Free Press

Artykuł opublikowany na otwartej dla wszystkich witrynie blogowej Medium na początku tego tygodnia spowodował kilka przerażających nagłówków.

Napisany jako niezależne badania przez autora posługującego się tylko pseudonimem nusenu, artykuł został opatrzony nagłówkiem:

How Malicious Tor Relays are Exploiting Users in 2020 (Part I)

23% pojemności wyjściowej sieci Tor zostało zaatakowanych przez użytkowników sieci Tor

Luźno mówiąc, ten strapline sugeruje, że jeśli odwiedzasz stronę internetową przy użyciu sieci Tor, zazwyczaj w nadziei na zachowanie anonimowości i trzymanie się z dala od niechcianej inwigilacji, cenzury lub nawet zwykłego starego śledzenia sieci w celach marketingowych….

…wtedy jedna na cztery z tych wizyt (być może więcej!) będzie podlegać celowej kontroli cyberprzestępców.

To brzmi więcej niż tylko niepokojąco – to sprawia, że brzmi to tak, jakby używanie Tor mogło uczynić cię jeszcze mniej bezpiecznym niż już jesteś, i dlatego powrót do zwykłej przeglądarki do wszystkiego może być ważnym krokiem.

Spójrzmy więc szybko na to, jak działa Tor, jak oszuści (i kraje z surowymi przepisami dotyczącymi cenzury i nadzoru) mogą go nadużywać, i jak bardzo przerażający jest wspomniany wyżej nagłówek.

Sieć Tor (Tor to skrót od onion router, z powodów, które będą oczywiste za chwilę, jeśli wyobrazisz sobie cebulę rozpadającą się jak ją obierasz), która została pierwotnie zaprojektowana przez Marynarkę Wojenną Stanów Zjednoczonych, ma na celu:

1. Ukrycie twojej prawdziwej lokalizacji w sieci podczas przeglądania, więc serwery nie wiedzą gdzie jesteś.
2. Utrudnić komukolwiek „połączenie kropek” poprzez śledzenie Twoich żądań przeglądania sieci z powrotem do Twojego komputera.

W tym momencie możesz pomyśleć: „Ale to jest dokładnie to, co VPN robi, i nie tylko dla mojego przeglądania, ale dla wszystkiego, co robię online.”

Ale tak nie jest.

A VPN (virtual private network) encrypts all your network traffic and relays it in scrambled form to a VPN server run by your VPN provider, where it’s unscrambled and „injected” on the internet as if it originated from that VPN server.

Any network replies are therefore received by your VPN provider on your behalf, and delivered back to you in encrypted form.

The encrypted connection between your computer is dubbed a VPN tunnel, and is, in theory, invisible to, or at least unsnoopable by, other people online.

So, as you can see, a VPN deals with the first issue listed above: disguising your true location on the network.

But a VPN doesn’t deal with the second issue, namely making it difficult for anyone to „join the dots”.

Sure, a VPN makes it difficult for most people to join the dots, but it doesn’t prevent everyone from doing do, for the simple reason that the VPN provider always knows where your requests come from, where they’re going, and what data you ultimately send and receive.

Your VPN provider therefore essentially becomes your new ISP, with the same degree of visibility into your online life that a regular ISP has.

Why not use two VPNs?

At this point, you’re probably thinking, „Why not use two VPNs in sequence? In jargon terms, why not build a tunnel-inside-a-tunnel?

You’d encrypt your network traffic for VPN2 to decrypt, then encrypt it again for VPN1 to decrypt, and send it off to VPN1.

So VPN1 would know where your traffic came from and VPN2 would know where it was going, but unless the two providers colluded they’d each know only half the story.

W teorii, spełniłbyś oba powyższe cele, stosując podejście typu „dziel i zwyciężaj”, ponieważ każdy, kto chciałby Cię namierzyć, musiałby najpierw uzyskać odszyfrowane logi ruchu z VPN2, a następnie uzyskać szczegóły dotyczące nazwy użytkownika z VPN1, zanim mógłby zacząć „łączyć kropki”.

Dlaczego poprzestać na dwóch?

As you can imagine, even using two VPNs, you’re not totally home and dry.

Firstly, by using the same two VPNs every time, there is an obvious pattern to your connections, and therefore a consistency in the trail that an investigator (or a crook) could follow to try to trace you back.

Dla wszystkich, że Twój ruch podąża skomplikowaną trasą, niemniej jednak przyjmuje tę samą trasę za każdym razem, więc może być warte czasu i wysiłku dla przestępcy (lub policjanta), aby pracować wstecz przez obie warstwy VPN, nawet jeśli oznacza to podwójną ilość hakowania lub dwa razy więcej nakazów.

Po drugie, zawsze istnieje możliwość, że dwaj dostawcy VPN, których wybierzesz, mogą ostatecznie być własnością lub być obsługiwani przez tę samą firmę.

