Istota zdarzenia
W maju 2020 roku odkryto grupę wyjściowych węzłów, które ingerowały w wychodzące połączenia. W szczególności pozostawiały one nietknięte prawie wszystkie połączenia, ale przechwytywały połączenia z niewielką liczbą giełd kryptowalutowych. Gdy użytkownicy odwiedzali wersję strony w HTTP (tj. nieszyfrowaną i nieautoryzowaną), złośliwe węzły uniemożliwiały przekierowanie do wersji HTTPS (tj. szyfrowanej i autoryzowanej). Jeśli użytkownik nie zauważył zamiany (np. braku ikony kłódki w przeglądarce) i zaczął przesyłać ważne informacje, te mogły zostać przechwycone przez atakującego.
Projekt Tor wykluczył te węzły z sieci w maju 2020 roku. W lipcu 2020 roku odkryto kolejną grupę retransmiterów, przeprowadzających podobny atak, po czym także zostali wykluczeni. Do tej pory nie jest jasne, czy ktokolwiek z użytkowników został skutecznie zaatakowany, ale biorąc pod uwagę skalę ataku oraz fakt, że atakujący powtórzył próbę (pierwszy przypadek dotyczył 23% łącznej przepustowości wyjściowych węzłów, drugi — około 19%), rozsądnie jest przypuszczać, że przestępca uznał koszty ataku za uzasadnione.
Ten incydent jest dobrym przypomnieniem, że żądania HTTP są nieszyfrowane i nieautoryzowane, a zatem wciąż są narażone na ataki. Przeglądarka Tor zawiera rozszerzenie HTTPS-Everywhere, które ma na celu zapobieganie podobnym atakom, ale jego skuteczność jest ograniczona przez listę, która nie obejmuje wszystkich stron internetowych na świecie. Użytkownicy odwiedzający wersję HTTP stron zawsze będą w strefie zagrożenia.
Zapobieganie podobnym atakom w przyszłości
Metody zapobiegania atakom dzielą się na dwie części: pierwsza obejmuje działania, które mogą podjąć użytkownicy i administratorzy stron, wzmacniając swoje bezpieczeństwo, podczas gdy druga dotyczy identyfikacji i wczesnego wykrywania złośliwych węzłów w sieci.
Zalecane działania ze strony stron internetowych:
1. Włączenie HTTPS (bezpłatne certyfikaty zapewnia Let’s Encrypt)
2. Dodanie zasad przekierowania do listy HTTPS-Everywhere, aby użytkownicy mogli proaktywnie nawiązywać bezpieczne połączenie, zamiast polegać na przekierowaniu po nawiązaniu niechronionego połączenia. Ponadto, jeśli administracja usług internetowych chce całkowicie unikać interakcji z węzłami wyjściowymi, może udostępnić wersję onion strony.
Obecnie projekt Tor rozważa całkowite wyłączenie niechronionego HTTP w przeglądarce Tor. Kilka lat temu takie działania były nie do pomyślenia (zbyt wiele zasobów miało tylko niechronione HTTP), ale HTTPS-Everywhere i nadchodząca wersja Firefox mają eksperymentalną możliwość używania HTTPS domyślnie dla pierwszego połączenia, z możliwością powrotu do HTTP w razie potrzeby. Wciąż nie jest jasne, jak takie podejście wpłynie na użytkowników przeglądarki Tor, dlatego najpierw zostanie przetestowane na wyższych poziomach bezpieczeństwa przeglądarki (ikona tarczy).
Z sieci Tor są wolontariusze, którzy monitorują zachowanie retranslatorów i zgłaszają incydenty, dzięki czemu złośliwe węzły mogą być eliminowane przez serwery katalogowe. Choć takie raporty są zazwyczaj rozpatrywane szybko, a złośliwe węzły są dezaktywowane natychmiast po wykryciu, zasoby do stałego monitorowania sieci są niewystarczające. Jeśli udało ci się wykryć złośliwy retranslator - możesz zgłosić to projektowi, instrukcja jest dostępna pod tym linkiem.
Aktualne podejście ma dwa fundamentalne problemy:
1. Trudno jest udowodnić złośliwość nieznanego retranslatora. Jeśli nie zaobserwowano ataków z jego strony, czy należy go pozostawić na miejscu? Masowe ataki, które dotyczą wielu użytkowników, są łatwiejsze do wykrycia, ale jeśli ataki dotyczą tylko niewielkiej liczby stron internetowych i użytkowników, napastnik może działać prewencyjnie. Sama sieć Tor składa się z tysięcy retranslatorów rozmieszczonych na całym świecie, a ta różnorodność (i wynikająca z niej decentralizacja) jest jedną z jej mocnych stron.
2. Trudno jest udowodnić powiązania między grupą nieznanych retranslatorów (to znaczy, czy przeprowadzają one atak Sybilli)). Wielu dobrowolnych operatorów retranslatorów wybiera te same tanie sieci hostingowe, takie jak Hetzner, OVH, Online, Frantech, Leaseweb itd., a jeśli zostaną wykryci nowi retranslatorzy, trudno będzie jednoznacznie stwierdzić, czy pojawiło się kilku nowych operatorów, czy tylko jeden, zarządzający wszystkimi nowymi retranslatorami.
Źródło: linux.org.ru
