В последние годы в ландшафте кибербезопасности появилась новая категория злоупотреблений: выдача себя за сотрудников правоохранительных органов и представителей государственных учреждений организованными преступными группами, осуществляемая посредством использования скомпрометированных или похожих государственных доменов электронной почты. Цель этих атак — получить пользовательские данные от поставщиков онлайн-услуг через запросы, которые выглядят как легитимные Экстренные запросы данных (EDR) или законные процессуальные действия, когда в действительности запросы исходят от злоумышленников, действующих с использованием украденных институциональных учётных данных.
Это не маргинальное явление. 4 ноября 2024 года Центр жалоб на интернет-преступления ФБР опубликовал Уведомление для частного сектора 20241104-001, явно предупреждая компании, базирующиеся в США, о росте мошеннических Экстренных запросов данных, подаваемых с использованием скомпрометированных учётных записей электронной почты правительственных учреждений США и иностранных государств. В уведомлении документально подтверждается, что скомпрометированные учётные данные открыто продаются на криминальных форумах, что эта практика изначально была связана с такими группами, как Lapsus$, и что объём и доступность таких учётных данных существенно возросли.
Независимые журналистские расследования Брайана Кребса на KrebsOnSecurity, исследования, опубликованные Mandiant, и публичные заявления крупных платформ подтвердили ту же схему в различных юрисдикциях. Учётные записи электронной почты, принадлежащие полицейским силам и государственным органам в странах Азии, Европы, Южной Америки и Африки, были обнаружены на продажу на подпольных форумах всего за двадцать долларов за учётную запись.
Последствия значительны: любой поставщик онлайн-услуг, который полагался на подлинность государственного домена электронной почты как основной фактор верификации для запросов правоохранительных органов, теперь действует в принципиально изменившейся среде угроз. В этой статье объясняется, как Onion Mail и его материнская компания Onion Search Engine LLC подходят к этой проблеме, что мы всегда делали, что мы недавно узнали и как мы развиваем наши процессы в дальнейшем. Мы публикуем это, потому что считаем, что прозрачность — единственный легитимный ответ на проблему такого характера.
В этой статье
Что получает служба типа Onion Mail и правовая база
Onion Search Engine LLC — компания, зарегистрированная в штате Нью-Йорк, Соединённые Штаты Америки. Как таковая, она подпадает под действие законодательства Соединённых Штатов, включая Закон о конфиденциальности электронных коммуникаций (ECPA), Закон о хранимых коммуникациях и применимые положения о сотрудничестве с правоохранительными органами посредством повесток в суд, судебных приказов и ордеров на обыск. Как и любой поставщик онлайн-услуг, действующий на законных основаниях, Onion Mail получает запросы данных от правоохранительных органов в различных юрисдикциях и отвечает в рамках применимого законодательства. Это не исключительная ситуация; это базовое обязательство любой легитимной технологической компании.
Соответствующий вопрос заключается не в том, получаются ли такие запросы, а в том, как они проверяются, какая информация действительно может быть предоставлена и какие средства защиты существуют для пользователей как от незаконной слежки, так и от злоупотреблений на основе выдачи себя за других. Оставшаяся часть этой статьи подробно рассматривает эти три пункта.
Архитектура Onion Mail: как пользователи контролируют собственную конфиденциальность
Onion Mail разработан на основе фундаментального принципа: пользователь, а не провайдер, должен определять уровень анонимности и защиты, применяемой к их коммуникациям. Служба построена таким образом, что это не маркетинговое заявление, а техническая реальность, проверяемая в любой момент самим пользователем.
Варианты сетевого доступа
Пользователи могут получить доступ к Onion Mail через стандартные HTTPS-соединения, через VPN по своему выбору или напрямую через сеть Tor. Onion Mail использует выделенный адрес .onion, что означает, что сервис доступен непосредственно из сети Tor без прохождения через выходные узлы. Когда пользователь подключается через Tor или через адрес .onion, соединение не создает исходящий IP-адрес, который может быть связан с реальной сетевой идентичностью пользователя.
