Hintergrund der Ereignisse
Im Mai 2020 wurde eine Gruppe von Exit-Nodes entdeckt, die in ausgehende Verbindungen eingriff. Insbesondere ließen sie fast alle Verbindungen unberührt, griffen jedoch gezielt auf eine kleine Anzahl von Kryptowährungsbörsen zu. Wenn Nutzer die HTTP-Version der Website besuchten (also unverschlüsselt und nicht authentifiziert), verhinderten die bösartigen Nodes die Weiterleitung zur HTTPS-Version (also verschlüsselt und authentifiziert). Wenn ein Nutzer die Manipulation nicht bemerkte (z. B. das Fehlen des Schloss-Symbols im Browser) und begann, wichtige Informationen zu übermitteln, konnten diese Informationen vom Angreifer abgefangen werden.
Das Tor-Projekt hat im Mai 2020 diese Knoten aus dem Netzwerk ausgeschlossen. Im Juli 2020 wurde eine weitere Gruppe von Relais entdeckt, die einen ähnlichen Angriff durchführten, woraufhin sie ebenfalls ausgeschlossen wurden. Bis jetzt ist unklar, ob irgendwelche Benutzer erfolgreich angegriffen wurden, aber angesichts des Umfangs des Angriffs und der Tatsache, dass der Angreifer einen weiteren Versuch unternahm (der erste Vorfall betraf 23 % der gesamten Bandbreite der Ausgangsknoten, der zweite etwa 19 %), ist es vernünftig anzunehmen, dass der Angreifer die Kosten des Angriffs als gerechtfertigt ansah.
Dieser Vorfall ist eine gute Erinnerung daran, dass HTTP-Anfragen unverschlüsselt und nicht authentifiziert sind und daher weiterhin anfällig bleiben. Der Tor-Browser wird mit der Erweiterung HTTPS-Everywhere geliefert, die speziell entwickelt wurde, um solche Angriffe zu verhindern, aber ihre Wirksamkeit ist durch eine Liste eingeschränkt, die nicht alle Websites der Welt abdeckt. Benutzer, die die HTTP-Version von Websites besuchen, stehen immer in Gefahr.
Die Verhinderung ähnlicher Angriffe in der Zukunft
Die Methoden zur Verhinderung von Angriffen lassen sich in zwei Bereiche unterteilen: Der erste umfasst Maßnahmen, die Nutzer und Webseitenadministratoren ergreifen können, um ihre Sicherheit zu erhöhen, während der zweite die Identifizierung und rechtzeitige Erkennung bösartiger Netzwerk-Knoten betrifft.
Empfohlene Maßnahmen für Webseiten:
1. Aktivierung von HTTPS (kostenlose Zertifikate werden bereitgestellt von Let’s Encrypt)
2. Hinzufügen von Weiterleitungsregeln zur HTTPS-Everywhere-Liste, damit Nutzer proaktiv eine sichere Verbindung herstellen können, anstatt sich auf eine Weiterleitung nach der Herstellung einer unsicheren Verbindung zu verlassen. Wenn die Verwaltung von Webdiensten außerdem eine vollständige Interaktion mit Ausgangsknoten vermeiden möchte, kann sie eine Onion-Version der Webseite bereitstellen..
Derzeit prüft das Tor-Projekt die Möglichkeit, ungesichertes HTTP im Tor-Browser vollständig abzuschalten. Vor einigen Jahren wäre eine solche Maßnahme undenkbar gewesen, da viele Ressourcen nur ungesichertes HTTP unterstützten. Mit HTTPS Everywhere und der kommenden Firefox-Version gibt es jedoch eine experimentelle Option, um HTTPS standardmäßig für die erste Verbindung zu verwenden, wobei die Rückkehr zu HTTP bei Bedarf möglich ist. Es ist noch unklar, wie sich dieser Ansatz auf die Benutzer des Tor-Browsers auswirken wird, daher wird er zunächst auf höheren Sicherheitsebenen des Browsers (Schildsymbol) getestet.
Im Tor-Netzwerk gibt es Freiwillige, die das Verhalten der Relays überwachen und Vorfälle melden. Dadurch können bösartige Knoten von den Root-Servern ausgeschlossen werden. Obwohl solche Meldungen in der Regel schnell bearbeitet werden und bösartige Knoten sofort nach der Entdeckung abgeschaltet werden, gibt es nicht genug Ressourcen für eine ständige Überwachung des Netzwerks. Wenn Sie einen bösartigen Relay entdeckt haben, können Sie dies dem Projekt melden. Eine Anleitung finden Sie unter diesem Link.
Der aktuelle Ansatz hat zwei grundlegende Probleme:
1. Wenn es um einen unbekannten Relais geht, ist es schwierig, dessen Schädlichkeit nachzuweisen. Wenn von seiner Seite aus keine Angriffe beobachtet wurden, sollte man ihn dann weiterhin akzeptieren? Massiven Angriffe, die viele Benutzer betreffen, lassen sich leichter erkennen, doch wenn Angriffe nur eine kleine Anzahl von Websites und Nutzern betreffen, kann der Angreifer proaktiv handeln. Das Tor-Netzwerk selbst besteht aus Tausenden von Relais, die weltweit verteilt sind, und diese Vielfalt (und die damit verbundene Dezentralisierung) ist eine seiner Stärken.
2. Bei der Betrachtung einer Gruppe unbekannter Relais ist es schwierig, ihre Verbindung nachzuweisen (d.h. führen sie eine Sybil-Attacke). Viele freiwillige Relaisbetreiber wählen dieselben günstigen Netzwerke wie Hetzner, OVH, Online, Frantech, Leaseweb usw. für ihr Hosting, und wenn mehrere neue Relais entdeckt werden, wird es schwierig sein, eindeutig zu vermuten, ob mehrere neue Betreiber aufgetaucht sind oder nur einer, der alle neuen Relais betreibt.
Quelle: linux.org.ru
