Tor Project bevestigt grootschalige aanval met malafide exitnodes
Wanneer: 16/08/2020 - 21:11
Tor Project bevestigt grootschalige aanval met malafide exitnodes
Er zijn veel activisten die deze rommel gebruiken.
Helaas vatten de meeste niet, dat dit zo werkt.
Kraak liever een wifi netwerk, of gebruik minstens een paar vpn's, afhankelijk van wat je van plan bent.
[edit: vanaf hier is dit copy/pasta van Security.nl]
Het Tor Project heeft de grootschalige aanval met malafide exitnodes bevestigd die onlangs in het nieuws kwam en onderzoekt of http volledig in Tor Browser moet worden uitgeschakeld om gebruikers te beschermen. Op het hoogtepunt van de aanval liep 23 procent van al het uitgaande Tor-verkeer via de malafide servers. Dagelijks maken zo'n 2,5 miljoen mensen gebruik van het Tor-netwerk om hun privacy te beschermen.
Het Tor-netwerk bestaat uit allerlei servers van vrijwilligers die het verkeer van Tor-gebruikers verwerken. Zo is de eerste server de entry guard, die het verzoek van de Tor-gebruiker naar de relay-node doorstuurt. Vervolgens gaat het van deze server naar de exitnode, die het verzoek naar het internet stuurt. De eigenaar van de exitnode kan het verkeer van de Tor-gebruiker zien, maar weet niet van wie het afkomstig is. In het geval van http-verkeer kan de exitnode-beheerder het verkeer ook aanpassen.
De aanval waar een beveiligingsonderzoeker begin deze week over berichtte maakte hiervan misbruik. De aanvaller verwijderde http-to-https redirects om toegang tot het onversleutelde http-verkeer te krijgen, zonder dat de gebruiker een certificaatwaarschuwing in Tor Browser te zien kreeg.
De meeste websites maken inmiddels gebruik van https. Wanneer de gebruiker in de adresbalk alleen de domeinnaam intikt zal de website via een http-to-https redirect de https-versie van de website laden. Bij de waargenomen aanval onderschepte de aanvaller deze redirect en plaatste zichzelf tussen de gebruiker en opgevraagde website.
De aanvaller zette vervolgens tussen hemzelf en de website een beveiligde verbinding op, maar stuurde de informatie via het onversleutelde http naar de Tor-gebruiker. Gebruikers hadden de aanval kunnen opmerken doordat er http en geen https in de adresbalk stond. Om niet al teveel op te vallen had de aanvaller het alleen op bepaalde websites voorzien. Het ging dan met name om crypto-gerelateerde websites, waaronder bitcoin-mixerdiensten. De aanvaller verving het bitcoinadres dat de gebruiker opgaf door zijn eigen bitcoinwallet.
De eerste reeks malafide Tor-exitnodes werden in mei door het Tor Project verwijderd. Deze exitnodes waren toen verantwoordelijk voor 23 procent van al het verkeer dat het Tor-netwerk verliet. In juni werd een tweede groep servers ontdekt die een zelfde aanval uitvoerden. Deze servers waren voor 19 procent van de exitnode-capaciteit verantwoordelijk.
Https en http
Volgens het Tor Project zijn er verschillende maatregelen om een dergelijke aanval te voorkomen. De eerste stap is dat websites https voor hun website inschakelen en ervoor zorgen dat ze een redirect voor hun website aan de HTTPS Everywhere-extensie toevoegen. Deze extensie is een standaardonderdeel van Tor Browser. HTTPS Everywhere zorgt ervoor dat de https-versie direct wordt geladen, in plaats van te worden doorgestuurd nadat er een onveilige verbinding is opgezet.
Aan de gebruikerskant kijkt het Tor Project of de ondersteuning van http in Tor Browser moet worden uitgeschakeld. Http-sites zijn dan niet meer te bezoeken. Een plan dat al in 2016 voor het eerst werd geopperd. Volgens de ontwikkelaars zou een dergelijke stap een aantal jaren geleden ondenkbaar zijn geweest, maar maakt een meerderheid van de websites inmiddels gebruik van https.
