Cómo logré que retiraran más de 300 nodos de salida de Tor

Artículo original ↗ Discusión en Hacker News ↗

Aproximadamente el 10% de los nodos de salida de Tor fueron descubiertos recientemente interceptando tráfico SSH del puerto 22, realizando ataques de intermediario para robar credenciales y desplegar el malware Ebury, lo que llevó a que cientos de salidas fueran desconectadas. Los comentaristas examinan cómo funcionó el ataque, por qué se usa SSH sobre Tor y cómo la autenticación basada en claves o respaldada por hardware puede mitigar amenazas de este tipo, al tiempo que debaten la seguridad y los riesgos legales de ejecutar relés o salidas de Tor sobre VPS e infraestructura en la nube. El incidente se presenta tanto como una advertencia técnica sobre la compromiso del punto final y del proveedor de alojamiento como un recordatorio de que una fuerte seguridad operativa y protecciones legales son críticas para tecnologías de privacidad como Tor.

Salidas de Tor comprometidas y agrupación de proveedores

  • Se descubrió que alrededor del 10% de las salidas redirigían SSH (puerto 22) a servidores MITM que robaban contraseñas e intentaban desplegar Ebury.
  • Muchas salidas comprometidas fuera de una familia de relés estaban alojadas en un único proveedor VPS “pro-privacidad”; los participantes insisten en que esto sugiere agrupación, no una prueba de que el proveedor esté hackeado.
  • Algunos quieren informar al proveedor; otros ya tratan el tráfico de ese ASN como de mayor riesgo (por ejemplo, colas de moderación adicionales).

¿Por qué usar SSH sobre Tor?

  • Casos de uso enumerados:
    • Configuraciones predeterminadas de “todo el tráfico vía Tor” sin excepción para SSH.
    • Ocultar la ubicación física frente a un empleador o a las fuerzas del orden al administrar servidores dudosos.
    • Administración remota de puertas traseras comprometidas, infraestructura de mercados negros o servidores domésticos/servicios onion atravesando NAT.
    • Trabajar detrás de cortafuegos muy restrictivos o con problemas de enrutamiento.
  • Los escépticos argumentan que Tor es lento, a menudo está bloqueado y es una mala opción si podrías tunelizar a través de casa en su lugar.

Mitigaciones: claves SSH, tokens de hardware, autenticación mutua

  • Deshabilitar la autenticación por contraseña y usar claves SSH habría evitado el robo de contraseñas en este ataque.
  • Incluso si el usuario acepta una clave de host falsa, la autenticación con clave pública impide que el atacante inicie sesión en el servidor real, aunque todavía puede ver los comandos.
  • Discusión sobre llaves de seguridad de hardware (FIDO2/YubiKey, Secure Enclave, Touch ID) para almacenar claves privadas y exigir presencia del usuario.
  • Énfasis en que los usuarios deben atender las advertencias de cambio de clave de host de SSH; algunos señalan que los usuarios “efímeros” de Tor, que evitan un archivo known-hosts persistente, pierden esa protección.

Confianza en VPS y “computación confidencial”

  • Varios participantes desconfían de los VPS para cargas de trabajo críticas para la privacidad, señalando que los proveedores pueden hacer snapshots de la RAM/disco o ser comprometidos.
  • Debate sobre si funciones de nube como IOMMU, Nitro y SEV-SNP protegen realmente contra el host:
    • Un bando dice que esto defiende principalmente contra ataques VM-a-VM; el host siempre acaba ganando.
    • Otro sostiene que las grandes nubes invierten mucho en seguridad de virtualización y mecanismos de destrucción de claves.
  • Algunos califican el marketing de la computación confidencial como exagerado, citando que muchas vulnerabilidades fueron encontradas por externos y no por los proveedores de nube.

Ejecutar salidas y relés de Tor: escala, abuso y riesgo legal

  • Solo ~3000 salidas se consideran “ridículamente pocas”, pero también un “milagro” dado que:
    • Los operadores de salidas suelen enfrentarse a visitas de la policía, incautación de equipos y prohibiciones de alojamiento.
    • En algunos países, incluso los relés se perciben como legalmente arriesgados.
  • Muchos creen que una parte no trivial de las salidas está operada por servicios de inteligencia, empresas de ciberseguridad o criminales que registran todo.
  • Varias personas evitan ejecutar salidas (o incluso usar Tor) por miedo a asociarse con CSAM, fraude y otros delitos graves.

Herramientas, ataques a Tor y notas operativas

  • Se destaca la herramienta de escaneo de salidas “exitmap” como crucial; las preocupaciones sobre su abuso para DDoS se descartan porque utiliza las opciones de circuito ya existentes de Tor.
  • Informes aparte mencionan DDoS contra nodos guard, obligando a algunos operadores a degradar a relés intermedios; se distinguen de la comprometida por Ebury.

Perspectiva más amplia sobre privacidad y ley

  • Algunos sostienen que las herramientas técnicas (Tor, VPN) no pueden proteger completamente a los usuarios una vez que las fuerzas del orden los tienen como objetivo; los operadores de servicios de privacidad siguen siendo procesados.
  • Desde ese punto de vista, la privacidad duradera se presenta como un problema político/legislativo más que puramente técnico.