Σας ευχαριστούμε που αφιερώσατε χρόνο για να διαβάσετε αυτό το κείμενο! Δεν είμαστε ειδικοί στη δικτύωση Tor, αλλά γνωρίζουμε τον τρόπο με τον οποίο το κάνουμε.
Αν κάτι που περιγράφεται εδώ σας φαίνεται λογικό ή/και έχετε υποψίες για το τι συμβαίνει, κάθε είδους ανατροφοδότηση εκτιμάται ιδιαίτερα!
1. Τι συμβαίνει;
Η υπηρεσία μας λειτουργούσε καλά και σταθερά για μεγάλο χρονικό διάστημα. Ξαφνικά η υπηρεσία μας παρουσίασε αρχικά ελαφρά και στη συνέχεια σοβαρά προβλήματα απόδοσης, ενώ στη συνέχεια έγινε εντελώς απρόσιτη.
Αυτό δεν φαίνεται να είναι μια "κανονική" επίθεση DDoS. Φαίνεται να είναι μια επίθεση DoS, αλλά όχι σαν κάτι γνωστό, καθώς φαίνεται να είναι μια επίθεση μόνο στο δαίμονα Tor. Όλα τα αντίμετρα που δοκιμάσαμε μέχρι στιγμής δεν ήταν επιτυχή. Δεν είναι αισθητή η επίθεση στις πραγματικές υπηρεσίες που εκτελούνται (http, ssh, ftp, mail κ.λπ.), αλλά μόνο στην ίδια τη σύνδεση Tor.
Ακόμα και αν παρόλο που κάναμε μια βαθιά έρευνα και διερεύνηση, το συμβάν φαίνεται να είναι πέρα από την κατανόησή μας. Τεκμηρίωση σχετικά με προηγούμενες επιθέσεις στις κρυφές υπηρεσίες Tor είναι σπάνιο να βρεθεί και δεν βγάζει νόημα με αυτό που βιώνουμε.
Αρνούμαστε να πιστέψουμε ότι υπάρχει ένα σενάριο επίθεσης που είναι άγνωστο και δεν μπορεί να αντιμετωπιστεί, καθώς θα καθιστούσε κάθε μία Κρυφή Υπηρεσία Tor ευάλωτη σε αυτό, με τους αντιπάλους να μπορούν να θέσουν εκτός λειτουργίας οποιαδήποτε Κρυφή Υπηρεσία Tor κατά βούληση μέσα σε λίγα λεπτά για απεριόριστο χρονικό διάστημα. Ο αντίκτυπος στην Κοινότητα Tor θα ήταν πέρα από κάθε όριο.
Ελπίζουμε ότι κάποιος με την απαραίτητη διορατικότητα και εμπειρία μπορεί τουλάχιστον να μας δώσει μια ιδέα για το τι ακριβώς συμβαίνει και να μας υποδείξει τη σωστή κατεύθυνση για την εξεύρεση μιας λύσης που θα τερματίσει αυτή την επίθεση ή θα μειώσει τον αντίκτυπό της στα συστήματά μας και θα αποτρέψει τέτοιες επιθέσεις στο μέλλον. Αυτό θα βοηθούσε στην προστασία των κρυφών υπηρεσιών Tor σε όλο τον κόσμο από μελλοντικές επιθέσεις όπως αυτή που βιώνουμε.
2. Ποια είναι η ρύθμιση;
- Το σύστημα τρέχει σε έναν τρέχοντα και πάντα ενημερωμένο διακομιστή linux (amd64)
- Όλη η κυκλοφορία δρομολογείται μέσω του Tor μέσω του Tor transport στη θύρα 9040, τα ερωτήματα DNS επιλύονται επίσης μέσω του Tor
- Η κρυφή υπηρεσία Tor είναι v3
- Το Tor είναι η έκδοση 0.4.7.8 που τρέχει με Libevent 2.1.12-stable, OpenSSL 1.1.1n, Zlib 1.2.11, Liblzma 5.2.5, Libzstd 1.4.8 και Glibc 2.31 ως libc.
- Tor μεταγλωττισμένο με την έκδοση 10.2.1 του GCC. Το Vanguards 0.3.1 είναι επίσης εγκατεστημένο.
