Onderzoekers hebben op het Tor-netwerk verschillende rotte exitnodes ontdekt die verkeerd waren geconfigureerd of met opzet waren ingesteld om gebruikers van het anonimiseringsnetwerk aan te vallen, maar de kans dat gebruikers ook daadwerkelijk slachtoffer zijn geworden is klein, aldus de onderzoekers.

Het Tor-anonimiseringsnetwerk maakt het voor gebruikers mogelijk om hun IP-adres te verbergen of gecensureerde websites te bezoeken. Het netwerk wordt voor het grootste gedeelte door vrijwilligers onderhouden en staat zo goed als los van het Tor Project, dat de Tor-software ontwikkelt. Een Tor-gebruiker die een website wil bezoeken laat zijn verzoek via verschillende nodes lopen, totdat die bij de exitnode komt. Die haalt de opgevraagde pagina op en stuurt die via een keten van andere nodes weer terug naar de gebruiker.

Philipp Winter en Stefan Lindskog van de Karlstad Universiteit onderzochten over een periode van vier maanden 1.000 exitnodes. 25 nodes bleken verkeerd geconfigureerd of kwaadaardig te zijn, waarbij er werd geprobeerd om man-in-the-middle-aanvallen op Tor-gebruikers uit te voeren. Het ging voornamelijk om exitnodes die zich in Rusland bevonden.

Impact

Het Team High Tech Crime van de politie stelt op Twitter: "Tor blijkt (nog) minder veilig cq anoniem dan gedacht." Het is echter de vraag of en hoeveel Tor-gebruikers daadwerkelijk het slachtoffer van de kwaadaardige of verkeerd geconfigureerde exitnodes zijn geworden. Volgens de onderzoekers is de echte impact van de rotte exitnodes namelijk beperkt. Ten eerste stellen de onderzoekers dat 25 nodes over een periode van vier maanden niet heel veel is.

Daarnaast zoekt en kiest de Tor-software automatisch nodes die over veel bandbreedte beschikken. De 25 rotte exitnodes voegden nauwelijks enige bandbreedte aan het Tor-netwerk toe en het is daardoor onwaarschijnlijk dat de Tor-software ze heeft gekozen. En zelfs als het verkeer van Tor-gebruikers via de kwaadaardige exitnodes liep wil dat nog niet zeggen dat gebruikers ook slachtoffer zijn geworden.

In het geval van de man-in-the-middle-aanvallen zou Firefox een certificaatwaarschuwing hebben getoond dat er iets mis was. "Als laatste willen we erop wijzen dat deze aanvallen niet alleen tot het Tor-netwerk zijn beperkt. Je loopt dezelfde risico's als je met een open wifi-netwerk verbinding maakt. Eén van de fundamentele problemen is het gebroken Certificate Authority-systeem", aldus Winter.