我是如何让300多个 Tor 出口节点被移除的

原文 ↗ Hacker News 讨论 ↗

近期发现大约 10% 的 Tor 出口节点正在拦截 SSH 22 端口流量，通过中间人攻击窃取凭据并部署长期存在的 Ebury 恶意软件，导致数百个出口节点被下线。评论者探讨了这次攻击的工作方式、为何会通过 Tor 使用 SSH，以及基于密钥或硬件的认证如何缓解此类威胁；同时也在讨论在 VPS 和云基础设施上运行 Tor 中继或出口节点的安全性与法律风险。这一事件既被视为关于终端与托管提供商被攻陷的技术警示，也提醒人们：对于像 Tor 这样的隐私技术来说，强有力的操作安全和法律保护至关重要。

被攻陷的 Tor 出口节点与提供商聚集现象

  • 发现大约 10% 的出口节点会将 SSH（22 端口）重定向到 MITM 服务器，窃取密码并尝试部署 Ebury。
  • 一个中继家族之外的许多被攻陷出口节点都托管在同一家“亲隐私”的 VPS 提供商上；发帖者强调，这只能说明存在聚集现象，并不能证明该提供商本身被黑。
  • 有人希望通知该提供商；也有人已经将该 ASN 的流量视为更高风险（例如，额外的审核队列）。

为什么要通过 Tor 使用 SSH？

  • 列出的使用场景包括：
    • 默认将“所有流量都走 Tor”且没有 SSH 例外的配置。
    • 在管理有争议的服务器时，向雇主或执法机构隐藏物理位置。
    • 远程管理被攻陷的后门、暗网市场基础设施，或经由 NAT 的家用服务器/onion 服务。
    • 在高度受限的防火墙后工作，或处理路由问题。
  • 怀疑者认为 Tor 很慢，经常被封锁；如果可以通过家里做隧道，它并不是好选择。

缓解措施：SSH 密钥、硬件令牌、双向认证

  • 禁用密码认证并使用 SSH 密钥，本可以防止这次攻击中的密码泄露。
  • 即使用户接受了伪造的主机密钥，公钥认证仍会阻止攻击者登录真实服务器，尽管他们仍然可以看到命令。
  • 讨论了使用硬件安全密钥（FIDO2/YubiKey、Secure Enclave、Touch ID）来存储私钥并要求用户在场。
  • 强调用户必须注意 SSH 主机密钥变更警告；有些人指出，避免持久化 known-hosts 的“临时” Tor 用户会失去这种保护。

对 VPS 与“保密计算”的信任

  • 几位发帖者对用于隐私关键工作负载的 VPS 持怀疑态度，指出提供商可以对内存/磁盘做快照，或者本身被攻陷。
  • 讨论云端特性如 IOMMU、Nitro 和 SEV-SNP 是否真的能保护主机：
    • 一方认为这些主要防御 VM 对 VM 的攻击；主机最终仍然占上风。
    • 另一方则认为大型云厂商在虚拟化安全和密钥销毁机制上投入巨大。
  • 有人认为保密计算的营销夸大其词，并指出许多漏洞是被外部人员发现的，而不是云厂商。

运行 Tor 出口与中继：规模、滥用与法律风险

  • 只有约 3000 个出口节点被认为“少得离谱”，但在以下背景下又像是个“奇迹”：
    • 出口运营者经常面临执法部门上门、设备被扣押以及托管禁令。
    • 在一些国家，即使是中继也被认为存在法律风险。
  • 许多人相信，不少出口节点实际上由情报机构、网络安全公司或记录一切的犯罪分子在运行。
  • 由于担心与 CSAM、欺诈和其他严重犯罪产生关联，一些人避免运行出口节点，甚至避免使用 Tor。

工具、对 Tor 的攻击与运营备注

  • 出口扫描工具 exitmap 被认为至关重要；关于它可能被滥用于 DDoS 的担忧被否定，因为它使用的是 Tor 现有的线路选项。
  • 另一些报告提到守卫节点遭受 DDoS，迫使一些运营者降级为中间中继；这些与 Ebury 攻陷事件被区分开来。

更广泛的隐私与法律视角

  • 有人认为，一旦执法机关盯上用户，技术工具（Tor、VPN）就无法完全保护他们；经营隐私服务的人仍会被起诉。
  • 从这种观点看，持久的隐私被视为政治/立法问题，而不只是技术问题。