टोर सेक्युरिटी काउन्सिल रिपोर्ट: खराब निकास नोडहरू sslstrip प्रयोग गरियो।

जे भयो त्यसको सार

मे २०२० मा, एक्जिट नोडहरूको समूह बाहिर जाने जडानहरूमा हस्तक्षेप गर्ने फेला परेको थियो। विशेष गरी, तिनीहरूले लगभग सबै जडानहरू अक्षुण्ण छोडे, तर क्रिप्टोकरेन्सी एक्सचेन्जहरूको सानो संख्यामा जडानहरू रोके। यदि प्रयोगकर्ताहरूले साइटको HTTP संस्करण भ्रमण गरे (जस्तै, एन्क्रिप्टेड र अप्रमाणित), मालिसियस होस्टहरूलाई HTTPS संस्करणमा रिडिरेक्ट गर्नबाट रोकिएको थियो (अर्थात, इन्क्रिप्टेड र प्रमाणीकृत)। यदि प्रयोगकर्ताले प्रतिस्थापनलाई ध्यान दिएन (उदाहरणका लागि, ब्राउजरमा लक आइकनको अनुपस्थिति) र महत्त्वपूर्ण जानकारी फर्वार्ड गर्न थाल्यो भने, यो जानकारी आक्रमणकारीद्वारा रोक्न सकिन्छ।

टोर परियोजनाले मे २०२० मा नेटवर्कबाट यी नोडहरू हटायो। जुलाई २०२० मा, रिलेहरूको अर्को समूहले यस्तै आक्रमण गरेको फेला पारेको थियो, त्यसपछि तिनीहरूलाई पनि बहिष्कृत गरियो। यो अझै पनि स्पष्ट छैन कि कुनै पनि प्रयोगकर्ताहरूलाई सफलतापूर्वक आक्रमण गरिएको थियो, तर आक्रमणको मापन र आक्रमणकारीले फेरि प्रयास गरेको तथ्यको आधारमा (पहिलो आक्रमणले आउटपुट नोडहरूको कुल थ्रुपुटको 2020%, दोस्रो लगभग 2020%) लाई असर गर्यो। यो मान्न उचित छ कि आक्रमणकारीले आक्रमणको लागत जायज ठान्यो।

यो घटना एक राम्रो रिमाइन्डर हो कि HTTP अनुरोधहरू एन्क्रिप्टेड र अप्रमाणित छन् र त्यसैले अझै पनि कमजोर छन्। टोर ब्राउजर एक HTTPS-Everywhere एक्स्टेन्सनको साथ आउँदछ जुन विशेष गरी त्यस्ता आक्रमणहरूलाई रोक्नको लागि डिजाइन गरिएको हो, तर यसको प्रभावकारिता सूचीमा सीमित छ जसले विश्वको प्रत्येक वेबसाइटलाई कभर गर्दैन। वेबसाइटहरूको HTTP संस्करण भ्रमण गर्दा प्रयोगकर्ताहरू सधैं जोखिममा हुनेछन्।

भविष्यमा यस्तै आक्रमणहरू रोक्न

आक्रमणहरू रोक्नका लागि विधिहरूलाई दुई भागमा विभाजन गरिएको छ: पहिलोमा प्रयोगकर्ताहरू र साइट प्रशासकहरूले तिनीहरूको सुरक्षा बलियो बनाउन लिन सक्ने उपायहरू समावेश छन्, जबकि दोस्रोमा खराब नेटवर्क नोडहरूको पहिचान र समयमै पत्ता लगाउने चिन्ता छ।

साइटहरूको भागमा सिफारिस गरिएका कार्यहरू:

1. HTTPS सक्षम गर्नुहोस् (नि: शुल्क प्रमाणपत्रहरू द्वारा प्रदान गरिएको छ गुप्तिकरण गरौं)

2. HTTPS-Everywhere सूचीमा रिडिरेक्ट नियमहरू थप्नुहोस् ताकि प्रयोगकर्ताहरूले असुरक्षित जडान स्थापना गरेपछि पुनर्निर्देशनमा भर पर्नुको सट्टा सक्रिय रूपमा सुरक्षित जडान स्थापना गर्न सकून्। थप रूपमा, यदि वेब सेवा प्रशासनले निकास नोडहरूसँग अन्तरक्रियालाई पूर्ण रूपमा बेवास्ता गर्न चाहन्छ भने, यो गर्न सक्छ साइटको प्याज संस्करण प्रदान गर्नुहोस्.