Toekomstige versies van zowel Firefox als HTTPS Everywhere zullen beschikken over experimentele features die htttps standaard als eerste zullen proberen, om vervolgens op http terug te vallen. Het is nog onduidelijk wat de impact van een dergelijke feature op Tor-gebruikers zal zijn. Het Tor Project kijkt daarom eerst of hogere beveiligingsniveaus via de Tor Security Slider een oplossing kunnen zijn.
Capaciteit
Aan de eigen kant laat het Tor Project weten dat het onvoldoende capaciteit heeft om het Tor-netwerk te monitoren en malafide servers te detecteren. Er zijn wel vrijwilligers die het netwerk in de gaten houden en malafide Tor-servers rapporteren, die vervolgens worden verwijderd. Om het netwerk nauwlettender te monitoren zette het Tor Project vorig jaar een "Network Health team" op. Dit team moest ervoor zorgen dat malafide servers sneller werden opgespoord.
Afgelopen april werd vanwege de economische situatie besloten om een derde van de Tor-organisatie te ontslaan, waardoor het personeel van het Network Health team naar andere onderdelen van de organisatie werd overgeplaatst. Daarom duurt het nu langer om bepaalde zaken op te pakken. Het Tor Project is echter van plan om het team weer operationeel te krijgen. Het doet dan ook een beroep op donateurs en sponsoren. Daarnaast is er een ontwerpvoorstel gepresenteerd om de totale invloed van "onbekende" Tor-servers te beperken.
Bron: https://www.security.nl/posting/667877/Tor+Project+bevestigt+grootschali...
"Er zijn veel activisten die deze rommel gebruiken. Helaas vatten de meeste niet, dat dit zo werkt. Kraak liever een wifi netwerk, of gebruik minstens een paar vpn's, afhankelijk van wat je van plan bent."
Dit is appels met peren vergelijken Met Tor worden de AFZENDERgegevens van je internetverkeer geanonimiseerd. Vergelijk het met een ansichtkaart met nep-afzenderdata. Normaal is dat niet mogelijk op internet, en ook niet met een gekraakte wifi of vpn, met Tor wel.
Als jij vervolgens in de INHOUD van je ansichtkaart/internetverkeer schrijft 'hallo mama het is mooi in mijn nieuwe huis in de spuistraat groetjes Sjon', ja dan weet iemand waar het bericht waarschijnlijk vandaan komt. Tor is simpelweg NIET bedoeld om berichtinhoud te versleutelen. Om de INHOUD van je internetverkeer te versleutelen gebruik je bijv. PGP, HTTPS (slotje in je browserbalk) of Signal. Als je anoniem wil blijven en de inhoud van je bericht bevat identificerende gegevens, dan moet je de inhoud versleutelen.
Tor is natuurlijk een interessant doelwit voor geheime diensten en andere criminelen omdat hun slachtoffers Tor gebruiken ter bescherming. Dus zetten ze een exitnode op en gaan ze vissen en kijken wat er langskomt en of ze dat kunnen kraken. Dat is hier gebeurd: geen aanval op Tor maar op HTTPS. Dat is niks nieuws en geen argument tegen Tor.
Je kan zeggen 'Tor krijgt mij teveel aandacht van criminelen, ik wil mijn verkeer daar niet overheen'. Dat kan ik me ergens wel voorstellen, maar kijk dan wel uit wat je doet. Een malafide VPN beheerder is veel gevaarlijker dan een malafide Tor exit node, want exit nodes wisselen tenminste nog. VPN is complexe techniek dus 'minstens een paar VPN's' gebruiken in de hoop dat je dan anoniem gaat heel makkelijk fout als je niet goed weet wat je doet. Tor is robuust en bewezen anoniem, VPNs aanelkaar knopen zeker niet. Een wifipunt kraken kan, maar kijk uit. Criminelen zouden zomaar een makkelijk kraakbaar wifipunt bij jou in de buurt neer kunnen zetten als je interessant bent net zoals dat ze nu gaan vissen op Tor.