Como consegui remover mais de 300 nós de saída Tor

Artigo original ↗ Discussão no Hacker News ↗

Cerca de 10% dos nós de saída do Tor foram recentemente encontrados interceptando tráfego SSH na porta 22, realizando ataques man-in-the-middle para roubar credenciais e implantar o malware Ebury, levando centenas de saídas a serem derrubadas. Os comentaristas examinam como o ataque funcionou, por que se usa SSH via Tor e como autenticação baseada em chaves ou em hardware pode mitigar essas ameaças, ao mesmo tempo em que debatem os riscos de segurança e legais de operar relays ou saídas do Tor em VPS e infraestrutura de nuvem. O incidente é apresentado tanto como um alerta técnico sobre comprometimento de endpoints e de provedores de hospedagem quanto como um lembrete de que uma forte segurança operacional e proteções legais são críticas para tecnologias de privacidade como o Tor.

Saídas Tor comprometidas e agrupamento de provedores

  • Cerca de 10% das saídas foram encontradas redirecionando SSH (porta 22) para servidores MITM roubando senhas e tentando implantar o Ebury.
  • Muitas saídas comprometidas fora de uma família de relays estavam hospedadas em um único provedor VPS “pró-privacidade”; os participantes enfatizam que isso sugere agrupamento, não prova de que o provedor em si foi invadido.
  • Alguns querem que o provedor seja informado; outros já tratam o tráfego daquele ASN como de risco mais alto (por exemplo, filas extras de moderação).

Por que usar SSH via Tor?

  • Casos de uso listados:
    • Configurações padrão de “todo o tráfego via Tor” sem exceção para SSH.
    • Ocultar a localização física de um empregador ou da aplicação da lei ao administrar servidores questionáveis.
    • Administração remota de backdoors comprometidos, infraestrutura de mercados clandestinos ou servidores domésticos/onion services atrás de NAT.
    • Trabalho atrás de firewalls altamente restritivos ou problemas de roteamento.
  • Céticos argumentam que o Tor é lento, frequentemente bloqueado e uma má escolha se você pudesse fazer o túnel pela sua casa em vez disso.

Mitigações: chaves SSH, tokens de hardware, autenticação mútua

  • Desativar autenticação por senha e usar chaves SSH teria evitado o roubo de senhas neste ataque.
  • Mesmo que o usuário aceite uma chave de host falsa, a autenticação por chave pública impede o atacante de entrar no servidor real, embora ele ainda possa ver os comandos.
  • Discussão sobre chaves de segurança de hardware (FIDO2/YubiKey, Secure Enclave, Touch ID) para armazenar chaves privadas e exigir presença do usuário.
  • Ênfase de que os usuários precisam obedecer aos avisos de mudança de chave de host do SSH; alguns observam que usuários “efêmeros” do Tor, que evitam known-hosts persistente, perdem essa proteção.

Confiança em VPS e “computação confidencial”

  • Vários participantes desconfiam de VPS para cargas de trabalho críticas de privacidade, observando que provedores podem fazer snapshot de RAM/disco ou ser comprometidos.
  • Debate sobre se recursos de nuvem como IOMMU, Nitro e SEV-SNP protegem de forma significativa contra o host:
    • Um lado diz que isso defende principalmente contra ataques VM-para-VM; o host ainda vence no fim.
    • Outro lado afirma que as grandes nuvens investem pesadamente em segurança de virtualização e mecanismos de destruição de chaves.
  • Alguns chamam o marketing de computação confidencial de exagerado, citando que muitas vulnerabilidades foram encontradas por terceiros, não pelos provedores de nuvem.

Operar saídas e relays Tor: escala, abuso e risco legal

  • Apenas ~3000 saídas é visto como “absurdamente poucas”, e ao mesmo tempo um “milagre” considerando:
    • Operadores de saídas frequentemente enfrentam visitas da aplicação da lei, apreensão de equipamentos e bloqueios de hospedagem.
    • Em alguns países, até relays são percebidos como legalmente arriscados.
  • Muitos acreditam que uma parcela não trivial das saídas é operada por serviços de inteligência, empresas de cibersegurança ou criminosos registrando tudo.
  • Várias pessoas evitam operar saídas (ou até mesmo usar Tor) por medo de associação com CSAM, fraude e outros crimes graves.

Ferramentas, ataques ao Tor e notas operacionais

  • A ferramenta de varredura de saídas “exitmap” é creditada como crucial; preocupações de que ela possa ser abusada para DDoS são descartadas, já que ela usa as opções de circuito existentes do Tor.
  • Relatos separados mencionam DDoS em nós guard, forçando alguns operadores a rebaixar para middle relays; isso é distinguido do comprometimento por Ebury.

Perspectiva mais ampla sobre privacidade e lei

  • Alguns argumentam que ferramentas técnicas (Tor, VPNs) não podem proteger totalmente os usuários quando a aplicação da lei os mira; operadores de serviços de privacidade ainda acabam processados.
  • Nessa visão, privacidade duradoura é tratada como uma questão política/legislativa, e não apenas técnica.