Essensen af det der skete
I maj 2020 blev en gruppe udgangsnoder opdaget, der forstyrrede udgående forbindelser. Især lod de næsten alle forbindelser være intakte, men opsnappede forbindelser til et lille antal kryptovalutabørser. Hvis brugere besøgte HTTP-versionen af webstedet (dvs. ukrypteret og uautoriseret), blev ondsindede værter forhindret i at omdirigere til HTTPS-versionen (dvs. krypteret og autentificeret). Hvis brugeren ikke bemærkede erstatningen (for eksempel fraværet af et låseikon i browseren) og begyndte at videresende vigtige oplysninger, kunne disse oplysninger blive opsnappet af angriberen.
Tor-projektet udelukkede disse noder fra netværket i maj 2020. I juli 2020 blev en anden gruppe relæer opdaget, der udførte et lignende angreb, hvorefter de også blev udelukket. Det er stadig uklart, om nogen brugere blev angrebet med succes, men baseret på omfanget af angrebet og det faktum, at angriberen forsøgte igen (det første angreb påvirkede 23 % af den samlede gennemstrømning af outputknuderne, det andet cirka 19 %). det er rimeligt at antage, at angriberen anså omkostningerne ved angrebet for berettigede.
Denne hændelse er en god påmindelse om, at HTTP-anmodninger er ukrypterede og uautentificerede og derfor stadig er sårbare. Tor Browser kommer med en HTTPS-Everywhere-udvidelse, der er specielt designet til at forhindre sådanne angreb, men dens effektivitet er begrænset til en liste, der ikke dækker alle websteder i verden. Brugere vil altid være i fare, når de besøger HTTP-versionen af websteder.
Forebyggelse af lignende angreb i fremtiden
Metoder til at forhindre angreb er opdelt i to dele: Den første omfatter foranstaltninger, som brugere og webstedsadministratorer kan tage for at styrke deres sikkerhed, mens den anden vedrører identifikation og rettidig opdagelse af ondsindede netværksknuder.
Anbefalede handlinger fra websteders side:
1. Aktiver HTTPS (gratis certifikater leveres af Lad os kryptere)
2. Tilføj omdirigeringsregler til HTTPS-Everywhere-listen, så brugere proaktivt kan etablere en sikker forbindelse i stedet for at stole på omdirigering efter at have etableret en usikker forbindelse. Hvis webserviceadministrationen desuden ønsker helt at undgå interaktion med exit noder, kan den det give en løgversion af webstedet.
Tor-projektet overvejer i øjeblikket helt at deaktivere usikker HTTP i Tor-browseren. For et par år siden ville en sådan foranstaltning have været utænkelig (for mange ressourcer havde kun usikret HTTP), men HTTPS-Everywhere og den kommende version af Firefox har en eksperimentel mulighed for at bruge HTTPS som standard til den første forbindelse, med mulighed for at fald tilbage til HTTP, hvis det er nødvendigt. Det er stadig uklart, hvordan denne tilgang vil påvirke Tor Browser-brugere, så den vil først blive testet ved højere sikkerhedsniveauer i browseren (skjoldikon).
Tor-netværket har frivillige, der overvåger relæadfærd og rapporterer hændelser, så ondsindede noder kan udelukkes fra rodmappeservere. Selvom sådanne rapporter normalt behandles hurtigt, og ondsindede noder tages offline umiddelbart efter detektion, er der ikke tilstrækkelige ressourcer til konstant at overvåge netværket. Hvis det lykkes dig at opdage et ondsindet relæ, kan du rapportere det til projektet, instruktioner tilgængelig på dette link.
Den nuværende tilgang har to grundlæggende problemer:
1. Når man overvejer et ukendt relæ, er det svært at bevise dets ondskab. Hvis der ikke var nogen angreb fra ham, skulle han så efterlades på plads? Massive angreb, der påvirker mange brugere, er lettere at opdage, men hvis angreb kun påvirker et lille antal websteder og brugere, angriberen kan handle proaktivt. Selve Tor-netværket består af tusindvis af relæer placeret rundt om i verden, og denne mangfoldighed (og den resulterende decentralisering) er en af dens styrker.
2. Når man overvejer en gruppe ukendte repeatere, er det svært at bevise deres sammenkobling (dvs. om de udfører Sibyls angreb). Mange frivillige relæoperatører vælger de samme lavprisnetværk at hoste, såsom Hetzner, OVH, Online, Frantech, Leaseweb osv., og hvis flere nye relæer opdages, vil det ikke være nemt at gætte endeligt på, om der er flere nye. operatører eller kun én, der styrer alle de nye repeatere.
Kilde: linux.org.ru