Tor 보안 위원회 보고서: SSLStrip을 사용한 악성 종료 노드.

일어난 일의 본질

2020년 XNUMX월, 나가는 연결을 방해하는 출구 노드 그룹이 발견되었습니다. 특히 그들은 거의 모든 연결을 그대로 두었지만 소수의 암호화폐 거래소에 대한 연결을 차단했습니다. 사용자가 사이트의 HTTP 버전을 방문한 경우(즉, 암호화되지 않고 인증되지 않음) 악의적인 호스트가 HTTPS 버전(즉, 암호화되고 인증됨)으로 리디렉션되는 것이 방지되었습니다. 사용자가 대체(예: 브라우저에 자물쇠 아이콘 없음)를 인지하지 못하고 중요한 정보를 전달하기 시작한 경우 공격자가 이 정보를 가로챌 수 있습니다.

Tor 프로젝트는 2020년 2020월에 이러한 노드를 네트워크에서 제외했습니다. 23년 19월에 유사한 공격을 수행하는 또 다른 릴레이 그룹이 발견된 후 해당 노드도 제외되었습니다. 사용자가 공격에 성공했는지 여부는 아직 불분명하지만, 공격 규모와 공격자가 다시 시도했다는 사실을 바탕으로 볼 때(첫 번째 공격은 출력 노드 전체 처리량의 XNUMX%에 영향을 미쳤고, 두 번째 공격은 약 XNUMX%에 영향을 미쳤습니다) 공격자가 공격 비용이 정당하다고 생각했다고 가정하는 것이 합리적입니다.

이 사건은 HTTP 요청이 암호화되지 않고 인증되지 않았으므로 여전히 취약하다는 점을 상기시켜 줍니다. Tor 브라우저에는 이러한 공격을 방지하도록 특별히 설계된 HTTPS-Everywhere 확장 기능이 포함되어 있지만 그 효과는 전 세계 모든 웹 사이트를 포괄하지 않는 목록으로 제한됩니다. 사용자는 HTTP 버전의 웹사이트를 방문할 때 항상 위험에 노출됩니다.

향후 유사한 공격 방지

공격을 예방하는 방법은 두 부분으로 나누어집니다. 첫 번째는 사용자와 사이트 관리자가 보안을 강화하기 위해 취할 수 있는 조치를 포함하고, 두 번째는 악성 네트워크 노드를 식별하고 적시에 탐지하는 것과 관련됩니다.

사이트 측에서 권장하는 조치:

1. HTTPS를 활성화합니다(무료 인증서는 다음에서 제공됩니다). 암호화하자.)

2. 사용자가 안전하지 않은 연결을 설정한 후 리디렉션에 의존하는 대신 사전에 보안 연결을 설정할 수 있도록 HTTPS-Everywhere 목록에 리디렉션 규칙을 추가합니다. 또한 웹 서비스 관리가 종료 노드와의 상호 작용을 완전히 피하려는 경우 다음을 수행할 수 있습니다. 사이트의 양파 버전을 제공하세요.

Tor 프로젝트는 현재 Tor 브라우저에서 안전하지 않은 HTTP를 완전히 비활성화하는 것을 고려하고 있습니다. 몇 년 전만 해도 이러한 조치는 상상조차 할 수 없었을 것입니다(너무 많은 리소스에 보안되지 않은 HTTP만 포함됨). 그러나 HTTPS-Everywhere와 곧 출시될 Firefox 버전에는 첫 번째 연결에 대해 기본적으로 HTTPS를 사용하는 실험적 옵션이 있습니다. 필요한 경우 HTTP로 돌아갑니다. 이 접근 방식이 Tor 브라우저 사용자에게 어떤 영향을 미칠지는 아직 불분명하므로 브라우저(방패 아이콘)의 더 높은 보안 수준에서 먼저 테스트됩니다.

Tor 네트워크에는 악의적인 노드가 루트 디렉터리 서버에서 제외될 수 있도록 릴레이 동작을 모니터링하고 사건을 보고하는 자원 봉사자가 있습니다. 이러한 보고는 대개 신속하게 처리되고 악성 노드는 탐지 즉시 오프라인 상태가 되지만 네트워크를 지속적으로 모니터링하기에는 리소스가 부족합니다. 악성 릴레이를 탐지하는 데 성공하면 이를 프로젝트에 보고할 수 있습니다. 이 링크에서 사용 가능.

현재 접근 방식에는 두 가지 근본적인 문제가 있습니다.

1. 알려지지 않은 릴레이를 고려할 때 악의적임을 입증하기는 어렵습니다. 그 사람의 공격이 없었다면 그 자리에 그대로 놔둬야 할까요? 많은 사용자에게 영향을 미치는 대규모 공격은 탐지하기 쉽지만 공격이 소수의 사이트와 사용자에게만 영향을 미치는 경우에는 공격자가 선제적으로 행동할 수 있음. Tor 네트워크 자체는 전 세계에 위치한 수천 개의 릴레이로 구성되어 있으며 이러한 다양성(및 그에 따른 분산화)은 Tor 네트워크의 강점 중 하나입니다.

2. 알려지지 않은 중계기 그룹을 고려할 때 상호 연결(즉, 전도 여부)을 입증하기가 어렵습니다. 시빌의 공격). 많은 자발적 중계 사업자들은 Hetzner, OVH, Online, Frantech, Leaseweb 등 동일한 저가형 네트워크를 선택하여 호스팅하고 있으며, 새로운 중계가 여러 개 발견되면 새로운 중계가 여러 개 있는지 확실히 추측하기가 쉽지 않습니다. 또는 단 한 명의 운영자만이 모든 새로운 중계기를 제어할 수 있습니다.

출처 : linux.org.ru