Beheerder verliest controle over Tor-servers
De beheerder van een groot aantal Tor-servers heeft gisterenavond een waarschuwing afgegeven nadat hij de controle over de servers had verloren. Volgens Thomas White blijkt uit informatie van de kastsensoren dat er een usb-apparaat voor zo'n 60 seconden in de servers is geplaatst. Het was de laatste informatie over de servers die de beheerder doorkreeg. Ook werd het account van White bij de Schiedamse hostingprovider SnelServer bevroren.
White, die zich eerder dit jaar nog lovend over SnelServer uitliet, heeft nog niet van de provider gehoord of het om een politie-actie gaat, maar zou al wel hebben vernomen dat iemand ongeautoriseerde toegang tot zijn account heeft gekregen. Dat verklaart echter niet het fysieke gebruik van het usb-apparaat bij de servers. Verder blijkt dat een groot deel van de logs is verdwenen.
In eerste instantie suggereerde de beheerder dat de actie waarschijnlijk het werk van een opsporingsdienst was, hoewel hij daar later op terugkwam. "Mensen nemen mij verdenkingen veel te serieus. Ik heb nog geen enkele opsporingsdienst genoemd en de theorieën gaan al rond", zo laat hij via Twitter weten. Inmiddels zijn de servers van White op een blacklist geplaatst en vormen geen gevaar meer voor Tor-gebruikers.
De grote vraag blijft wie er voor de actie verantwoordelijk is. "De kans dat dit het werk van een opsporingsdienst is, is kleiner dan verwacht. Dit is voor meerdere redenen goed, maar levert meer vragen dan antwoorden op", aldus White. Hij sluit de mogelijkheid van optreden door een opsporingsdienst niet uit, aangezien er niet voldoende informatie voorhanden is. Dit weekend waarschuwde Tor-ontwikkelaar Roger Dingledine nog voor een mogelijke aanval op het Tor-netwerk, waarbij zou worden geprobeerd om het netwerk offline te halen.
Update
Snel laat in een reactie op Security.NL weten: "Er wordt beweerd dat er een USB-apparaat is aangesloten in het systeem, deze constatering klopt niet en we kunnen ook met alle zekerheid zeggen dat de servers niet in beslag zijn genomen door de politie.
Het klopt wel dat het account van de klant korte tijd offline is geweest vanwege ons beveiligingsbeleid. De klant is echter direct op de hoogte gesteld en wordt nog steeds gehost op ons netwerk.
Als je inlogt via de KVM (Kernel-based Virtual Machine) dan ziet de server dit als een USB event (IPMI koppelt virtueel toetsenbord/muis/monitor). Toen de klant erachter kwam dat zijn servers offline waren, heeft hij met de KVM ingelogd om te achterhalen wat er mogelijk aan de hand zou zijn, tijdens deze inlogactie zijn de events gelogd naar zijn logs."
Volgens mij moeten degenen die individuele servers op een blacklist plaatsen nog eens goed bij zichzelf te rade gaan of ze geen vals gevoel van veiligheid creeeren voor Tor-gebruikers.
Immers zijn talloze tor exit nodes opgezet met bijbedoelingen, bijvoorbeeld door inlichtingendiensten. Wat dat betreft is Tor gebruik hoe dan ook ''gevaarlijk'', omdat je de kans loopt dat er mensen ''meekijken''.
Wij willen graag reageren op het bericht dat is geplaatst, omdat de beweringen niet kloppen. Er wordt beweerd dat er een USB-apparaat is aangesloten in het systeem, deze constatering klopt niet en we kunnen ook met alle zekerheid zeggen dat de servers niet in beslag zijn genomen door de politie.
Het klopt wel dat het account van de klant korte tijd offline is geweest vanwege ons beveiligingsbeleid. De klant is echter direct op de hoogte gesteld en wordt nog steeds gehost op ons netwerk.
Als je inlogt via de KVM dan ziet de server dit als een USB event (IPMI koppelt virtueel toetsenbord/muis/monitor). Toen de klant erachter kwam dat zijn servers offline waren, heeft hij met de KVM ingelogd om achter te halen wat er mogelijk aan de hand zou zijn, tijdens deze inlogactie zijn de events gelogd naar zijn logs.
De klant heeft ook al via zijn Twitter account aangegeven, dat zijn constateringen te serieus zijn genomen https://twitter.com/CthulhuSec/status/546878441724084224
--
Met vriendelijke groet,
SnelServer.com
https://lists.torproject.org/pipermail/tor-talk/2014-December/036067.html
kwestie van knopje-lampje. Een beetje goeie geheime server staat daarom in een netwerk met een tor-exitnode waar de NSA niet in het netwerk zit. maar waar vind je die?
