Gebruikers van het Tor-netwerk waren de afgelopen maanden het doelwit van een grootschalige man-in-the-middle (mitm)-aanval en de verantwoordelijke aanvaller is nog steeds actief, zo stelt een beveiligingsonderzoeker in een nieuw rapport. De aanvaller zou op het hoogtepunt bijna 24 procent van alle Exitnode-capaciteit van het Tor-netwerk in handen hebben gehad en gebruikte deze toegang voor het onderscheppen van http-verkeer naar bepaalde websites.

Dagelijks maken zo'n 2,5 miljoen mensen gebruik van het Tor-netwerk om hun privacy te beschermen. Het Tor-netwerk bestaat uit allerlei servers van vrijwilligers die het verkeer van Tor-gebruikers verwerken. Zo is de eerste server de entry guard, die het verzoek van de Tor-gebruiker naar de relay-node doorstuurt. Vervolgens gaat het van deze server naar de exitnode, die het verzoek naar het internet stuurt.

De eigenaar van de exitnode kan het verkeer van de Tor-gebruiker zien, maar weet niet van wie het afkomstig is. In het geval van http-verkeer kan de exitnode-beheerder het verkeer ook aanpassen. De aanvaller waarover beveiligingsonderzoeker "Nusenu" bericht maakt hiervan misbruik. De aanvaller verwijdert http-to-https redirects om toegang tot het onversleutelde http-verkeer te krijgen, zonder dat de gebruiker een certificaatwaarschuwing in Tor Browser te zien krijgt.

De meeste websites maken inmiddels gebruik van https. Wanneer de gebruiker in de adresbalk alleen de domeinnaam intikt zal de website via een http-to-https redirect de https-versie van de website laden. Bij de nu waargenomen aanval onderschept de aanvaller deze redirect en plaatst zichzelf tussen de gebruiker en opgevraagde website. De aanvaller zet tussen hemzelf en de website een beveiligde verbinding op, maar stuurt de informatie via het onversleutelde http naar de gebruiker. De gebruiker kan de aanval opmerken doordat er http en geen https in de adresbalk staat.

Om niet al teveel op te vallen heeft de aanvaller het op bepaalde websites voorzien. Het gaat dan met name om crypto-gerelateerde websites, waaronder bitcoin-mixerdiensten. De aanvaller vervangt het bitcoinadres dat de gebruiker heeft opgegeven door zijn eigen bitcoinwallet. "Het aanpassen van bitcoin-adressen is niet nieuw, maar de schaal van deze operatie is dat wel", aldus de onderzoeker, die toevoegt dat het niet mogelijk is om vast te stellen of de aanvaller zich ook met andere aanvallen bezighoudt.

Meerdere exitnode-servers van de aanvaller zijn inmiddels verwijderd, maar de onderzoeker stelt dat hij nog steeds meer dan tien procent van de exitnode-capaciteit in handen heeft. Gebruikers kunnen zich beschermen door het volledige adres in te tikken, te beginnen met https:// gevolgd door de domeinnaam. Websites kunnen hun gebruikers beschermen door gebruik te maken van HTTP Strict Transport Security (HSTS). HSTS zorgt ervoor dat websites die via https te bezoeken zijn alleen via https worden bezocht, ook al wordt er door de gebruiker http in de adresbalk ingevoerd.

Om ervoor te zorgen dat websites ook bij het allereerste bezoek alleen via https worden bezocht maken browsers gebruik van een HSTS-preloadlist. Deze lijst bevat hostnames waarvoor de browser automatisch een https-verbinding afdwingt. Domeineigenaren kunnen hun domeinen via hstspreload.org voor deze lijst aanmelden. Tenminste één van de bitcoin-websites die het doelwit van de aanval was heeft deze maatregel genomen.

Daarnaast heeft de onderzoeker ook nog een boodschap voor het Tor Project, de organisatie die het Tor-netwerk beheert. Het feit dat er herhaaldelijk op grote schaal kwaadaardige exitnode-servers worden ingezet maken volgens de onderzoeker duidelijk dat de huidige controles en aanpak voor het detecteren van dergelijke servers tekortschiet en dat het dreigingslandschap voor Tor-gebruikers is veranderd. Wel zijn er verschillende maatregelen voorgesteld die het Tor Project kan nemen.