La sostanza dell'accaduto
Nel maggio 2020 è stato scoperto un gruppo di nodi di uscita che interferiva con le connessioni in uscita. In particolare, lasciavano intatte quasi tutte le connessioni, ma intercettavano quelle verso un numero limitato di exchange di criptovalute. Se gli utenti visitavano la versione HTTP del sito (cioè non crittografata e non autenticata), i nodi maligni impedivano il reindirizzamento alla versione HTTPS (cioè crittografata e autenticata). Se l'utente non si accorgeva della sostituzione (ad esempio, l'assenza dell'icona del lucchetto nel browser) e iniziava a inviare informazioni sensibili, queste informazioni potevano essere intercettate dall'attaccante.
Il progetto Tor ha escluso questi nodi dalla rete nel maggio 2020. A luglio 2020 è stato scoperto un altro gruppo di relay che attuava un attacco simile, dopo di che sono stati esclusi anche essi. Non è ancora chiaro se siano stati attaccati con successo degli utenti, ma alla luce dell'ampiezza dell'attacco e del fatto che l'attaccante ha ripetuto l'assalto (il primo caso ha coinvolto il 23% della capacità totale di banda dei nodi di uscita, il secondo circa il 19%), è ragionevole supporre che il malintenzionato abbia ritenuto giustificabili i costi dell'attacco.
Questo episodio è un buon promemoria che le richieste HTTP non sono crittografate e non sono autentiche e quindi sono ancora vulnerabili. Tor Browser fornisce un'estensione HTTPS-Everywhere, progettata specificamente per prevenire attacchi simili, ma la sua efficacia è limitata da un elenco che non copre tutti i siti web nel mondo. Gli utenti che visitano versioni HTTP dei siti saranno sempre a rischio.
Prevenire attacchi simili in futuro
Le modalità di prevenzione degli attacchi si suddividono in due parti: la prima include le misure che utenti e amministratori di siti web possono adottare per aumentare la propria sicurezza, mentre la seconda riguarda l'identificazione e la rapida scoperta di nodi maligni sulla rete.
Azioni raccomandate per i siti web:
1. Attivazione di HTTPS (certificati gratuiti forniti da Let’s Encrypt)
2. Aggiunta di regole di reindirizzamento nell'elenco di HTTPS-Everywhere, affinché gli utenti possano stabilire preventivamente una connessione sicura, anziché fare affidamento sul reindirizzamento dopo aver stabilito una connessione non protetta. Inoltre, se l'amministrazione del servizio web desidera evitare completamente l'interazione con i nodi di uscita, può fornire una versione onion del sito..
Attualmente, il progetto Tor sta considerando di disabilitare completamente l'HTTP non protetto in Tor Browser. Qualche anno fa, una tale misura era impensabile (troppi servizi disponevano solo di HTTP non protetto), ma HTTPS-Everywhere e la prossima versione di Firefox hanno una funzionalità sperimentale per utilizzare HTTPS di default per la prima connessione, con la possibilità di tornare a HTTP se necessario. Non è ancora chiaro come tale approccio influenzerà gli utenti di Tor Browser, quindi sarà provato inizialmente a livelli di sicurezza più elevati (icona scudo).
Dal lato della rete Tor, ci sono volontari che monitorano il comportamento dei relay e segnalano incidenti, consentendo così l'esclusione di nodi maligni da parte dei server radice dei directory. Anche se tali segnalazioni vengono solitamente trattate rapidamente e i nodi maligni vengono disattivati subito dopo la scoperta, le risorse per il monitoraggio continuo della rete sono insufficienti. Se riesci a scoprire un relay maligno, puoi segnalare il fatto al progetto, le istruzioni sono disponibili a questo link..
L'attuale approccio presenta due problematiche fondamentali:
1. Nella valutazione di un relay sconosciuto è difficile dimostrare la sua malignità. Se non sono state osservate attacchi da parte sua, dovrebbe restare? Attacchi di massa che colpiscono molti utenti sono più facili da individuare, ma se gli attacchi interessano solo un numero limitato di siti e utenti, l'attaccante potrebbe agire in modo proattivo.La rete Tor è composta da migliaia di relay situati in tutto il mondo, e tale varietà (e la conseguente decentralizzazione) è uno dei suoi punti di forza.
2. Nella valutazione di un gruppo di relay sconosciuti è difficile dimostrare la loro interconnessione (cioè, se stanno attuando un attacco Sybil). Molti operatori volontari di relay scelgono le stesse reti a basso costo per l'hosting, come Hetzner, OVH, Online, Frantech, Leaseweb, ecc., e se vengono scoperti diversi nuovi relay, sarà difficile ipotizzare in modo univoco se si sono manifestati nuovi operatori o se solo uno sta gestendo tutti i nuovi relay.). Molti operatori di relay volontari scelgono le stesse reti economiche per l'hosting, come Hetzner, OVH, Online, Frantech, Leaseweb, ecc., e se vengono rilevati più nuovi relay, sarà difficile determinare chiaramente se siano emersi più nuovi operatori o solo uno che gestisce tutti i nuovi relay.
Fonte: linux.org.ru
