Nu tar Dan Egerstad bladet från munnen och berättar om hur han kom över de inloggningsuppgifter till ambassader och myndigheter som publicerades på webben förra veckan.

Förklaringen är ett hårt slag mot Tor, en av nätets mest populära anonymitetstjänster, och ger en kittlande föraning om vilka andra aktörer som redan utnyttjar samma lucka.

Tor, The Onion Router, är en av nätets mest populära anonymiseringstekniker. Tekniken används idag bland annat av fildelningsnätverk, politiska grupper och aktivister med behov av att kommunicera anonymt.

Tekniken bygger på att varje användare gör sin maskin till en server i Tor-nätverket. Kommunikation studsar sen via olika noder i Tor-nätverket fram till sin slutdestination. Det blir därmed mycket svårt att hålla reda på varifrån informationen kommer, vilket i praktiken gör Tor till ett ypperligt system för anonym kommunikation.

Men bara om man kommer ihåg att kryptera trafiken. Tor är bara en anonymiseringsteknik och krypterar inte trafiken över huvud taget. Detta har påpekats flera gånger, bland annat av personerna bakom Tor. I nätets slutnoder kan trafiken avlyssnas om den inte skickats i krypterad form.

Uppenbarligen är det få som väljer att kryptera. Genom att konfigurera fem slutnoder i Tor-nätverket och därefter lyssna av all trafik som passerat hans maskiner har Dan Egerstad lyckats komma över stora mängder känslig information. Bland annat de inloggningsuppgifter till ambassader och myndigheter som publicerades på webben för snart tio dagar sedan.

Minst lika sensationellt som att de drabbade myndigheterna tycker sig vara i behov av att kommunicera anonymt över nätet är att de bevisligen inte förstått hur tekniken ska användas – och därmed gjort det möjligt för vem som helst att ta del av den e-post de velat hemlighålla.

Totalt säger sig Egerstad ha kommit över inloggningsinformation till över 1000 e-postkonton världen över. Förutom ambassader och myndigheter ska flera storföretag ha drabbats. Åtminstone ett av kontona tillhörde ett företag med en omsättning på mer än 100 miljarder kronor. 95 procent av all trafik som passerat via Dan Egerstads noder har varit okrypterad.

– Jag har sett information från ett Fortune 500-företag och ganska många företag på Nasdaqbörsen. Jag läst interna mejl om en tjänst från ett storföretag som inte har lanserats än. Jag har läst ett par tusen mejl som tillhört regeringar och dylikt, men allt sånt har jag kastat bort för länge sedan, säger Dan Egerstad.

– Folk tror att Tor är ett krypteringsprotokoll och inte ett anonymiseringsprogram. Det här går att lösa genom att kryptera och använda SSL, eller helt enkelt sluta använda Tor, fortsätter han.

Dan Egerstad är övertygad om att andra aktörer redan idag använder sig av säkerhetshålet. Ett par exempel om vilka som ligger bakom andra Tor-noder tyder på att det uppmärksammade säkerhetshålet redan nyttjas i långt större omfattning än vad som tidigare antytts.

I Washington D.C finns ett antal anonyma Tor-slutnoder som hanterar ofantliga mängder data, mellan 5 och 10 Terabyte vardera, varje månad. Dessa drivs helt anonymt men av samma aktör och kan lyssna av all okrypterad trafik på samma sätt som Dan Egerstad har gjort.

Även flera kända hackargrupper driver egna Tor-slutnoder. Det gör även amerikanska investmentbanker, ryska myndigheter och grupper med kopplingar till identitetsstöldssajter på nätet.

– Frågan är vem som ligger och betalar för det här, och varför? Det är väldigt mycket pengar för välgörenhet, säger Dan Egerstad.

Varför väljer du att gå ut med den här informationen nu?

– Folk har börjat lista ut hur det gått till lite här och var. Jag vet att de allra flesta har skyddat sig nu. Jag hade över 250 konton till olika regeringar och de allra flesta har skyddat sig, säger Dan Egerstad.

Det här fallet har fått mycket uppmärksamhet världen över. Samtidigt har du själv har fått ta emot en hel del kritik för vad du gjort. Skulle du ha gjort samma sak om du fick välja igen?

– Absolut. Det har pratats om det här innan. Tor själva vet om det. Till och med Säpo har varit ute och informerat om den här luckan, men det har fått noll uppmärksamhet. Om inte jag gjort det här så hade ingenting hänt, säger Dan Egerstad.

Läs alla artiklar om de läckta lösenorden på CS samlingssida.