Free Press

A Medium nevű, mindenki számára elérhető blogoldalon a hét elején megjelent cikk ijesztő címlapokra került.

Független kutatási cikkként írta egy csak nusenu néven futó szerző, a cikk címe:

How Malicious Tor Relays are Exploiting Users in 2020 (Part I)

23% of the Tor network’s exit capacity has been attacking Tor users

Loosly speaking, that strapline implies that if you visit a website using Tor, typically in the hope of the remain anonymous and keeping away from unwanted surveillance, censorship or even just plain old web tracking for marketing purposes…

…akkor minden negyedik látogatásból egy (talán több!) ki lesz téve a kiberbűnözők célzott vizsgálatának.

Ez több mint aggasztóan hangzik – úgy hangzik, mintha a Tor használatával még kevésbé lennél biztonságban, mint amilyenben eddig is voltál, és ezért fontos lépés lenne visszatérni a hagyományos böngészőhöz.

Nézzük meg gyorsan, hogyan működik a Tor, hogyan élhetnek vissza vele a csalók (és a cenzúrára és megfigyelésre vonatkozó szigorú szabályokkal rendelkező országok), és mennyire ijesztő a fent említett főcím.

A Tor-hálózat (a Tor az onion router rövidítése, olyan okokból, amelyek egy pillanat múlva nyilvánvalóvá válnak, ha elképzelsz egy hagymát, ami hámozás közben szétesik), amelyet eredetileg az amerikai haditengerészet tervezett, célja:

1. A böngészés közbeni valódi helyzeted elrejtése a hálózaton, hogy a szerverek ne tudják, hol vagy.
2. Megnehezíteni, hogy bárki “össze tudja kötni a pontokat” azáltal, hogy a webböngészési kéréseidet visszavezeti a számítógépedhez.

Ezen a ponton talán azt gondolod: “De a VPN pontosan ezt teszi, és nem csak a böngészésemre, hanem mindenre, amit online csinálok.”

De ez nem így van.

A VPN (virtuális magánhálózat) titkosítja az összes hálózati forgalmat, és titkosítva továbbítja azt egy, a VPN-szolgáltatója által üzemeltetett VPN-kiszolgálóra, ahol azt visszafejtik és “befecskendezik” az internetre, mintha attól a VPN-kiszolgálótól származna.

A hálózati válaszokat tehát a VPN-szolgáltató fogadja az Ön nevében, és titkosított formában továbbítja vissza Önnek.

A számítógépek közötti titkosított kapcsolatot VPN-alagútnak nevezik, és elméletileg láthatatlan, vagy legalábbis nem szaglászható mások számára az interneten.

A VPN tehát, mint láthatja, a fent felsorolt első problémával foglalkozik: az Ön valódi helyének elrejtésével a hálózaton.

A VPN azonban nem foglalkozik a második problémával, nevezetesen azzal, hogy bárki számára megnehezíti a “pontok összekapcsolását”.

A VPN persze megnehezíti a legtöbb ember számára a pontok összekapcsolását, de nem akadályoz meg mindenkit abban, hogy ezt tegye, azon egyszerű oknál fogva, hogy a VPN szolgáltató mindig tudja, honnan jönnek a kérései, hová mennek, és végül milyen adatokat küld és fogad.

A VPN-szolgáltatója így lényegében az új internetszolgáltatójává válik, és ugyanolyan mértékű rálátása van az online életére, mint egy hagyományos internetszolgáltatónak.

Miért ne használjon két VPN-t?

Ebben a pillanatban valószínűleg arra gondol, hogy “Miért ne használjon két VPN-t egymás után?”. Szaknyelven szólva, miért nem építünk egy alagutat az alagútban?

Titkosítaná a hálózati forgalmat, hogy a VPN2 visszafejtse, majd újra titkosítaná, hogy a VPN1 visszafejtse, és elküldje a VPN1-nek.

