image

Bijna 1000 Tor-servers draaien op verouderde Tor-software

vrijdag 25 mei 2018, 11:44 door Redactie, 10 reacties

Bijna duizend Tor-servers in het Tor-netwerk draaien versies van de Tor-software die niet meer worden ondersteund en in sommige gevallen ook kwetsbaarheden bevatten. Dat wordt gemeld op de mailinglist van het Tor Project, de organisatie die het Tor-netwerk en Tor Browser onderhoudt.

Dagelijks maken zo'n 2,5 miljoen mensen gebruik van het Tor-netwerk om hun ip-adres en privacy te beschermen. Het Tor-netwerk bestaat uit allerlei servers van vrijwilligers die het verkeer van Tor-gebruikers verwerken. Zo is de eerste server de entry guard, die het verzoek van de Tor-gebruiker naar de relay-node doorstuurt. Vervolgens gaat het van deze server naar de exit-node, die het verzoek naar het internet stuurt.

Begin deze maand stopte de ondersteuning van Tor-versie 0.2.5. Op het moment van schrijven zijn er echter nog zo'n 350 servers die deze versie draaien. Het totaal aantal "end-of-life" Tor-servers bedraagt 969. Het gaat dan ook om exit-nodes die het verzoek van de Tor-gebruiker naar het internet doorzetten en een belangrijke schakel in het Tor-netwerk vormen.

In de handleiding voor beheerders die een Tor-server draaien stelt het Tor Project dat het installeren van beveiligingsupdates één van de belangrijkste maatregelen is om de server te beveiligen en dit idealiter automatisch wordt gedaan, zodat het niet kan worden vergeten.

Reacties (10)
25-05-2018, 12:09 door Anoniem
Het opzetten van zo'n server is vrij moeilijk, en updaten ook. (Toch met de oudere versies).

Zal mijn node een van de dagen eens updaten dan.
25-05-2018, 12:42 door Anoniem
Door Anoniem: Het opzetten van zo'n server is vrij moeilijk, en updaten ook. (Toch met de oudere versies).

Zal mijn node een van de dagen eens updaten dan.
Ze hebben een package repository voor RMP-gebaseerde systemen, Debian/Ubuntu en FreeBSD/HardenedBSD. Een korte zoekactie levert referenties aan die repository op uit 2012. Dat bestaat dus al zeker zes jaar. Niet alleen is het upgraden van pakketten met zo'n repository en de tools die die besturingssystemen bieden om ermee te werken een fluitje van een cent (als je ze niet kent: doe jezelf een lol en leer ze kennen!), het Tor-project wijst je er ook op hoe je het automatisch kan laten gebeuren:
https://trac.torproject.org/projects/tor/wiki/TorRelayGuide#AutomaticSoftwareUpdates
25-05-2018, 13:12 door Anoniem
Soms heeft de laatste software versie de update nog niet
en moet je de update apart draaien bovenop de laatste software versie.

Dat zijn zaakjes waar je bij linux altijd op verdacht moet zijn.

luntrus
25-05-2018, 17:03 door Anoniem
Door Anoniem:
Door Anoniem: Het opzetten van zo'n server is vrij moeilijk, en updaten ook. (Toch met de oudere versies).

Zal mijn node een van de dagen eens updaten dan.
Ze hebben een package repository voor RMP-gebaseerde systemen, Debian/Ubuntu en FreeBSD/HardenedBSD. Een korte zoekactie levert referenties aan die repository op uit 2012. Dat bestaat dus al zeker zes jaar. Niet alleen is het upgraden van pakketten met zo'n repository en de tools die die besturingssystemen bieden om ermee te werken een fluitje van een cent (als je ze niet kent: doe jezelf een lol en leer ze kennen!), het Tor-project wijst je er ook op hoe je het automatisch kan laten gebeuren:
https://trac.torproject.org/projects/tor/wiki/TorRelayGuide#AutomaticSoftwareUpdates

