דוח מועצת הביטחון של Tor: צמתי יציאה זדוניים השתמשו ב-sslstrip.

המהות של מה שקרה

במאי 2020, התגלתה קבוצה של צמתי יציאה המפריעים לחיבורים היוצאים. בפרט, הם השאירו כמעט את כל החיבורים ללא פגע, אך יירטו חיבורים למספר קטן של בורסות מטבעות קריפטוגרפיים. אם משתמשים ביקרו בגרסת ה-HTTP של האתר (כלומר, לא מוצפן ולא מאומת), מארחים זדוניים נמנעו מלהפנות לגרסת ה-HTTPS (כלומר, מוצפן ומאומת). אם המשתמש לא הבחין בהחלפה (לדוגמה, היעדר סמל מנעול בדפדפן) והחל להעביר מידע חשוב, מידע זה עלול להיות מיירט על ידי התוקף.

פרויקט Tor הוציא את הצמתים הללו מהרשת במאי 2020. ביולי 2020, התגלתה קבוצה נוספת של ממסרים שמבצעת מתקפה דומה, ולאחר מכן גם הם לא נכללו. עדיין לא ברור אם משתמשים הותקפו בהצלחה, אך בהתבסס על היקף המתקפה והעובדה שהתוקף ניסה שוב (ההתקפה הראשונה השפיעה על 23% מסך התפוקה של צמתי היציאה, השנייה כ-19%), סביר להניח שהתוקף ראה את עלות המתקפה מוצדקת.

תקרית זו היא תזכורת טובה לכך שבקשות HTTP אינן מוצפנות ואינן מאומתות ולכן הן עדיין פגיעות. Tor Browser מגיע עם תוסף HTTPS-Everywhere שתוכנן במיוחד כדי למנוע התקפות כאלה, אך יעילותו מוגבלת לרשימה שאינה מכסה כל אתר בעולם. משתמשים תמיד יהיו בסיכון בעת ​​ביקור בגרסת ה-HTTP של אתרי אינטרנט.

מניעת התקפות דומות בעתיד

השיטות למניעת התקפות מתחלקות לשני חלקים: הראשון כולל אמצעים שמשתמשים ומנהלי אתרים יכולים לנקוט כדי לחזק את האבטחה שלהם, ואילו השני נוגע לזיהוי וזיהוי בזמן של צמתי רשת זדוניים.

פעולות מומלצות מצד אתרים:

1. הפעל HTTPS (אישורים בחינם מסופקים על ידי בואו להצפין)

2. הוסף כללי הפניה לרשימת HTTPS-Everywhere כך שמשתמשים יוכלו ליצור חיבור מאובטח באופן יזום במקום להסתמך על ניתוב מחדש לאחר יצירת חיבור לא מאובטח. בנוסף, אם הנהלת שירותי האינטרנט רוצה להימנע לחלוטין מאינטראקציה עם צמתי יציאה, היא יכולה לספק גרסת בצל של האתר.

פרויקט Tor שוקל כעת להשבית לחלוטין HTTP לא מאובטח בדפדפן Tor. לפני כמה שנים, מדד כזה לא היה מתקבל על הדעת (יותר מדי משאבים היו רק HTTP לא מאובטח), אבל ל-HTTPS-Everywhere ולגרסה הקרובה של Firefox יש אפשרות ניסיונית להשתמש ב-HTTPS כברירת מחדל עבור החיבור הראשון, עם היכולת לחזור ל-HTTP במידת הצורך. עדיין לא ברור כיצד גישה זו תשפיע על משתמשי Tor Browser, ולכן היא תיבדק תחילה ברמות אבטחה גבוהות יותר של הדפדפן (סמל מגן).

לרשת Tor יש מתנדבים שעוקבים אחר התנהגות ממסר ומדווחים על תקריות כך שניתן להוציא צמתים זדוניים משרתי ספריית השורש. למרות שדיווחים כאלה מטופלים בדרך כלל במהירות וצמתים זדוניים נלקחים לא מקוון מיד עם הזיהוי, אין מספיק משאבים לנטר כל הזמן את הרשת. אם תצליחו לזהות ממסר זדוני, תוכלו לדווח על כך לפרויקט, הוראות זמין בקישור הזה.

לגישה הנוכחית יש שתי בעיות יסוד:

1. כאשר בוחנים ממסר לא ידוע, קשה להוכיח את זדוניותו. אם לא היו התקפות ממנו, האם להשאירו במקומו? קל יותר לזהות התקפות מסיביות שמשפיעות על משתמשים רבים, אך אם התקפות משפיעות רק על מספר קטן של אתרים ומשתמשים, התוקף יכול לפעול באופן יזום. רשת Tor עצמה מורכבת מאלפי ממסרים הממוקמים ברחבי העולם, והמגוון הזה (והביזור הנובע מכך) הוא אחד מנקודות החוזק שלה.

2. כאשר בוחנים קבוצה של חוזרים לא ידועים, קשה להוכיח את הקשר ביניהם (כלומר, האם הם מנהלים ההתקפה של סיביל). מפעילי ממסר מרצון רבים בוחרים באותן רשתות בעלות נמוכה לארח, כגון Hetzner, OVH, Online, Frantech, Leaseweb וכו', ואם יתגלו מספר ממסרים חדשים, לא יהיה קל לנחש באופן סופי אם יש כמה חדשים מפעילים או רק אחד, השולט בכל המשחזרים החדשים.

מקור: linux.org.ru