A VPN1 tehát tudná, honnan jött a forgalma, a VPN2 pedig tudná, hová tart, de hacsak a két szolgáltató nem működik együtt, mindketten csak a történet felét tudnák.

Egyfajta “oszd meg és uralkodj” megközelítéssel elméletileg mindkét fenti célt teljesítenéd, mert bárki, aki vissza akarná követni a nyomodat, először a VPN2-től kellene megkapnia a dekódolt forgalmi naplókat, majd a VPN1-től a felhasználónév adatait, mielőtt elkezdené “összekötni a pontokat”.

Miért állnál meg kettőnél?

Amint elképzelheti, még két VPN használatával sem lehet teljesen biztonságban.

Először is, ha mindig ugyanazt a két VPN-t használja, a kapcsolatainak nyilvánvaló mintája van, és ezért következetes a nyomvonal, amelyet egy nyomozó (vagy egy csaló) követhet, hogy megpróbálja visszavezetni Önt.

Mindamellett, hogy a forgalma bonyolult útvonalat követ, mégis minden alkalommal ugyanazt az útvonalat választja, így egy bűnözőnek (vagy egy rendőrnek) megéri az időt és az erőfeszítést, hogy visszafelé haladva mindkét VPN-rétegen keresztül dolgozzon, még akkor is, ha ez kétszer annyi hackelést vagy kétszer annyi házkutatási parancsot jelent.

Másrészt mindig fennáll annak a lehetősége, hogy az Ön által választott két VPN szolgáltató végső soron ugyanazon vállalat tulajdonában van vagy ugyanazon vállalat üzemeltetésében van.

Más szóval, a két VPN közötti technikai, fizikai és jogi elkülönülés nem biztos, hogy olyan jelentős, mint amire számítana – olyannyira, hogy talán egyáltalán nem is kell összejátszaniuk ahhoz, hogy visszakövethessék Önt.

Azért miért ne használjon három VPN-t, és középen legyen egy, amelyik nem tudja, hogy ki Ön, és azt sem, hogy végül hová megy?

És miért ne váltogatnád ezeket a VPN-eket rendszeresen, hogy még több keveredést és rejtélyt adj az egyenlethez?

Nos, nagyon leegyszerűsítve, a Tor nagyjából így működik.

A számítógépek egy csoportja, amelyet önkéntesek ajánlanak fel világszerte, anonimizáló relékként szolgálnak, és lényegében egy véletlenszerű, több csatornás “keveredést és rejtélyt” biztosító VPN-t biztosítanak a Tor hálózaton keresztül böngésző emberek számára.

Az elmúlt év nagy részében a Tor-hálózat rendelkezésére álló relék száma 6000 és 7000 között ingadozott, és minden felállított Tor-áramkör három relét használ, nagyrészt véletlenszerűen, egyfajta háromcsatornás VPN-t alkotva.

A számítógép választja ki, hogy melyik relét használja, nem maga a hálózat, így valóban sok, folyamatosan változó keverés és rejtély van a forgalom Tor-hálózaton való át- és visszaáramlásában.

A számítógéped lekérdezi a nyilvános titkosítási kulcsokat az általa létrehozott áramkör minden egyes reléjéhez, majd három hagyma-szerű titkosítási réteggel összekeveri az általad küldött adatokat, így az áramkör minden egyes ugrásánál az aktuális relé csak a legkülső titkosítási réteget tudja eltávolítani, mielőtt átadná az adatokat a következőnek.

Az 1-es relé tudja, hogy ki vagy, de azt nem, hogy hová mész, vagy mit akarsz mondani.

A 3-as relé tudja, hogy hová mész, de azt nem, hogy ki vagy.

A 2-es relé úgy tartja távol egymástól a másik két relét, hogy nem tudja sem azt, hogy ki vagy, sem azt, hogy hová mész, így az 1-es és 3-as relé számára sokkal nehezebbé válik az összejátszás, még ha szándékukban is állna.