- Το Tor εκτελείται ως υπηρεσία systemd
- Το Vanguards εκτελείται ως υπηρεσία systemd
Διαμόρφωση torrc:
CookieAuthentication 1
HashedControlPassword 16:<hash>
VirtualAddrNetworkIPv4 10.192.0.0/10
AutomapHostsOnResolve 1
TransPort 127.0.0.1:9040
DNSPort 127.0.0.1:53
HiddenServiceDir /var/lib/tor/hidden_service
HiddenServicePort 80 127.0.0.1:80
HiddenServiceVersion 3
HiddenServiceAllowUnknownPorts 0
3. Ποια είναι τα συμπτώματα;
- Λιγότερο από ένα λεπτό μετά την εκκίνηση του Tor με ενεργοποιημένη την κρυφή υπηρεσία, η CPU φτάνει στο 100%, η μνήμη δεν φαίνεται να επηρεάζεται.
- Το χρησιμοποιούμενο εύρος ζώνης αυξάνεται περίπου 100kb/s
- Ο περιγραφέας της κρυφής υπηρεσίας δεν είναι προσβάσιμος.
- Το σύστημα μπορεί ακόμα να επιλύσει τις διευθύνσεις clearnet και Tor
- Το σύστημα μπορεί ακόμα να συνδεθεί σε εξερχόμενες υπηρεσίες (π.χ. curl σε έναν ιστότοπο)
- Το σύστημα κατακλύζεται από εισερχόμενα πακέτα tcp στη διεπαφή loopback.
- Όταν το Tor επανεκκινείται, η πλημμύρα σταματά για μερικά δευτερόλεπτα και μετά ξεκινά ξανά
- Όταν το Tor εκκινείται χωρίς να είναι ενεργοποιημένη η κρυφή υπηρεσία, δεν φαίνεται να υπάρχει πρόβλημα.
- Όταν το Tor ξεκινάει με μια δεύτερη κρυφή υπηρεσία ενεργοποιημένη, και οι δύο περιγραφείς κρυφής υπηρεσίας παραμένουν απρόσιτοι:
Tor Browser στο πρωτεύον HS:
Onionsite Has Disconnected
Η πιο πιθανή αιτία είναι ότι το onionsite είναι εκτός σύνδεσης. Επικοινωνήστε με τον διαχειριστή του onionsite.
Λεπτομέρειες: 0xF2 - Η εισαγωγή απέτυχε, πράγμα που σημαίνει ότι ο περιγραφέας βρέθηκε, αλλά η υπηρεσία δεν είναι πλέον συνδεδεμένη με το σημείο εισαγωγής. Είναι πιθανό η υπηρεσία να έχει αλλάξει τον περιγραφέα της ή να μην εκτελείται.
ή
Η σύνδεση έχει λήξει χρονικά
Ο διακομιστής στη διεύθυνση (επιτέθηκε ο κρυφός περιγραφέας υπηρεσίας).onion αργεί πολύ να απαντήσει.
Ο ιστότοπος μπορεί να μην είναι προσωρινά διαθέσιμος ή να είναι πολύ απασχολημένος. Δοκιμάστε ξανά σε λίγα λεπτά.
Tor Browser στο Seconday HS:
Tor: Αδυναμία σύνδεσης
Ο Firefox δεν μπορεί να δημιουργήσει σύνδεση με τον διακομιστή στη διεύθυνση (δευτερογενής κρυμμένος περιγραφέας υπηρεσίας).onion
Ο ιστότοπος ενδέχεται να μην είναι προσωρινά διαθέσιμος ή να είναι πολύ απασχολημένος. Δοκιμάστε ξανά σε λίγα λεπτά.
- Όταν το Tor εκκινείται με ενεργοποιημένη μια δεύτερη κρυφή υπηρεσία η οποία προστατεύεται από το OnionAuthentication, ο περιγραφέας της κύριας κρυφής υπηρεσίας παραμένει μη προσβάσιμος,
ο δευτερεύων (προστατευμένος) περιγραφέας κρυφής υπηρεσίας είναι προσβάσιμος.