Шифрование сообщений
Onion Mail нативно интегрирует PGP-шифрование в пользовательский интерфейс. Когда пользователи обмениваются сообщениями с использованием PGP, содержимое этих сообщений защищено сквозным шифрованием; провайдер не владеет ключами расшифровки и не может читать содержимое сообщений. Это не проприетарная криптографическая реализация, а интеграция открытого, проверенного и широко используемого стандарта OpenPGP.
Восстановление учетной записи без номеров телефонов
Onion Mail не требует номера телефона для создания или восстановления учетной записи. Восстановление учетной записи осуществляется через Tox ID с использованием открытого децентрализованного протокола обмена сообщениями Tox. Это означает, что сервис не хранит номер телефона, который может быть запрошен по повестке, утечен или использован в качестве идентификатора для корреляции.
Пользовательский виджет безопасности
Каждый пользователь Onion Mail видит в своем профиле индикатор состояния безопасности сеанса и учетной записи в реальном времени. Виджет показывает, маршрутизируется ли соединение в данный момент через Tor или VPN, зашифрованы ли полученные сообщения с помощью PGP, и достигает ли общая конфигурация уровня защиты, ожидаемого пользователем. Пользователю не нужно доверять заявлениям провайдера о конфиденциальности; виджет сообщает техническую реальность каждого сеанса.
Панель событий безопасности
Каждый пользователь может перейти по адресу https://onionmail.org/account/security/events и просмотреть IP-адреса подключений, зарегистрированные для его собственной учетной записи. Если пользователь получал доступ к сервису через Tor, в этом журнале не появляется используемых IP-адресов, потому что их просто нет для записи. Это может быть проверено каждым пользователем на собственной учетной записи в любое время.
Философия этой архитектуры представляет собой то, что иногда называют подходом без доверия: пользователя не просят принять слово провайдера на веру. Пользователя просят проверить через индикаторы, встроенные в продукт, и через использование открытых сторонних инструментов (Tor, OpenPGP, Tox), что защита работает так, как описано.
Что Onion Mail может и не может предоставить в ответ на законный запрос
Следствием описанной выше архитектуры является то, что информация, доступная провайдеру, и, следовательно, информация, которая потенциально может быть предоставлена в ответ на законный запрос, полностью зависит от выбора, сделанного пользователем.
Когда пользователь получает доступ к Onion Mail исключительно через сеть Tor и использует PGP-шифрование для своей переписки, провайдер не располагает значимой идентифицирующей информацией об IP и не хранит содержимое сообщений в читаемой форме. Нет необходимости принимать решение о том, «раскрывать» ли эту информацию, поскольку она не существует в используемом виде в наших системах.
Когда пользователь получает доступ к сервису через VPN и использует PGP, провайдер регистрирует IP-адрес выходной точки VPN, а не реальный IP пользователя, а содержимое сообщений остается зашифрованным.
Когда пользователь получает доступ к сервису через стандартное соединение без PGP-шифрования, провайдер регистрирует исходный IP-адрес и хранит содержимое сообщений в стандартной форме, необходимой для работы почтового сервиса.
В каждом случае мы можем предоставить то, что технически присутствует в наших системах. Архитектура намеренно спроектирована таким образом, чтобы пользователь, а не провайдер, определял этот базовый уровень.
В этом заключается смысл нашей позиции о том, что конфиденциальность и анонимность являются основополагающими ценностями: они встроены в техническую структуру сервиса, а не обещаны как политика, которая может быть отменена.
Onion Search Engine LLC и платформа для правоохранительных органов
Важно прояснить структурный момент, поскольку мы наблюдали путаницу в публичных обсуждениях. Onion Mail — это почтовый сервис. Onion Search Engine LLC — это американская компания, которая владеет и управляет Onion Mail, а также другими сервисами, включая платформу, которая была разработана для того, чтобы позволить верифицированным правоохранительным органам подавать запросы данных в структурированной, проверяемой форме.
Эта платформа была задумана для решения реальной проблемы: правоохранительные органы часто подают запросы данных по электронной почте в несогласованных форматах с различной степенью проверяемости. Специально созданный портал позволяет стандартизировать запросы, регистрировать их и отвечать на них с большей процедурной ясностью, чем переписка по электронной почте в произвольной форме. Аналогичные платформы существуют у крупных провайдеров по всей отрасли.
