Zusammenfassung des Vorfalls
Im Mai 2020 wurde eine Gruppe von Ausgangsknoten entdeckt, die in ausgehende Verbindungen eingriffen. Sie ließen nahezu alle Verbindungen unberührt, aber fingen Verbindungen zu einer kleinen Anzahl von Kryptowährungsbörsen ab. Wenn Benutzer die HTTP-Version der Website besuchten (d.h. unverschlüsselt und nicht authentifiziert), verhinderte der bösartige Knoten die Weiterleitung zur HTTPS-Version (d.h. verschlüsselt und authentifiziert). Wenn der Benutzer den Austausch nicht bemerkte (zum Beispiel das Fehlen des Schloss-Symbols im Browser) und begann, wichtige Informationen zu übermitteln, konnten diese Informationen vom Angreifer abgefangen werden.
Das Tor-Projekt schloss diese Knoten im Mai 2020 aus dem Netzwerk aus. Im Juli 2020 wurde eine weitere Gruppe von Relais entdeckt, die einen ähnlichen Angriff durchführten, nachdem sie ebenfalls ausgeschlossen wurden. Es ist nach wie vor unklar, ob tatsächlich Benutzer erfolgreich angegriffen wurden, aber angesichts des Umfangs des Angriffs und der Tatsache, dass der Angreifer es erneut versuchte (der erste Vorfall betraf 23% der gesamten Bandbreite der Ausgangsknoten, der zweite etwa 19%), ist es vernünftig anzunehmen, dass der Angreifer die Kosten des Angriffs für gerechtfertigt hielt.
Dieser Vorfall ist eine gute Erinnerung daran, dass HTTP-Anfragen unverschlüsselt und nicht authentifiziert sind und daher nach wie vor anfällig. Der Tor-Browser enthält die Erweiterung HTTPS-Everywhere, die speziell dafür entwickelt wurde, solche Angriffe zu verhindern, deren Effektivität jedoch durch die Liste eingeschränkt ist, die nicht alle Websites der Welt abdeckt. Benutzer, die die HTTP-Version von Websites besuchen, sind immer in Gefahr.
Verhinderung solcher Angriffe in der Zukunft
Die Methoden zur Verhinderung von Angriffen lassen sich in zwei Teile unterteilen: Der erste Teil umfasst Maßnahmen, die Benutzer und Website-Administratoren ergreifen können, um ihre Sicherheit zu erhöhen, während der zweite sich mit der Identifizierung und rechtzeitigen Erkennung bösartiger Knoten im Netzwerk befasst.
Empfohlene Maßnahmen von Seiten der Websites:
1. Aktivierung von HTTPS (kostenlose Zertifikate werden bereitgestellt Let’s Encrypt)
2. Hinzufügen von Weiterleitungsregeln zur HTTPS-Everywhere-Liste, damit die Nutzer proaktiv eine sichere Verbindung herstellen können, anstatt sich auf eine Weiterleitung nach dem Herstellen einer ungesicherten Verbindung zu verlassen. Darüber hinaus kann die Verwaltung von Webdiensten, wenn sie die Interaktion mit Exit-Knoten vollständig vermeiden möchte, eine Onion-Version der Website bereitstellen..
Aktuell prüft das Tor-Projekt die vollständige Deaktivierung von ungesichertem HTTP im Tor-Browser. Vor einigen Jahren wäre eine solche Maßnahme undenkbar gewesen (zu viele Ressourcen verwendeten nur ungesichertes HTTP), aber mit HTTPS-Everywhere und der kommenden Version von Firefox gibt es eine experimentelle Möglichkeit, HTTPS standardmäßig für die erste Verbindung zu verwenden, mit der Möglichkeit, bei Bedarf zu HTTP zurückzukehren. Es ist immer noch unklar, wie ein solcher Ansatz die Nutzer des Tor-Browsers beeinflussen wird, daher wird er zuerst auf höheren Sicherheitsstufen des Browsers (Schild-Icon) getestet.
Von Seiten des Tor-Netzes gibt es Freiwillige, die das Verhalten von Relays überwachen und Vorfälle melden, wodurch bösartige Knoten von den Root-Katalogservern ausgeschlossen werden können. Obwohl solche Meldungen normalerweise schnell bearbeitet werden und bösartige Knoten umgehend nach Entdeckung abgeschaltet werden, gibt es nicht genug Ressourcen für eine ständige Überwachung des Netzwerks. Wenn Sie einen bösartigen Relay entdeckt haben – Sie können dies dem Projekt melden, Anweisungen sind über diesen Link verfügbar..
Der aktuelle Ansatz hat zwei grundlegende Probleme:
1. Es ist schwierig, die Bösartigkeit eines unbekannten Relays nachzuweisen. Wenn keine Angriffe von ihm beobachtet wurden, sollte man ihn dann behalten? Massive Angriffe, die viele Nutzer betreffen, lassen sich leichter erkennen, aber wenn die Angriffe nur eine kleine Anzahl von Websites und Nutzern betreffen, kann der Angreifer proaktiv handeln.Das Tor-Netzwerk selbst besteht aus Tausenden von Relays, die weltweit verteilt sind, und diese Vielfalt (und die daraus resultierende Dezentralisierung) ist eine seiner Stärken.
2. Es ist schwierig, die Verbindung zwischen einer Gruppe unbekannter Relays nachzuweisen (d.h. ob sie eine Sybil-Attacke durchführen).). Viele freiwillige Relay-Operatoren wählen dieselben günstigen Netzwerke für ihre Unterbringung, wie Hetzner, OVH, Online, Frantech, Leaseweb usw., und wenn mehrere neue Relays entdeckt werden, wird es schwierig sein zu vermuten, ob es mehrere neue Betreiber gibt oder nur einen, der alle neuen Relays verwaltet.
Quelle: linux.org.ru