- Όταν το Tor εκκινείται μόνο με ενεργοποιημένη τη δεύτερη κρυφή υπηρεσία (με ή χωρίς OnionAuthentication) δεν φαίνεται να υπάρχει πρόβλημα
- Όταν το Tor εκκινείται με την κύρια κρυφή υπηρεσία που προστατεύεται από το OnionAuthentication, ο περιγραφέας κρυφής υπηρεσίας είναι προσβάσιμος
- Όταν δέχεται επίθεση, εμφανίζονται αυτές οι εγγραφές στο αρχείο καταγραφής του Tor:
Aug 24 19:42:18.000 [notice] Bootstrapped 100% (done): Έγινε
Aug 24 19:42:34.000 [notice] Η ταχύτητα της σύνδεσής σας στο δίκτυο φαίνεται να έχει αλλάξει. Επαναφορά του χρονικού ορίου σε 60000ms μετά από 18 χρονικά όρια και 388 χρόνους δημιουργίας.
Aug 24 19:42:39.000 [notice] Η ταχύτητα της σύνδεσής σας στο δίκτυο φαίνεται να έχει αλλάξει. Επαναφορά του χρονικού ορίου σε 60000ms μετά από 18 χρονικά όρια και 240 χρόνους δημιουργίας.
Aug 24 19:42:53.000 [notice] Η ταχύτητα της σύνδεσής σας στο δίκτυο φαίνεται να έχει αλλάξει. Επαναφορά του χρονικού ορίου σε 60000ms μετά από 18 timeouts και 489 buildtimes.
Aug 24 19:43:11.000 [notice] Η ταχύτητα της σύνδεσής σας στο δίκτυο φαίνεται να έχει αλλάξει. Επαναφορά του χρονικού ορίου σε 60000ms μετά από 18 timeouts και 659 buildtimes.
...
Aug 24 19:46:09.000 [notice] Εξαιρετικά μεγάλη τιμή για το χρονικό όριο κατασκευής κυκλώματος: 122s. Υποθέτοντας άλμα ρολογιού. Σκοπός 14 (Μέτρηση χρονικού ορίου κυκλώματος)
Aug 24 19:46:09.000 [notice] Εξαιρετικά μεγάλη τιμή για το χρονικό όριο κατασκευής κυκλώματος: 122s. Υποθέτοντας άλμα ρολογιού. Σκοπός 14 (Μέτρηση χρονικού ορίου κυκλώματος)
Aug 24 19:46:09.000 [notice] Η ταχύτητα της σύνδεσής σας στο δίκτυο φαίνεται να έχει αλλάξει. Επαναφορά του χρονικού ορίου σε 60000ms μετά από 18 χρονικά όρια και 114 χρόνους κατασκευής.
Aug 24 19:46:15.000 [ειδοποίηση] Η ταχύτητα της σύνδεσής σας στο δίκτυο φαίνεται να έχει αλλάξει. Επαναφορά του χρονικού ορίου σε 60000ms μετά από 18 timeouts και 125 buildtimes.
...
Aug 24 19:47:08.000 [notice] Εξαιρετικά μεγάλη τιμή για το χρονικό όριο κατασκευής κυκλώματος: 123s. Υποθέτοντας άλμα ρολογιού. Σκοπός 14 (Μέτρηση χρονικού ορίου κυκλώματος)
Aug 24 19:47:10.000 [notice] Εξαιρετικά μεγάλη τιμή για το χρονικό όριο κατασκευής κυκλώματος: 122s. Υποθέτοντας άλμα ρολογιού. Σκοπός 14 (Μέτρηση χρονικού ορίου κυκλώματος)
Aug 24 19:47:10.000 [notice] Εξαιρετικά μεγάλη τιμή για το χρονικό όριο κατασκευής κυκλώματος: 123s. Υποθέτοντας άλμα ρολογιού. Σκοπός 14 (Μέτρηση χρονικού ορίου κυκλώματος)
Aug 24 19:47:13.000 [notice] Εξαιρετικά μεγάλη τιμή για το χρονικό όριο κατασκευής κυκλώματος: 123s. Υποθέτοντας άλμα ρολογιού. Σκοπός 14 (Μέτρηση χρονικού ορίου κυκλώματος)
Aug 24 19:47:14.000 [ειδοποίηση] Η ταχύτητα της σύνδεσής σας στο δίκτυο φαίνεται να έχει αλλάξει. Επαναφορά του χρονικού ορίου σε 60000ms μετά από 18 χρονικά όρια και 495 χρόνους κατασκευής.
