Equilibra la seguridad y la privacidad del usuario sin dejar rastros que puedan ser explotados por adversarios. Se necesita más investigación para probar su efectividad en escenarios del mundo real y explorar la interacción del usuario con el sistema.

#Trabajo Futuro

Los estudios futuros deben centrarse en la experiencia del usuario, incluyendo la facilidad de recordar hashes visuales y contraseñas, y explorar cómo los usuarios pueden gestionar de manera efectiva conjuntos cambiantes de dominios reconocidos. Además, se debe priorizar el desarrollo de técnicas de hashing visual robustas.

En general, el reconocedor puede mejorar significativamente la seguridad del usuario en el complejo y a menudo arriesgado paisaje de la anonimidad en línea que ofrecen los servicios onion.