L'essence de ce qui s'est passé
En mai 2020, un groupe de nœuds de sortie a été découvert interférant avec les connexions sortantes. En particulier, ils ont laissé intactes presque toutes les connexions, mais ont intercepté les connexions à un petit nombre d’échanges de crypto-monnaie. Si les utilisateurs visitaient la version HTTP du site (c'est-à-dire non chiffrée et non authentifiée), les hôtes malveillants étaient empêchés de rediriger vers la version HTTPS (c'est-à-dire chiffrée et authentifiée). Si l'utilisateur n'a pas remarqué la substitution (par exemple, l'absence d'icône de cadenas dans le navigateur) et a commencé à transmettre des informations importantes, ces informations pourraient être interceptées par un attaquant.
Le projet Tor a exclu ces nœuds du réseau en mai 2020. En juillet 2020, un autre groupe de relais a été découvert en train de mener une attaque similaire, après quoi ils ont également été exclus. Il n'est pas encore clair si des utilisateurs ont été attaqués avec succès, mais compte tenu de l'ampleur de l'attaque et du fait que l'attaquant a réessayé (la première attaque a affecté 23 % du débit total des nœuds de sortie, la seconde environ 19 %), il est raisonnable de supposer que l'attaquant a estimé que le coût de l'attaque était justifié.
Cet incident rappelle que les requêtes HTTP ne sont ni chiffrées ni authentifiées et sont donc toujours vulnérables. Tor Browser est livré avec une extension HTTPS-Everywhere spécialement conçue pour empêcher de telles attaques, mais son efficacité est limitée à une liste qui ne couvre pas tous les sites Web du monde. Les utilisateurs courront toujours des risques lorsqu’ils visiteront la version HTTP des sites Web.
Prévenir des attaques similaires à l’avenir
Les méthodes de prévention des attaques sont divisées en deux parties : la première comprend les mesures que les utilisateurs et les administrateurs de sites peuvent prendre pour renforcer leur sécurité, tandis que la seconde concerne l'identification et la détection rapide des nœuds de réseau malveillants.
Actions recommandées de la part des sites :
1. Activez HTTPS (des certificats gratuits sont fournis par Chiffrons)
2. Ajoutez des règles de redirection à la liste HTTPS-Everywhere afin que les utilisateurs puissent établir de manière proactive une connexion sécurisée plutôt que de compter sur la redirection après avoir établi une connexion non sécurisée. De plus, si l'administration des services Web souhaite éviter complètement toute interaction avec les nœuds de sortie, elle peut fournir une version oignon du site.
Le projet Tor envisage actuellement de désactiver complètement le HTTP non sécurisé dans le navigateur Tor. Il y a quelques années, une telle mesure aurait été impensable (trop de ressources n'avaient que du HTTP non sécurisé), mais HTTPS-Everywhere et la prochaine version de Firefox disposent d'une option expérimentale permettant d'utiliser HTTPS par défaut pour la première connexion, avec la possibilité de revenez à HTTP si nécessaire. On ne sait toujours pas comment cette approche affectera les utilisateurs du navigateur Tor, elle sera donc testée d'abord avec des niveaux de sécurité plus élevés du navigateur (icône de bouclier).
Le réseau Tor dispose de bénévoles qui surveillent le comportement des relais et signalent les incidents afin que les nœuds malveillants puissent être exclus des serveurs d'annuaire racine. Bien que ces rapports soient généralement traités rapidement et que les nœuds malveillants soient immédiatement mis hors ligne dès leur détection, les ressources sont insuffisantes pour surveiller en permanence le réseau. Si vous parvenez à détecter un relais malveillant, vous pouvez le signaler au projet, instructions disponible sur ce lien.
L’approche actuelle présente deux problèmes fondamentaux :
1. Lorsqu’on considère un relais inconnu, il est difficile de prouver sa malveillance. S’il n’y avait pas d’attaques de sa part, devrait-il rester en place ? Les attaques massives qui touchent de nombreux utilisateurs sont plus faciles à détecter, mais si les attaques ne touchent qu'un petit nombre de sites et d'utilisateurs, l'attaquant peut agir de manière proactive. Le réseau Tor lui-même est constitué de milliers de relais répartis à travers le monde, et cette diversité (et la décentralisation qui en résulte) est l’une de ses forces.
2. Lorsqu'on considère un groupe de répéteurs inconnus, il est difficile de prouver leur interconnexion (c'est-à-dire s'ils conduisent L'attaque de Sibylle). De nombreux opérateurs de relais volontaires choisissent les mêmes réseaux low-cost pour héberger, comme Hetzner, OVH, Online, Frantech, Leaseweb, etc., et si plusieurs nouveaux relais sont découverts, il ne sera pas facile de deviner avec certitude s'il existe plusieurs nouveaux relais. opérateurs ou un seul, contrôlant tous les nouveaux répéteurs.
Source: linux.org.ru