Aug 24 19:47:18.000 [ειδοποίηση] Η ταχύτητα της σύνδεσής σας στο δίκτυο φαίνεται να έχει αλλάξει. Επαναφορά του χρονικού ορίου σε 60000ms μετά από 18 timeouts και 124 buildtimes.
Aug 24 19:47:21.000 [notice] Εξαιρετικά μεγάλη τιμή για το χρονικό όριο κατασκευής κυκλώματος: 122s. Υποθέτοντας άλμα ρολογιού. Σκοπός 14 (Μέτρηση χρονικού ορίου κυκλώματος)
Aug 24 19:47:23.000 [notice] Εξαιρετικά μεγάλη τιμή για το χρονικό όριο κατασκευής κυκλώματος: 123s. Υποθέτοντας άλμα ρολογιού. Σκοπός 14 (Μέτρηση χρονικού ορίου κυκλώματος)
...
Aug 24 19:47:55.000 [notice] Η ταχύτητα της σύνδεσής σας στο δίκτυο φαίνεται να έχει αλλάξει. Επαναφορά του χρονικού ορίου στα 60000ms μετά από 18 χρονικά όρια και 1000 χρόνους κατασκευής.
Aug 24 19:47:59.000 [ειδοποίηση] Η ταχύτητα της σύνδεσής σας στο δίκτυο φαίνεται να έχει αλλάξει. Επαναφορά του χρονικού ορίου σε 60000ms μετά από 18 χρονικά όρια και 117 χρόνους δημιουργίας.
...
Aug 24 19:52:43.000 [notice] Παράξενη τιμή για το χρόνο κατασκευής του κυκλώματος: 121581msec. Υποθέτοντας άλμα ρολογιού. Σκοπός 14 (Μέτρηση χρονικού ορίου κυκλώματος)
Aug 24 19:52:43.000 [notice] Η ταχύτητα της σύνδεσής σας στο δίκτυο φαίνεται να έχει αλλάξει. Επαναφορά του timeout σε 120000ms μετά από 18 timeouts και 57 buildtimes.
Aug 24 19:52:53.000 [notice] Διακοπή: καθαρή έξοδος.
4. Τι επιχειρήθηκε για την επίλυση του προβλήματος;
- Δημιουργήσαμε έναν εντελώς νέο διακομιστή από το μηδέν που τρέχει μόνο το βασικό λειτουργικό σύστημα καθώς και το tor και τα vanguards σε τυπική διαμόρφωση για να αποκλείσουμε την πιθανότητα λανθασμένης διαμόρφωσης στον επηρεαζόμενο διακομιστή μας. Μόλις ξεκίνησε το tor με τον επιτιθέμενο περιγραφέα συμβαίνουν ακριβώς τα ίδια πράγματα.
- Προσπαθήσαμε να μοιράσουμε το φορτίο στο διακομιστή μας μέσω του OnionBalance σε αυτή τη ρύθμιση:
Server1: Onionbalance για τον πρωτεύοντα κρυφό περιγραφέα υπηρεσίας
Server2/3/4: Εκτελεί την κρυφή υπηρεσία σε νέους και διαφορετικούς περιγραφείς κρυφής υπηρεσίας
- Αυτό δεν επαναφέρει τον αρχικό περιγραφέα κρυφής υπηρεσίας στη ζωή
- Οι περιγραφείς υπηρεσιών στους διακομιστές 2/3/4 είναι προσβάσιμοι όταν ανοίγονται απευθείας, αλλά όχι μέσω του πλέον ισορροπημένου πρωτεύοντος περιγραφέα
- Η CPU στους διακομιστές 2/3/4 ανεβαίνει στο 100% όσο διαρκεί η επίθεση, ενώ η CPU στον διακομιστή 1 (εξισορροπητής) παραμένει κανονική
- Η προσθήκη περισσότερων backend διακομιστών στον εξισορροπητή δεν έκανε καμία διαφορά
- Προσθέσαμε αυτές τις οδηγίες στο μπλοκ hidden service στο torrc και δοκιμάσαμε διάφορες ρυθμίσεις σε αυτές:
HiddenServiceEnableIntroDoSDefense 1
HiddenServiceEnableIntroDoSBurstPerSec <δοκιμάστηκε με διάφορες τιμές>.
