Het Tor Project heeft de grootschalige aanval met malafide exitnodes bevestigd die onlangs in het nieuws kwam en onderzoekt of http volledig in Tor Browser moet worden uitgeschakeld om gebruikers te beschermen. Op het hoogtepunt van de aanval liep 23 procent van al het uitgaande Tor-verkeer via de malafide servers. Dagelijks maken zo'n 2,5 miljoen mensen gebruik van het Tor-netwerk om hun privacy te beschermen.

Het Tor-netwerk bestaat uit allerlei servers van vrijwilligers die het verkeer van Tor-gebruikers verwerken. Zo is de eerste server de entry guard, die het verzoek van de Tor-gebruiker naar de relay-node doorstuurt. Vervolgens gaat het van deze server naar de exitnode, die het verzoek naar het internet stuurt. De eigenaar van de exitnode kan het verkeer van de Tor-gebruiker zien, maar weet niet van wie het afkomstig is. In het geval van http-verkeer kan de exitnode-beheerder het verkeer ook aanpassen.

De aanval waar een beveiligingsonderzoeker begin deze week over berichtte maakte hiervan misbruik. De aanvaller verwijderde http-to-https redirects om toegang tot het onversleutelde http-verkeer te krijgen, zonder dat de gebruiker een certificaatwaarschuwing in Tor Browser te zien kreeg.

De meeste websites maken inmiddels gebruik van https. Wanneer de gebruiker in de adresbalk alleen de domeinnaam intikt zal de website via een http-to-https redirect de https-versie van de website laden. Bij de waargenomen aanval onderschepte de aanvaller deze redirect en plaatste zichzelf tussen de gebruiker en opgevraagde website.

De aanvaller zette vervolgens tussen hemzelf en de website een beveiligde verbinding op, maar stuurde de informatie via het onversleutelde http naar de Tor-gebruiker. Gebruikers hadden de aanval kunnen opmerken doordat er http en geen https in de adresbalk stond. Om niet al teveel op te vallen had de aanvaller het alleen op bepaalde websites voorzien. Het ging dan met name om crypto-gerelateerde websites, waaronder bitcoin-mixerdiensten. De aanvaller verving het bitcoinadres dat de gebruiker opgaf door zijn eigen bitcoinwallet.

De eerste reeks malafide Tor-exitnodes werden in mei door het Tor Project verwijderd. Deze exitnodes waren toen verantwoordelijk voor 23 procent van al het verkeer dat het Tor-netwerk verliet. In juni werd een tweede groep servers ontdekt die een zelfde aanval uitvoerden. Deze servers waren voor 19 procent van de exitnode-capaciteit verantwoordelijk.

Https en http

Volgens het Tor Project zijn er verschillende maatregelen om een dergelijke aanval te voorkomen. De eerste stap is dat websites https voor hun website inschakelen en ervoor zorgen dat ze een redirect voor hun website aan de HTTPS Everywhere-extensie toevoegen. Deze extensie is een standaardonderdeel van Tor Browser. HTTPS Everywhere zorgt ervoor dat de https-versie direct wordt geladen, in plaats van te worden doorgestuurd nadat er een onveilige verbinding is opgezet.

Aan de gebruikerskant kijkt het Tor Project of de ondersteuning van http in Tor Browser moet worden uitgeschakeld. Http-sites zijn dan niet meer te bezoeken. Een plan dat al in 2016 voor het eerst werd geopperd. Volgens de ontwikkelaars zou een dergelijke stap een aantal jaren geleden ondenkbaar zijn geweest, maar maakt een meerderheid van de websites inmiddels gebruik van https.

Toekomstige versies van zowel Firefox als HTTPS Everywhere zullen beschikken over experimentele features die htttps standaard als eerste zullen proberen, om vervolgens op http terug te vallen. Het is nog onduidelijk wat de impact van een dergelijke feature op Tor-gebruikers zal zijn. Het Tor Project kijkt daarom eerst of hogere beveiligingsniveaus via de Tor Security Slider een oplossing kunnen zijn.

Capaciteit

Aan de eigen kant laat het Tor Project weten dat het onvoldoende capaciteit heeft om het Tor-netwerk te monitoren en malafide servers te detecteren. Er zijn wel vrijwilligers die het netwerk in de gaten houden en malafide Tor-servers rapporteren, die vervolgens worden verwijderd. Om het netwerk nauwlettender te monitoren zette het Tor Project vorig jaar een "Network Health team" op. Dit team moest ervoor zorgen dat malafide servers sneller werden opgespoord.

Afgelopen april werd vanwege de economische situatie besloten om een derde van de Tor-organisatie te ontslaan, waardoor het personeel van het Network Health team naar andere onderdelen van de organisatie werd overgeplaatst. Daarom duurt het nu langer om bepaalde zaken op te pakken. Het Tor Project is echter van plan om het team weer operationeel te krijgen. Het doet dan ook een beroep op donateurs en sponsoren. Daarnaast is er een ontwerpvoorstel gepresenteerd om de totale invloed van "onbekende" Tor-servers te beperken.