Доступ к этой платформе не открыт для общественности. Он ограничен верифицированными государственными организациями. До недавнего времени верификация этих организаций в значительной степени опиралась на подлинность правительственных доменов электронной почты, используемых в процессе регистрации и подачи запросов. Это приводит нас к центральной проблеме, которой посвящена данная статья.
Текущая проблема: скомпрометированные правительственные каналы электронной почты
Модель верификации запросов от правоохранительных органов через подлинность их правительственного почтового домена основывалась на неявном предположении: что правительственные учетные записи электронной почты достаточно хорошо защищены и что сообщение, поступающее с законного домена .gov, .gov.xx, police.xx или эквивалентного, может рассматриваться как исходящее от законного сотрудника этого ведомства.
Это предположение было существенно подорвано документированным феноменом масштабной компрометации учетных данных, затрагивающей правоохранительные и правительственные системы электронной почты в нескольких юрисдикциях. Как сообщается ФБР в уведомлении от ноября 2024 года, упомянутом выше, KrebsOnSecurity и другими авторитетными источниками, скомпрометированные учетные данные правительственной электронной почты теперь являются товаром на криминальных рынках. Вектор атаки — это не техническая инфраструктура провайдеров, таких как Onion Mail; это уровень безопасности самих корпоративных учетных записей электронной почты, которые уязвимы для фишинга, повторного использования учетных данных, инфостилер-инфекций и внутренней компрометации.
Мы также получили прямые сообщения, в том числе из враждебных источников, указывающие на осведомленность в криминальных кругах о том, что этот вектор атаки активно эксплуатируется. Эти сообщения в сочетании с публично документированными инцидентами, затрагивающими многочисленных поставщиков услуг по всей отрасли, приводят к единственному выводу: правительственный почтовый домен, рассматриваемый изолированно, больше не может считаться достаточным доказательством законного происхождения от правоохранительных органов.
Инцидент на нашей платформе для правоохранительных органов: что произошло и как мы отреагировали
В соответствии с нашей приверженностью прозрачности мы рассмотрим инцидент, произошедший на нашей платформе для правоохранительных органов.
Злоумышленник получил доступ к платформе, зарегистрировавшись с учетными данными, полученными из скомпрометированного правительственного канала электронной почты. Поскольку регистрация поступила через то, что выглядело как законный институциональный источник — верифицированный правительственный почтовый домен, — запрос прошел наш стандартный на тот момент процесс верификации. Это соответствует схеме, документированной ФБР: когда сам вышестоящий институциональный канал скомпрометирован, последующая верификация на основе этого канала приведет к ложноположительному результату.
Инцидент не затронул техническую инфраструктуру Onion Mail или Onion Search Engine LLC. Наши системы не были скомпрометированы. Атака была успешной в отношении процесса верификации, а не систем.
Наш внутренний мониторинг выявил аномалии в активности данной учетной записи. Доступ был приостановлен, учетная запись была отозвана, а наши процедуры верификации были усилены за счет добавления контрольных механизмов, выходящих за рамки простой проверки доменного имени электронной почты. Сама платформа была переведена в автономный режим, пока мы пересматриваем процедуры доступа с учетом изменившейся среды угроз.
Мы документируем данный инцидент здесь, поскольку считаем, что он точно иллюстрирует динамику, описанную в этой статье, и поскольку считаем, что поставщики услуг несут ответственность за прозрачность в ситуациях, когда их процессы сталкиваются с пределами превалирующих отраслевых предположений. Тот же подход непрерывного мониторинга, который выявил аномалии на платформе для правоохранительных органов, был применен и со стороны Onion Mail, где подозрительные паттерны в переписке с правоохранительными органами привели нас к отзыву сотрудничества с конкретными каналами при обнаружении аномалий верификации.
Как Onion Search Engine LLC будет действовать в дальнейшем
В свете задокументированной компрометации каналов государственной электронной почты как фактора верификации наши процессы эволюционируют. Мы продолжим сотрудничать с легитимными правоохранительными органами способами, требуемыми применимым законодательством. Что меняется — это способ верификации запрашивающих сторон.