Innymi słowy, techniczna, fizyczna i prawna separacja między dwoma VPN-ami może nie być tak znacząca, jak mógłbyś się spodziewać – do tego stopnia, że mogą nawet nie potrzebować zmowy, aby Cię śledzić.

So why not use three VPNs, with one in middle that knows neither who you are nor where you’re ultimately going?

A dlaczego nie posiekać i nie zmieniać tych VPN-ów regularnie, aby dodać jeszcze więcej mieszania i tajemnic do równania?

Cóż, bardzo upraszczając, tak właśnie działa Tor.

Pula komputerów, oferowanych przez wolontariuszy na całym świecie, działa jako anonimowe przekaźniki, aby zapewnić to, co jest zasadniczo losową, wielotunelową „mieszanką i tajemnicą” VPN dla ludzi, którzy przeglądają strony za pośrednictwem sieci Tor.

Przez większość ostatniego roku całkowita liczba przekaźników dostępnych dla sieci Tor wahała się między około 6000 a 7000, z każdym obwodem Tor, który jest ustawiony przy użyciu trzech przekaźników, w dużej mierze losowo, aby utworzyć coś w rodzaju trzy-tunelowej sieci VPN.

Twój komputer wybiera, które przekaźniki użyć, a nie sama sieć, więc rzeczywiście jest dużo ciągle zmieniającego się mix-and-mystery zaangażowanego w odbijanie ruchu przez sieć Tor i z powrotem.

Twój komputer pobiera publiczne klucze szyfrujące dla każdego z przekaźników w obwodzie, który tworzy, a następnie szyfruje dane, które wysyłasz używając trzech cebulowych warstw szyfrowania, tak, że przy każdym skoku w obwodzie, aktualny przekaźnik może tylko zdjąć najbardziej zewnętrzną warstwę szyfrowania przed przekazaniem danych do następnego.

Przekaźnik 1 wie, kim jesteś, ale nie wie, dokąd idziesz ani co chcesz powiedzieć.

Przekaźnik 3 wie, dokąd idziesz, ale nie wie, kim jesteś.

Przekaźnik 2 utrzymuje pozostałe dwa przekaźniki z dala od siebie, nie wiedząc ani kim jesteś, ani dokąd idziesz, co znacznie utrudnia przekaźnikom 1 i 3 zmowę, nawet jeśli są do tego skłonne.

To nie jest całkiem takie losowe

Na powyższym wykresie zauważysz, że zielona linia w środku oznacza specjalne przekaźniki Tor znane jako strażnicy, lub w pełni strażnicy wejścia, które są podzbiorem pracujących przekaźników uznanych za odpowiednie dla pierwszego skoku w obwodzie 3-przekaźnikowym.

(Z powodów technicznych, Tor faktycznie używa tego samego strażnika wejścia dla wszystkich twoich połączeń przez około dwa miesiące, co zmniejsza losowość w twoich obwodach Tor, ale zignorujemy ten szczegół tutaj.)

Podobnie, pomarańczowa linia na dole oznacza wyjścia, lub węzły wyjściowe w całości, które są przekaźnikami, które są uważane za wystarczająco wiarygodne, aby być wybrane na ostatni skok w obwodzie.

Zauważ, że tutaj jest tylko około 1000 węzłów wyjściowych aktywnych w dowolnym momencie, z 6000 do 7000 przekaźników dostępnych ogółem.

Prawdopodobnie widzisz dokąd to zmierza.

Ale węzły wyjściowe Tora nie mogą powiedzieć, gdzie jesteś, dzięki anonimizującym efektom strażnika wejścia i środkowego przekaźnika (który często się zmienia), ale widzą twój końcowy, odszyfrowany ruch i jego ostateczne przeznaczenie, ponieważ to węzeł wyjściowy zdejmuje ostatnią warstwę szyfrowania Tora.

(Kiedy przeglądasz zwykłe strony internetowe przez Tor, sieć nie ma wyboru, ale musi emitować twoje surowe, oryginalne, odszyfrowane dane do ostatniego skoku w Internecie, w przeciwnym razie strona, którą odwiedzasz, nie byłaby w stanie zrobić z tego żadnego sensu.)

Innymi słowy, jeśli używasz Tor do przeglądania nie-HTTPS (niezaszyfrowanej) strony internetowej, wtedy węzeł wyjściowy Tor, który obsługuje twój ruch, może nie tylko węszyć i modyfikować twoje wychodzące żądania sieciowe, ale także namieszać w odpowiedziach, które wracają.

I z tylko 1000 węzłów wyjściowych dostępnych średnio, oszust, który chce przejąć kontrolę nad znacznym odsetkiem wyjść nie musi zakładać tysięcy lub dziesiątek tysięcy serwerów – kilkaset wystarczy.

I ten rodzaj interwencji jest tym, co nusenu twierdzi, że wykrył w sieci Tor na skalę, która może czasami obejmować do jednej czwartej dostępnych węzłów wyjściowych.