HiddenServiceEnableIntroDoSRatePerSec <δοκιμάστηκε με διάφορες τιμές>
Αυτό μείωσε σημαντικά το φορτίο CPU στους διακομιστές 2/3/4, αλλά ο περιγραφέας ισορροπημένης υπηρεσίας παραμένει απρόσιτος.
- Δοκιμάσαμε να αλλάξουμε διάφορες ρυθμίσεις στο vanguards.conf, χωρίς επιτυχία.
- Προσπαθήσαμε να εντοπίσουμε τα επιτιθέμενα πακέτα tcp και να τα μπλοκάρουμε μέσω iptables, χωρίς επιτυχία.
Η τεχνογνωσία μας δεν επαρκεί για να αντλήσουμε ιδέες για το τι ακριβώς συμβαίνει, επιθεωρώντας τα περιεχόμενα των εν λόγω πακέτων tcp, τα οποία μοιάζουν με αυτό:
19:45:27.839934 IP (tos 0x0, ttl 64, id 35746, offset 0, flags [DF], proto TCP (6), length 4100)
127.0.0.0.1.9051 > 127.0.0.0.1.46712: Flags [P.], cksum 0x0df9 (εσφαλμένο -> 0xe713), seq 1543428574:1543432622, ack 1711981309, win 512, options [nop,nop,TS val 2971851406 ecr 2971851369], length 4048
E.....@[email protected]........#[.x[...f
.............
."...".i650 CIRC 9802 EXTENDED $2BCA0A8B5759DBD764BF9FA5D1B3AEE9D74D2B68~Waeswynn,$CED577F091DCB15AD8C87FBD452A51EA9E60BFC2~strayWires,$CC8B218ED3615827A5DCF008FC62598DEF533B4F~mikrogravitation02,$7B46F20449D6F25150E189428B62E1E3BA5848A9~galtlandeu,$BF93594384A02DE7689C4FD821E2638DA2CD4792~labaliseridicule BUILD_FLAGS=IS_INTERNAL,NEED_CAPACITY PURPOSE=HS_SERVICE_REND HS_STATE=HSSR_CONNECTING REND_QUERY=|---------(attacked hidden service descriptor)---------| TIME_CREATED=2022-08-24T19:45:22.060324
650 CIRC 9802 BUILT $2BCA0A8B5759DBD764BF9FA5D1B3AEE9D74D2B68~Waeswynn,$CED577F091DCB15AD8C87FBD452A51EA9E60BFC2~strayWires,$CC8B218ED3615827A5DCF008FC62598DEF533B4F~mikrogravitation02,$7B46F20449D6F25150E189428B62E1E3BA5848A9~galtlandeu,$BF93594384A02DE7689C4FD821E2638DA2CD4792~labaliseridicule BUILD_FLAGS=IS_INTERNAL,NEED_CAPACITY PURPOSE=HS_SERVICE_REND HS_STATE=HSSR_CONNECTING REND_QUERY=|---------(attacked hidden service descriptor)---------| TIME_CREATED=2022-08-24T19:45:22.060324
650 CIRC_MINOR 9802 PURPOSE_CHANGED $2BCA0A8B5759DBD764BF9FA5D1B3AEE9D74D2B68~Waeswynn,$CED577F091DCB15AD8C87FBD452A51EA9E60BFC2~strayWires,$CC8B218ED3615827A5DCF008FC62598DEF533B4F~mikrogravitation02,$7B46F20449D6F25150E189428B62E1E3BA5848A9~galtlandeu,$BF93594384A02DE7689C4FD821E2638DA2CD4792~labaliseridicule BUILD_FLAGS=IS_INTERNAL,NEED_CAPACITY PURPOSE=HS_SERVICE_REND HS_STATE=HSSR_JOINED REND_QUERY=|---------(attacked hidden service descriptor)---------| TIME_CREATED=2022-08-24T19:45:22.060324 OLD_PURPOSE=HS_SERVICE_REND OLD_HS_STATE=HSSR_CONNECTING