टोर प्रोजेक्टले हाल टोर ब्राउजरमा असुरक्षित HTTP लाई पूर्ण रूपमा असक्षम गर्ने विचार गरिरहेको छ। केही वर्ष पहिले, यस्तो उपाय अकल्पनीय थियो (धेरै स्रोतहरू मात्र असुरक्षित HTTP थियो), तर HTTPS-Everywhere र Firefox को आगामी संस्करणमा पहिलो जडानको लागि पूर्वनिर्धारित रूपमा HTTPS प्रयोग गर्ने एक प्रयोगात्मक विकल्प छ, क्षमताको साथ। आवश्यक भएमा HTTP मा फर्कनुहोस्। यो अझै अस्पष्ट छ कि यो दृष्टिकोणले टोर ब्राउजर प्रयोगकर्ताहरूलाई कसरी असर गर्छ, त्यसैले यो पहिले ब्राउजरको उच्च सुरक्षा स्तरहरूमा परीक्षण गरिनेछ (शिल्ड आइकन)।

टोर नेटवर्कसँग रिले व्यवहार र रिपोर्टिङ घटनाहरू निगरानी गर्ने स्वयंसेवकहरू छन् ताकि मालिसियस नोडहरू रूट डाइरेक्टरी सर्भरहरूबाट बहिष्कार गर्न सकिन्छ। यद्यपि त्यस्ता रिपोर्टहरू सामान्यतया चाँडै सम्बोधन गरिन्छ र मालिसियस नोडहरू पत्ता लगाउँदा तुरुन्तै अफलाइन लिइन्छ, त्यहाँ नेटवर्कलाई निरन्तर निगरानी गर्न अपर्याप्त स्रोतहरू छन्। यदि तपाइँ खराब रिले पत्ता लगाउन प्रबन्ध गर्नुहुन्छ भने, तपाइँ यसलाई परियोजना, निर्देशनहरूमा रिपोर्ट गर्न सक्नुहुन्छ यो लिङ्कमा उपलब्ध छ.

वर्तमान दृष्टिकोणमा दुई आधारभूत समस्याहरू छन्:

1. अज्ञात रिले विचार गर्दा, यो यसको दुर्भावनापूर्णता प्रमाणित गर्न गाह्रो छ। यदि उहाँबाट कुनै आक्रमणहरू भएन भने, उहाँलाई ठाउँमा छोड्नु पर्छ? धेरै प्रयोगकर्ताहरूलाई असर गर्ने ठूलो आक्रमणहरू पत्ता लगाउन सजिलो हुन्छ, तर यदि आक्रमणहरूले थोरै संख्यामा साइटहरू र प्रयोगकर्ताहरूलाई मात्र असर गर्छ भने, आक्रमणकारी सक्रिय रूपमा कार्य गर्न सक्छ। टोर नेटवर्क आफैंमा विश्वभरि अवस्थित हजारौं रिलेहरू समावेश छन्, र यो विविधता (र परिणामस्वरूप विकेन्द्रीकरण) यसको बलहरू मध्ये एक हो।

2. अज्ञात पुनरावृत्तहरूको समूहलाई विचार गर्दा, तिनीहरूको अन्तरसम्बन्ध प्रमाणित गर्न गाह्रो हुन्छ (अर्थात, तिनीहरूले आचरण गर्छन् कि गर्दैनन्। सिबिलको आक्रमण)। धेरै स्वैच्छिक रिले अपरेटरहरूले होस्ट गर्न उही कम लागत नेटवर्कहरू छनौट गर्छन्, जस्तै Hetzner, OVH, Online, Frantech, Leaseweb, आदि, र यदि धेरै नयाँ रिलेहरू पत्ता लगाइयो भने, त्यहाँ धेरै नयाँ छन् कि छैनन् भनेर निश्चित रूपमा अनुमान गर्न सजिलो हुनेछैन। अपरेटरहरू वा केवल एक, सबै नयाँ पुनरावर्तकहरू नियन्त्रण गर्दै।

स्रोत: linux.org.ru