Nu ik erbij nadenk is vooral mijn configuratie outdated en niet de binaries. Zoals je zegt update ik via package repo's, maar heb al meer dan een jaar mijn config niet aangepast.
26-05-2018, 02:01 door johanw
Door Anoniem: Het opzetten van zo'n server is vrij moeilijk, en updaten ook. (Toch met de oudere versies).
Vroeger, toen Vidalia nog onderhouden werd, kun je makkelijk een Tor node op een windows machine draaien. Tegenwoordig is dat vrij gecompliceerd geworden, dus ik kan me voorstellen dat veel windows Tor nodes niet meer bijgewerkt zijn.
26-05-2018, 13:55 door Anoniem
@ johanw van 02:01

Hoe zou het toch komen, dat direct alle gebruikers van tor en tails- eigenlijk allen, die met interesse voor een goede en doeltreffende anonimisering of alles buiten de gebruikelijke platforms als M$, Android etc., dus zeker de linux en SElinux gebruikers direct bestempeld worden door diensten als NSA als "extremisten"? Dit is bekend.

Deze Internetgebruikers worden op het Internet gevolgd of "micro-targetted vervolgd", zij zijn waarschijnlijk zeker niet allemaal extremisten of activisten, mogen we toch aannemen. Waarom zitten ze het establishment dan kennelijk zo in de weg, net als de mensen met een bijbel thuis in de tijd van de middeleeuwen. We leven dus onder een neo-feodaal regime van regerende multinationals.

Een licht conservatieve mening is tegenwoordig al genoeg om onderin de zoekresultaten te raken of om van facebook te worden geweerd en daarvoor zijn echt geen extreme visies nodig. Alles buiten het politiek correcte mainstream gebazel kan al voldoende zijn. Het nieuwe surveillance systeem is zeer restrictief op het gebied van vrije info-vergaring - digitaal panopticum & vooral fascistoïde "Gleichschaltung".

Tor developers werden zo op de huid gezeten, dat zij destijds naar Duitsland moesten vluchten, anders dreigde vervolging in de USA.

Zijn de tor- en linux-gebruikers hier op security.nl zich hiervan bewust? Weet Krakatau dit?
Zou het niet zijn vanwege de meer dan gemiddelde interesse in beveiligingszaken in het algemeen,
dat alles bezoekers op security.nl al op deze zwarte lijst van bij voorbeeld NSA en FSB kunnen staan,
de "targeters" en "desinfo agenten" uitgezonderd natuurlijk.

Waarom schrijft men in Rusland hack-wedstrijden uit om tor te kunnen kraken?

Graag wat verhelderende antwoorden?

Jodocus Oyevaer
26-05-2018, 16:47 door Anoniem
In je TOR-client zou je eigenlijk moeten kunnen instellen dat je alleen schakelingen kunt opzetten met nodes die de laatste updates bevatten. En er zou een feature beschikbaar moeten komen dat TOR-clients server admins spammen om hun servers te updaten zodra men poogt verbinding te maken. Is vervelend voor de admin ja, maar hoe nobel het ook is dat je een node wilt draaien, je hebt nog steeds verplichtingen waar je aan moet voldoen.
26-05-2018, 22:53 door Anoniem
Het is toch wel een grondvoorwaarde, dat tenminste de laatste updates en patches gedraaid worden.

Tegen zulk soort onachtzaamheid is niet veel uit te richten, net als het de-anonimiseren van tor-gebruikers
via een rogue certificaat en via een eventueel bestaand facebook account of tracking pixel, zoals Rusland dat doet.

luntrus
27-05-2018, 10:57 door Anoniem
Door johanw:
Door Anoniem: Het opzetten van zo'n server is vrij moeilijk, en updaten ook. (Toch met de oudere versies).
Vroeger, toen Vidalia nog onderhouden werd, kun je makkelijk een Tor node op een windows machine draaien. Tegenwoordig is dat vrij gecompliceerd geworden, dus ik kan me voorstellen dat veel windows Tor nodes niet meer bijgewerkt zijn.

Een Tor-node op een Windows machine? Dan heb je echt oogkleppen op!
29-05-2018, 07:38 door Anoniem
Er een ansible role, dat maakt het installeren en bijwerken wel heel eenvoudig: https://github.com/nusenu/ansible-relayor
Reageren

Deze posting is gelocked. Reageren is niet meer mogelijk.