Верификация больше не будет опираться на какой-либо единственный фактор, включая кажущуюся подлинность государственного доменного имени электронной почты. Многоканальная верификация, независимое подтверждение личности сотрудника через институциональные контакты, установленные верифицированными способами, и процедурные механизмы контроля, выходящие за рамки проверки документов, будут составлять часть нашего процесса в дальнейшем. Мы не публикуем операционные детали этих механизмов контроля, поскольку это окажет помощь именно тем субъектам угроз, которые описаны в данной статье.
Эта эволюция не представляет собой отказ от наших правовых обязательств. Onion Search Engine LLC остается компанией Соединенных Штатов, подпадающей под действие законодательства Соединенных Штатов, и будет продолжать отвечать на законные процессуальные запросы. Что меняется — это стандарт доказательств, который мы применяем, прежде чем принять, что запрос исходит от агентства, которое он заявляет представлять.
Для правоохранительных органов: как снизить подверженность выдаче себя за других
Мы признаем, что институтами, наиболее затронутыми данной категорией злоупотреблений, являются легитимные правоохранительные агентства, чьи учетные данные похищаются и используются для выдачи себя за них. Мы предлагаем следующие наблюдения, которые соответствуют общим рекомендациям по безопасности:
Учетные данные сотрудников, используемые для институциональной электронной почты, должны быть защищены многофакторной аутентификацией с использованием аппаратных токенов или сопоставимых механизмов, а не кодов на основе SMS. Институциональные системы электронной почты должны отслеживать аномальные паттерны доступа, особенно аутентификацию из неожиданных географических локаций или через анонимизирующие сети. Исходящие юридические запросы к поставщикам услуг должны, где это возможно, передаваться через документированные и верифицированные каналы, а не через разовую электронную почту, а ответы поставщиков должны ожидаться через те же каналы. Агентства, которые полагают, что их учетные данные или учетные данные коллеги могли быть скомпрометированы, должны связаться с затронутыми поставщиками через верифицированные институциональные каналы и рассмотреть возможность уведомления ФБР через IC3.
Это не новые рекомендации. Это рекомендации, которые ландшафт угроз теперь сделал неизбежными.
Наша позиция
Onion Mail существует для защиты приватности и анонимности своих пользователей. Эти ценности — не лозунги; они закодированы в технической архитектуре сервиса. Пользователи получают доступ через Tor или VPN, шифруют свои сообщения с помощью PGP, восстанавливают свои учетные записи без номеров телефонов и проверяют состояние своей собственной защиты через индикаторы, встроенные в продукт. Поставщик, по замыслу, хранит меньше информации о пользователе, чем пользователь имеет возможность предоставить.
Эти ценности полностью совместимы с работой в качестве легальной компании. Onion Search Engine LLC является зарегистрированной компанией Соединенных Штатов, которая соблюдает применимые к ней законы. Защита приватности и соблюдение законодательства не находятся в противоречии, когда сервис спроектирован правильно. Мы защищаем пользователей от незаконной слежки, злоупотребления выдачей себя за других и компрометации институциональных каналов, которые они не имеют возможности контролировать. Мы сотрудничаем с легитимными органами власти через верифицированные средства, в рамках закона.
Мы не являемся и никогда не являлись сервисом, предназначенным для оказания помощи тем, кто стремится уклониться от легитимного правового надзора. Мы также не являемся сервисом, который будет рассматривать мошеннические запросы как легитимные просто потому, что они поступают через каналы, которые отрасль до настоящего времени рассматривала как авторитетные.
Модель доверия, которую отрасль использовала для верификации правоохранительных органов, меняется, потому что изменилась среда угроз. Данная статья является частью нашего ответа на это изменение: публичное, документированное, проверяемое заявление о том, что мы делаем, что мы сделали, что мы узнали и как мы будем действовать в дальнейшем.
Для получения дополнительной информации наша Политика конфиденциальности и Условия использования подробно описывают правовые рамки, в которых работает Onion Mail. Пользователи, желающие проверить состояние безопасности своей учетной записи, могут сделать это в любое время по адресу https://onionmail.org/account/security/events.