Ez nem egészen ilyen véletlenszerű

A fenti ábrán észre fogod venni, hogy a középen lévő zöld vonal jelöli az őröknek, vagy teljes nevén belépési őröknek nevezett speciális Tor reléket, amelyek a működő reléknek a 3 relés áramkör első ugrására alkalmasnak ítélt részhalmazát jelentik.

(Technikai okokból a Tor valójában ugyanazt a belépési őrzőt használja az összes kapcsolatodhoz körülbelül két hónapig egyszerre, ami némileg csökkenti a véletlenszerűséget a Tor-áramkörökben, de ezt a részletet itt most hagyjuk figyelmen kívül.)

Hasonlóképpen, a narancssárga vonal alul jelöli a kilépési csomópontokat, vagy teljes nevén a kilépési csomópontokat, amelyek olyan relék, amelyeket elég megbízhatónak ítélnek ahhoz, hogy az áramkör utolsó ugrásaként válasszanak ki.

Megjegyezzük, hogy itt csak körülbelül 1000 kilépési csomópont aktív bármikor, a 6000-7000 reléből, ami összesen rendelkezésre áll.

Valószínűleg látod, hogy ez hova vezet.

Noha a Tor kilépő csomópontjai nem tudják megmondani, hogy hol vagy, hála a belépő őr és a középső relé anonimizáló hatásának (ami gyakran változik), látják a végső, dekódolt forgalmadat és annak végső célját, mivel a kilépő csomópont az, amely lecsupaszítja a Tor utolsó rétegét a vegyes és titokzatos titkosításnak.

(Amikor a Toron keresztül hagyományos weboldalakat böngészel, a hálózatnak nincs más választása, mint hogy a nyers, eredeti, dekódolt adataidat az utolsó internetes útra kiadja, különben az általad meglátogatott oldal nem tudna értelmet adni az adatoknak.)

Más szóval, ha a Tor segítségével egy nem HTTPS (titkosítatlan) weboldalon böngészik, akkor a forgalmat kezelő Tor kilépő csomópont nemcsak a kimenő webes kéréseket szaglászhatja és módosíthatja, hanem a visszaérkező válaszokat is összezavarhatja.

És mivel átlagosan csak 1000 kilépési csomópont áll rendelkezésre, egy csalónak, aki a kilépések jelentős százaléka felett akarja megszerezni az irányítást, nem kell több ezer vagy tízezer szervert felállítania – néhány száz is elég lesz.

És ez a fajta beavatkozás az, amit nusenu állítása szerint a Tor-hálózatban olyan mértékben észlelt, ami néha a rendelkezésre álló kilépési csomópontok negyedét is érintette.

Pontosabban, Nusenu azt állítja, hogy 2020 folyamán időnként több száz Tor relét állítottak fel a “kilépő csomópontok” listáján bűnözői szándékú önkéntesek hátsó szándékkal:

A műveletek teljes terjedelme ismeretlen, de az egyik motiváció egyszerűnek és világosnak tűnik: a profit. A Tor-felhasználók elleni person-in-the-middle támadásokat hajtanak végre azáltal, hogy manipulálják a forgalmat, miközben az a kilépő reléjükön keresztül áramlik. Úgy tűnik, hogy elsősorban a kriptovalutával kapcsolatos weboldalakra – nevezetesen több bitcoin-keverő szolgáltatásra – vadásznak. A HTTP-forgalomban kicserélték a bitcoin-címeket, hogy a tranzakciókat a felhasználó által megadott bitcoin-cím helyett a saját tárcájukba irányítsák át. A bitcoin-címek átírását célzó támadások nem újak, de a működésük mértéke igen. Nem lehet megállapítani, hogy más típusú támadásokat is folytatnak-e.

