La esencia de lo que pasó.
En mayo de 2020, se descubrió que un grupo de nodos de salida interfería con las conexiones salientes. En particular, dejaron casi todas las conexiones intactas, pero interceptaron conexiones a una pequeña cantidad de intercambios de criptomonedas. Si los usuarios visitaban la versión HTTP del sitio (es decir, sin cifrar ni autenticar), se impedía que los hosts maliciosos redirigiran a la versión HTTPS (es decir, cifrada y autenticada). Si el usuario no se da cuenta de la sustitución (por ejemplo, la ausencia de un icono de candado en el navegador) y comienza a reenviar información importante, esta información podría ser interceptada por un atacante.
El proyecto Tor excluyó estos nodos de la red en mayo de 2020. En julio de 2020, se descubrió otro grupo de repetidores realizando un ataque similar, tras lo cual también fueron excluidos. Aún no está claro si algún usuario fue atacado con éxito, pero según la escala del ataque y el hecho de que el atacante lo intentó nuevamente (el primer ataque afectó el 23% del rendimiento total de los nodos de salida, el segundo aproximadamente el 19%), Es razonable suponer que el atacante consideró justificado el coste del ataque.
Este incidente es un buen recordatorio de que las solicitudes HTTP no están cifradas ni autenticadas y, por lo tanto, siguen siendo vulnerables. Tor Browser viene con una extensión HTTPS-Everywhere diseñada específicamente para prevenir este tipo de ataques, pero su efectividad se limita a una lista que no cubre todos los sitios web del mundo. Los usuarios siempre estarán en riesgo al visitar la versión HTTP de los sitios web.
Prevenir ataques similares en el futuro
Los métodos para prevenir ataques se dividen en dos partes: la primera incluye medidas que los usuarios y administradores del sitio pueden tomar para fortalecer su seguridad, mientras que la segunda se refiere a la identificación y detección oportuna de nodos de red maliciosos.
Acciones recomendadas por parte de los sitios:
1. Habilite HTTPS (los certificados gratuitos los proporciona Vamos a cifrar)
2. Agregue reglas de redireccionamiento a la lista HTTPS-Everywhere para que los usuarios puedan establecer proactivamente una conexión segura en lugar de depender del redireccionamiento después de establecer una conexión no segura. Además, si la administración de servicios web desea evitar por completo la interacción con los nodos de salida, puede proporcionar una versión cebolla del sitio.
Actualmente, el Proyecto Tor está considerando deshabilitar completamente el HTTP inseguro en el Navegador Tor. Hace unos años, tal medida habría sido impensable (demasiados recursos solo tenían HTTP no seguro), pero HTTPS-Everywhere y la próxima versión de Firefox tienen una opción experimental para usar HTTPS de forma predeterminada para la primera conexión, con la capacidad de recurra a HTTP si es necesario. Aún no está claro cómo afectará este enfoque a los usuarios del navegador Tor, por lo que se probará primero en niveles de seguridad más altos del navegador (icono de escudo).
La red Tor cuenta con voluntarios que monitorean el comportamiento de los retransmisores y reportan incidentes para que los nodos maliciosos puedan excluirse de los servidores del directorio raíz. Aunque estos informes generalmente se abordan rápidamente y los nodos maliciosos se desconectan inmediatamente después de su detección, no hay recursos suficientes para monitorear constantemente la red. Si logras detectar un relé malicioso, puedes reportarlo al proyecto, instrucciones disponible en este enlace.
El enfoque actual tiene dos problemas fundamentales:
1. Al considerar un relé desconocido, es difícil demostrar su malicia. Si no hubo ataques de su parte, ¿debería dejarlo en su lugar? Los ataques masivos que afectan a muchos usuarios son más fáciles de detectar, pero si los ataques afectan sólo a un pequeño número de sitios y usuarios, el atacante puede actuar de forma proactiva. La propia red Tor consta de miles de repetidores ubicados en todo el mundo, y esta diversidad (y la descentralización resultante) es uno de sus puntos fuertes.
2. Al considerar un grupo de repetidores desconocidos, es difícil probar su interconexión (es decir, si realizan El ataque de Sibila). Muchos operadores de retransmisiones voluntarias eligen alojar las mismas redes de bajo coste, como Hetzner, OVH, Online, Frantech, Leaseweb, etc., y si se descubren varias retransmisiones nuevas, no será fácil adivinar con seguridad si hay varias retransmisiones nuevas. operadores o sólo uno, controlando todos los nuevos repetidores.
Fuente: linux.org.ru