L'essenza di quello che è successo
Nel maggio 2020 è stato scoperto un gruppo di nodi di uscita che interferivano con le connessioni in uscita. In particolare, hanno lasciato intatte quasi tutte le connessioni, ma hanno intercettato quelle verso un piccolo numero di scambi di criptovalute. Se gli utenti visitavano la versione HTTP del sito (ovvero, non crittografata e non autenticata), agli host dannosi veniva impedito il reindirizzamento alla versione HTTPS (ovvero crittografata e autenticata). Se l'utente non si accorgesse della sostituzione (ad esempio dell'assenza dell'icona del lucchetto nel browser) e iniziasse a inoltrare informazioni importanti, tali informazioni potrebbero essere intercettate dall'aggressore.
Il progetto Tor ha escluso questi nodi dalla rete nel maggio 2020. Nel luglio 2020 è stato scoperto che un altro gruppo di relè stava effettuando un attacco simile, dopo di che sono stati anch'essi esclusi. Non è ancora chiaro se qualche utente sia stato attaccato con successo, ma in base alla portata dell'attacco e al fatto che l'aggressore ha riprovato (il primo attacco ha colpito il 23% del throughput totale dei nodi di output, il secondo circa il 19%), è ragionevole supporre che l'aggressore abbia considerato giustificato il costo dell'attacco.
Questo incidente è un buon promemoria del fatto che le richieste HTTP non sono crittografate e non autenticate e sono quindi ancora vulnerabili. Tor Browser è dotato di un'estensione HTTPS-Everywhere appositamente progettata per prevenire tali attacchi, ma la sua efficacia è limitata a un elenco che non copre tutti i siti Web del mondo. Gli utenti saranno sempre a rischio quando visitano la versione HTTP dei siti web.
Prevenire attacchi simili in futuro
I metodi di prevenzione degli attacchi si dividono in due parti: la prima comprende le misure che utenti e amministratori dei siti possono adottare per rafforzare la propria sicurezza, mentre la seconda riguarda l'identificazione e il rilevamento tempestivo dei nodi di rete dannosi.
Azioni consigliate da parte dei siti:
1. Abilita HTTPS (i certificati gratuiti sono forniti da Let's Encrypt)
2. Aggiungere regole di reindirizzamento all'elenco HTTPS-Everywhere in modo che gli utenti possano stabilire in modo proattivo una connessione sicura anziché fare affidamento sul reindirizzamento dopo aver stabilito una connessione non protetta. Inoltre, se l'amministrazione dei servizi web desidera evitare completamente l'interazione con i nodi di uscita, può farlo fornire una versione cipolla del sito.
Il progetto Tor sta attualmente valutando la possibilità di disabilitare completamente l'HTTP non sicuro nel browser Tor. Qualche anno fa, una misura del genere sarebbe stata impensabile (troppe risorse avevano solo HTTP non protetto), ma HTTPS-Everywhere e la prossima versione di Firefox hanno un'opzione sperimentale per utilizzare HTTPS per impostazione predefinita per la prima connessione, con la possibilità di ricorrere a HTTP se necessario. Non è ancora chiaro in che modo questo approccio influenzerà gli utenti di Tor Browser, quindi verrà testato prima ai livelli di sicurezza più elevati del browser (icona dello scudo).
La rete Tor dispone di volontari che monitorano il comportamento dell'inoltro e segnalano gli incidenti in modo che i nodi dannosi possano essere esclusi dai server della directory principale. Sebbene tali segnalazioni vengano solitamente affrontate rapidamente e i nodi dannosi vengano messi offline immediatamente dopo il rilevamento, non ci sono risorse sufficienti per monitorare costantemente la rete. Se riesci a rilevare un relè dannoso, puoi segnalarlo al progetto, istruzioni disponibile a questo link.
L’approccio attuale presenta due problemi fondamentali:
1. Quando si considera un relè sconosciuto, è difficile dimostrarne la malizia. Se non ci fossero stati attacchi da parte sua, sarebbe stato lasciato lì? Gli attacchi massicci che colpiscono molti utenti sono più facili da rilevare, ma se gli attacchi colpiscono solo un numero limitato di siti e utenti, l'aggressore può agire in modo proattivo. La stessa rete Tor è composta da migliaia di relè dislocati in tutto il mondo e questa diversità (e la conseguente decentralizzazione) è uno dei suoi punti di forza.
2. Quando si considera un gruppo di ripetitori sconosciuti, è difficile dimostrare la loro interconnessione (cioè se conducono L'attacco di Sibilla). Molti operatori ripetitori scelgono volontariamente le stesse reti a basso costo da ospitare, come Hetzner, OVH, Online, Frantech, Leaseweb, ecc., e se vengono scoperti diversi nuovi ripetitori, non sarà facile indovinare con certezza se ce ne sono diversi nuovi. operatori o uno solo, controllando tutti i nuovi ripetitori.
Fonte: linux.org.ru