Więcej, Nusenu twierdzi, że czasami w 2020 roku, setki przekaźników Tor na liście „węzłów wyjściowych” były zakładane przez kryminalnie nastawionych ochotników z ukrytymi motywami:

Pełny zakres ich operacji jest nieznany, ale jedna motywacja wydaje się być prosta i oczywista: zysk. Przeprowadzają oni ataki typu person-in-the-middle na użytkowników sieci Tor, manipulując ruchem, który przepływa przez ich przekaźniki wyjściowe. Wygląda na to, że chodzi im przede wszystkim o strony związane z kryptowalutami – a konkretnie o wiele serwisów mieszających bitcoiny. Podmieniali oni adresy bitcoin w ruchu HTTP, aby przekierować transakcje do swoich portfeli zamiast na adres bitcoin podany przez użytkownika. Ataki polegające na przepisywaniu adresów bitcoinowych nie są nowe, ale skala ich działania już tak. Nie jest możliwe ustalenie, czy angażują się w inne rodzaje ataków.

Po prostu, Nusenu twierdzi, że ci oszuści czekają, aby żerować na użytkownikach kryptowalut, którzy myślą, że Tor sam w sobie jest wystarczający, aby zabezpieczyć zarówno ich anonimowość, jak i ich dane, i którzy dlatego przeglądają strony za pośrednictwem Tor, ale nie dbają o umieszczenie https:// na początku nowych adresów URL, które wpisują.
.

HTTP uważane za szkodliwe

Na dobre i na złe, wiele czasu można zignorować https://, gdy wpisujesz adresy URL w przeglądarce, a nadal będziesz kończyć na stronie HTTPS, szyfrowane i chronione kłódką.

Często, serwer na drugim końcu będzie reagować na żądanie HTTP z odpowiedzią, która mówi: „Od teraz, proszę nie używać zwykłego starego HTTP więcej”, a przeglądarka będzie to pamiętać i automatycznie uaktualnić wszystkie przyszłe połączenia do tej witryny tak, że używają HTTPS.

Te „nigdy nie używaj HTTP ponownie” odpowiedzi wdrożyć to, co jest znane jako HSTS, skrót od HTTP Strict Transport Security, i mają one na celu utrzymanie cię bezpieczne od snooping i manipulacji ruchu, nawet jeśli nigdy nie przestać myśleć o tym.

Ale jest kurczak i jajko problem, a mianowicie, że jeśli oszustów przechwycić bardzo pierwszy non-HTPS połączenie do witryny, która naprawdę powinna być dostęp do HTTPS tylko, zanim „nie więcej HTTPS” wiadomość dostaje w poprzek, mogą być w stanie:

• Zachowaj mówiąc HTTP do ich booby-trapped węzeł wyjścia podczas mówienia HTTPS onwwards do ostatecznego miejsca przeznaczenia. To sprawia, że końcowa strona myśli, że komunikujesz się bezpiecznie, ale uniemożliwia zdawanie sobie sprawy, że strona docelowa chce rozmawiać HTTPS.
• Przepisz wszystkie odpowiedzi z miejsca docelowego, aby zastąpić wszystkie linki HTTPS z HTTP. To zapobiega przeglądarki z aktualizacji do HTTPS później w transakcji, a tym samym utrzymanie utknął z plain old HTTP.

Co zrobić?

Oto kilka wskazówek:

• Nie zapomnij wpisać https:// na początku adresu URL! Z powodów historycznych, przeglądarki nadal domyślnie korzystają z HTTP, dopóki nie wiedzą lepiej, więc im szybciej odwiedzisz witrynę, wpisując https:// na początku adresu URL, tym szybciej zabezpieczysz się, czyniąc swoje intencje oczywistymi.
• Jeśli prowadzisz witrynę, zawsze używaj HSTS, aby powiedzieć odwiedzającym, aby następnym razem nie korzystali z HTTP.
• Jeśli prowadzisz witrynę, w której prywatność i bezpieczeństwo nie podlegają negocjacjom, rozważ złożenie wniosku o dodanie witryny do listy HSTS Preload. Jest to lista stron internetowych, dla których wszystkie główne przeglądarki będą zawsze używać HTTPS, cokolwiek URL mówi.
• Jeśli Twoja przeglądarka obsługuje go, lub ma wtyczkę do egzekwowania go, należy rozważyć wyłączenie obsługi HTTP całkowicie. Na przykład Firefox ma teraz funkcję konfiguracji nie-domyślnej o nazwie dom.security.https_only_mode. Niektóre starsze witryny mogą nie działać poprawnie z włączonym tym ustawieniem, ale jeśli poważnie myślisz o bezpieczeństwie, spróbuj!

HOW TO ENABLE HTTPS-ONLY MODE IN FIREFOX 79

(Niestety, opcja „tylko HTTPS” w Firefoksie nie jest jeszcze dostępna w przeglądarce Tor, która nadal używa wersji Extended Support Release, w której ta funkcja jeszcze się nie pojawiła.)

.