Proteggere gli utenti contro il phishing nei servizi Onion

Il Phishing è un problema comune che colpisce molti utenti online, soprattutto quelli che usano i servizi onion di Tor. Il phishing si riferisce ai tentativi da parte di attori malintenzionati di ingannare le persone per ottenere informazioni sensibili fingendosi siti web fidati. I servizi onion offrono anonimato agli utenti, ma presentano anche delle sfide, principalmente perché i loro nomi di dominio possono essere difficili da distinguere dai siti falsi. Questo documento affronta le strategie che gli operatori di servizi onion hanno implementato per proteggere i loro utenti dai tentativi di phishing mantenendo la loro privacy.

#Contesto

I servizi onion sono unici per la rete Tor, progettati per fornire anonimato e resistere alla censura. Questo li rende attraenti per utenti come giornalisti e attivisti. Tuttavia, i domini onion, composti da caratteri apparentemente casuali, possono essere difficili da ricordare. Di conseguenza, gli utenti spesso faticano a identificare i servizi autentici, diventando facilmente bersagli per il phishing.

#La Sfida

Per contrastare il phishing, gli operatori dei servizi onion hanno creato varie soluzioni. Purtroppo, molti di questi approcci generano un record delle attività degli utenti, il che è un problema per chi dà priorità alla privacy, soprattutto per gli utenti vulnerabili. Il bilanciamento tra la protezione dell'identità dell'utente e la prevenzione del phishing è delicato.

#Revisione delle Misure Esistenti

L'analisi delle ricerche precedenti rivela solo due strategie efficaci per proteggere gli utenti dal phishing senza compromettere la loro privacy: visualizzazione degli hash e scambio di chiavi autenticato da password (PAKE).

#Visualizzazione degli Hash

La visualizzazione degli hash implica che gli utenti riconoscano grandi valori hash unici associati ai domini onion. Questo metodo può essere ingombrante, poiché gli utenti devono essere in grado di ricordare e identificare questi hash complessi. La nostra ricerca propone un nuovo meccanismo, chiamato riconoscitore, che semplifica questo processo.

#PAKE

Il PAKE consente agli utenti di creare un segreto condiviso con il sito web che viene utilizzato per l'autenticazione. Questo metodo si rivela efficace contro attacchi di phishing sofisticati, ma richiede modifiche all'infrastruttura web esistente.

#La Soluzione Proposta: Il Riconoscitore

Il riconoscitore combina elementi di visualizzazione degli hash con un nuovo approccio che minimizza la quantità di informazioni che gli utenti devono memorizzare.

#Come Funziona

Gli utenti selezioneranno più domini onion, risultando in un hash visivo che rappresenta questi domini. Insieme a questo, creeranno una password memorabile. Questa combinazione consente agli utenti di verificare l'autenticità del dominio onion che stanno visitando, mantenendo un alto livello di privacy.

#Analisi di Sicurezza e Privacy

Il riconoscitore offre una forte sicurezza contro gli attacchi di phishing garantendo al contempo che i dati degli utenti rimangano privati. Non memorizzando informazioni sensibili direttamente, il riconoscitore riduce il rischio di divulgazione.

#Esperienza dell'Utente

#Configurazione del Riconoscitore

Per iniziare a utilizzare il riconoscitore, gli utenti inseriscono i domini onion che desiderano ricordare in un'estensione del browser. Il sistema genera poi un hash visivo unico e una password.

#Riconoscere un Dominio

Quando gli utenti visitano un dominio onion specifico, confronteranno l'hash visivo mostrato con quello che hanno memorizzato. Se corrispondono, possono procedere con fiducia, sapendo di essere sul sito autentico.

#Sicurezza delle Informazioni

#Modelli di Minaccia

La nostra ricerca identifica due minacce principali per gli utenti: phishing e divulgazione indesiderata. Nel phishing, gli attaccanti si spacciano per servizi onion fidati, mentre nella divulgazione, gli avversari cercano di scoprire i servizi onion a cui gli utenti hanno accesso.

#Obiettivi di Sicurezza

Il nostro obiettivo è progettare un meccanismo che possa proteggere efficacemente contro entrambe le minacce, garantendo che gli utenti siano consapevoli dei tentativi di phishing mantenendo la loro cronologia di visite privata.

#Contromisure Attuali

Abbiamo valutato vari metodi esistenti utilizzati dai servizi onion per mitigare il phishing. Questi includevano:

1. Certificati TLS: Questi sono progettati per verificare l'identità dei servizi, ma si basano su fiducia esterna, rendendoli potenzialmente vulnerabili a censura e phishing.

2. Ancora di Fiducia Clearnet: Molti servizi onion collegano siti web esterni per confermare la loro autenticità. Tuttavia, questo metodo può anch'esso essere soggetto ad attacchi.

3. Linee Guida per Specchi Onion: Queste linee guida suggeriscono che i servizi pubblichino i loro domini legittimi, ma sono nuovamente dipendenti dalla vigilanza degli utenti.

4. Captchas: Alcuni servizi utilizzano Captchas come forma di sicurezza aggiuntiva, ma hanno anche limitazioni riguardo all'usabilità e all'efficacia contro attaccanti umani.

5. Autenticazione a Due Fattori: Vari servizi offrono l'autenticazione a due fattori, ma mentre possono aumentare la sicurezza, richiedono anche che gli utenti gestiscano informazioni aggiuntive.

#Le Nostre Scoperte

Nella nostra analisi, abbiamo scoperto che, mentre queste contromisure sono in atto, nessuna soddisfa completamente i nostri requisiti di sicurezza e privacy senza svantaggi.

#Limitazioni degli Approcci Attuali

1. Phishing: Molti metodi non riescono a identificare efficacemente i tentativi di phishing, soprattutto contro attacchi sofisticati.

2. Divulgazione: La maggior parte delle soluzioni attuali lascia gli utenti vulnerabili alla divulgazione, sia memorizzando dati sensibili che affidandosi a metodi di verifica esterni.

3. Censura: Molte contro-misure comportano fiducia di terze parti, che può essere mirata dalla censura.

#Conclusione: Andando Avanti

In conclusione, il riconoscitore offre una soluzione promettente per proteggere gli utenti dei servizi onion dal phishing. Bilancia la sicurezza degli utenti e la privacy senza lasciare tracce che possano essere sfruttate dagli avversari. Ulteriori ricerche sono necessarie per testarne l'efficacia in scenari reali e per esplorare l'interazione degli utenti con il sistema.

#Lavori Futuri

Gli studi futuri dovrebbero concentrarsi sull'esperienza dell'utente, inclusa la facilità di ricordare hash visivi e password, ed esplorare come gli utenti possono gestire efficacemente set di domini riconosciuti in cambiamento. Inoltre, lo sviluppo di tecniche di hashing visivo robuste deve essere una priorità.

In generale, il riconoscitore può migliorare significativamente la sicurezza degli utenti nel complesso e spesso rischioso panorama dell'anonimato online offerto dai servizi onion.