Dit blijft de correcte actie ook als later blijkt dat die indicaties verkeerd geintepreteerd zijn (wat zo mag lijken te zijn maar nog niet gebleken is).
Wat mij eerder verontrust is het grote mysterieuze cluster van Chandler 1 t/m 27 (+ de a varianten)aan exitnodes die worden gehost door Snel.com .
Zijn dat allemaal kleintjes of is dat voornamelijk toevallig van een grote (...) klant?
Bij een dergelijk groot cluster van een aanbieder kan het voorkomen dat je van de ene Chandler naar de andere Chandler exitnode hopt.
Geconstateerd 'estafette record' is iets van 6 a 7 keer.
Dat is 60 a 70 minuten Tor verkeer bij slechts een exitnode verkeer aanbieder.
Wie zou een dergelijke periode aan exitnode verkeer erg interessant vinden om te monitoren?
Snel.com doet vast geen uitspraken over haar klanten.
Interessant om te weten is het wel.
@ Torgebruikers
Discussiepunt buiten Snel services ; eigenlijk zouden dergelijke grote clusters binnen het tor netwerk niet moeten worden toegestaan om risico's van exitnodes beheersbaar te houden.
We zijn net naar de Cage gelopen en hebben geconstateerd dat er NU niets _meer_ aan de USB poort hangt
We zijn net naar de Cage gelopen en hebben geconstateerd dat de server er NU _weer_ hangt
Kortom, gewoon niet reageren is het advies (best practice van "Jack het Lek"), of je nu terrecht of onterrecht negatief in de publiciteit komt, soms gewoon pech.
2- Nee, de servers zijn nooit in beslag genomen geweest.
3- Ik snap niet wat u probeert te bereiken met zulke speculaties maar ik denk dat we heel duidelijk zijn geweest met ons uitleg!
We zijn net naar de Cage gelopen en hebben geconstateerd dat er NU niets _meer_ aan de USB poort hangt
We zijn net naar de Cage gelopen en hebben geconstateerd dat de server er NU _weer_ hangt
Kortom, gewoon niet reageren is het advies (best practice van "Jack het Lek"), of je nu terrecht of onterrecht negatief in de publiciteit komt, soms gewoon pech.
2- Nee, de servers zijn nooit in beslag genomen geweest.
3- Ik snap niet wat u probeert te bereiken met zulke speculaties maar ik denk dat we heel duidelijk zijn geweest met ons uitleg!
We zijn net naar de Cage gelopen en hebben geconstateerd dat er NU niets _meer_ aan de USB poort hangt
We zijn net naar de Cage gelopen en hebben geconstateerd dat de server er NU _weer_ hangt
Kortom, gewoon niet reageren is het advies (best practice van "Jack het Lek"), of je nu terrecht of onterrecht negatief in de publiciteit komt, soms gewoon pech.
Wel is het zo, dat het ronduit bevreemdend is, dat u hier zo fanatiek komt reageren, zonder uitsluitsel te (willen?) geven over wat er nu daadwerkelijk wél heeft plaatsgevonden, voor zover het nog mogelijk is om dat te beoordelen.
Tevens vind ik het bevreemdend dat u zich, in uw reacties, geenszins zorgen lijkt te maken over de veiligheid van een netwerk dat mede via uw servers gehost wordt. Ik ga dan als vanzelf vragen stellen, waarbij ik me ook kan voorstellen dat er genoeg mensen zijn, die daar direct (negatieve) conclusies aan verbinden.
Zeker als het gaat om Tor, zou een kritische blik nooit afgewimpeld mogen worden, naar mijn mening.
Ik snap dat u geen behoefte heeft om hier alle ins- en outs te delen, maar een ontkennende boodschap zonder informatieve inhoud wordt nu eenmaal niet vaak positief ontvangen.
Ik kan me dan ook vinden in het eerder gegeven advies om niet (ontkennend) te reageren op kritische geluiden, dit bevestig louter vermoedens ipv die te ontkrachten.
Kortom, wat is er dan wel voorgevallen volgens u???
I2P heeft hier gelukkig geen last van.
I2P heeft hier gelukkig geen last van.
Hit
https://www.security.nl/posting/366853#posting366881
5 posters die vroegen om je stokpaard statement met verifieerbare informatie te onderbouwen.
Stilte.
and run
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