Egyszerűen fogalmazva, Nusenu azt állítja, hogy ezek a csalók arra várnak, hogy kihasználják azokat a kriptopénz-felhasználókat, akik azt hiszik, hogy a Tor önmagában elég az anonimitásuk és az adataik védelméhez, és akik ezért a Toron keresztül böngésznek, de nem ügyelnek arra, hogy az általuk beírt új URL-ek elejére https://-t írjanak
.

A HTTTP károsnak tekinthető

Jobb híján sokszor figyelmen kívül hagyhatja a https://-t, amikor URL-címeket ír be a böngészőjébe, és akkor is egy HTTPS-oldalon fog landolni, titkosítva és lakattal védve.

Gyakran előfordul, hogy a kiszolgáló a másik oldalon a HTTP-kérésre egy olyan válasszal reagál, hogy “Mostantól kezdve kérjük, ne használja többé a sima régi HTTP-t”, és a böngészője ezt megjegyzi, és automatikusan frissíti az összes jövőbeli kapcsolatot az adott webhelyhez, hogy azok HTTPS-t használjanak.

Ezek a “soha többé ne használjon HTTP-t” válaszok megvalósítják az úgynevezett HSTS-t, ami a HTTP Strict Transport Security rövidítése, és elvileg megvédik Önt a szimatolástól és a forgalom manipulálásától, még akkor is, ha soha nem gondolkodik rajta.

De van egy tyúk-tojás probléma, nevezetesen, hogy ha a csalók elfogják a legelső nem HTTPS kapcsolatodat egy olyan weboldalhoz, amelyet valójában csak HTTPS-en keresztül kellene elérned, mielőtt a “nincs több HTTPS” üzenet eljutna hozzád, akkor képesek lehetnek:

• Továbbra is HTTP-t beszélsz a csapdába esett kilépési csomóponthoz, miközben HTTPS-t beszélsz tovább a végső célállomás felé. Ezáltal a végső webhely azt hiszi, hogy biztonságosan kommunikálsz, de nem veszed észre, hogy a cél webhely azt akarja, hogy HTTPS-ről beszélj.
• Átírják a végső cél webhelytől érkező válaszokat, hogy a HTTPS linkeket HTTP-vel helyettesítsék. Ez megakadályozza, hogy a böngésző a tranzakció későbbi szakaszában HTTPS-re frissítsen, így Ön továbbra is a sima régi HTTP-nél marad.

Mit tegyen?

Íme néhány tipp:

• Ne felejtse el beírni az URL elején a https://-t! Történelmi okokból a böngészők még mindig HTTP-t használnak alapértelmezésként, amíg jobbat nem tudnak, ezért minél hamarabb látogat meg egy webhelyet úgy, hogy kifejezetten https://-t ír be az URL elején, annál hamarabb védi magát azzal, hogy nyilvánvalóvá teszi szándékát.
• Ha webhelyet üzemeltet, mindig használja a HSTS-t, hogy legközelebb ne HTTP-t használjanak a látogatók.
• Ha olyan webhelyet üzemeltet, ahol az adatvédelem és a biztonság nem képezi vita tárgyát, fontolja meg, hogy kérelmezze webhelyének felvételét a HSTS Preload listára. Ez azoknak a webhelyeknek a listája, amelyek esetében minden nagyobb böngésző mindig HTTPS-t fog használni, bármit is ír az URL-cím.
• Ha a böngészője támogatja, vagy van egy bővítménye ennek kikényszerítésére, fontolja meg a HTTP-támogatás teljes kikapcsolását. A Firefoxnak például most már van egy nem alapértelmezett konfigurációs funkciója dom.security.https_only_mode. Egyes régebbi webhelyek esetleg nem működnek megfelelően ezzel a beállítással, de ha komolyan gondolja a biztonságot, próbálja ki!

HOW TO ENABLE HTTPS-ONLY MODE IN FIREFOX 79

(Sajnos a Firefox “HTTPS-only” opciója még nem érhető el a Tor böngészőben, amely még egy Extended Support Release verziót használ, ahol ez a funkció még nem jelent meg.)