650 CIRC 9818 EXTENDED $2BCA0A8B5759DBD764BF9FA5D1B3AEE9D74D2B68~Waeswynn,$CED577F091DCB15AD8C87FBD452A51EA9E60BFC2~strayWires,$CC8B218ED3615827A5DCF008FC62598DEF533B4F~mikrogravitation02,$7A319C431F38CB30A0BC0C49144369A611920725~BahnhufPowah2,$8587A1B4CCD0700F164CCD588F79743C74FE8700~mev4PLicebeer16b BUILD_FLAGS=IS_INTERNAL,NEED_CAPACITY PURPOSE=HS_SERVICE_REND HS_STATE=HSSR_CONNECTING REND_QUERY=|---------(attacked hidden service descriptor)---------| TIME_CREATED=2022-08-24T19:45:22.493699
650 CIRC 9818 BUILT $2BCA0A8B5759DBD764BF9FA5D1B3AEE9D74D2B68~Waeswynn,$CED577F091DCB15AD8C87FBD452A51EA9E60BFC2~strayWires,$CC8B218ED3615827A5DCF008FC62598DEF533B4F~mikrogravitation02,$7A319C431F38CB30A0BC0C49144369A611920725~BahnhufPowah2,$8587A1B4CCD0700F164CCD588F79743C74FE8700~mev4PLicebeer16b BUILD_FLAGS=IS_INTERNAL,NEED_CAPACITY PURPOSE=HS_SERVICE_REND HS_STATE=HSSR_CONNECTING REND_QUERY=|---------(attacked hidden service descriptor)---------| TIME_CREATED=2022-08-24T19:45:22.493699
650 CIRC_MINOR 9818 PURPOSE_CHANGED $2BCA0A8B5759DBD764BF9FA5D1B3AEE9D74D2B68~Waeswynn,$CED577F091DCB15AD8C87FBD452A51EA9E60BFC2~strayWires,$CC8B218ED3615827A5DCF008FC62598DEF533B4F~mikrogravitation02,$7A319C431F38CB30A0BC0C49144369A611920725~BahnhufPowah2,$8587A1B4CCD0700F164CCD588F79743C74FE8700~mev4PLicebeer16b BUILD_FLAGS=IS_INTERNAL,NEED_CAPACITY PURPOSE=HS_SERVICE_REND HS_STATE=HSSR_JOINED REND_QUERY=|---------(attacked hidden service descriptor)---------| TIME_CREATED=2022-08-24T19:45:22.493699 OLD_PURPOSE=HS_SERVICE_REND OLD_HS_STATE=HSSR_CONNECTING
650 CIRC 9997 EXTENDED $2BCA0A8B5759DBD764BF9FA5D1B3AEE9D74D2B68~Waeswynn,$8D896C8B367813030591A00DB7E7722EF6C4C23C~Luxembourg,$FF353F5D011E69ECDA10A57B46D06BC7B3FEB196~fuego,$347253D1D5246CB1C4CF8088C6982FE77CF7AB9C~ph3x,$E84F41FA1D1FA303FD7A99A35E50ACEF4269868C~Quetzalcoatl BUILD_FLAGS=IS_INTERNAL,NEED_CAPACITY PURPOSE=HS_SERVICE_REND HS_STATE=HSSR_CONNECTING REND_QUERY=|---------(attacked hidden service descriptor)---------| TIME_CREATED=2022-08-24T19:45:25.100429
650 CIRC 9997 BUILT $2BCA0A8B5759DBD764BF9FA5D1B3AEE9D74D2B68~Waeswynn,$8D896C8B367813030591A00DB7E7722EF6C4C23C~Luxembourg,$FF353F5D011E69ECDA10A57B46D06BC7B3FEB196~fuego,$347253D1D5246CB1C4CF8088C6982FE77CF7AB9C~ph3x,$E84F41FA1D1FA303FD7A99A35E50ACEF4269868C~Quetzalcoatl BUILD_FLAGS=IS_INTERNAL,NEED_CAPACITY PURPOSE=HS_SERVICE_REND HS_STATE=HSSR_CONNECTING REND_QUERY=|---------(attacked hidden service descriptor)---------| TIME_CREATED=2022-08-24T19:45:25.10
Αυτό συμβαίνει με το Tor που εκτελείται σε έναν μόνο διακομιστή. Κατά την εξισορρόπηση, το |---------(attacked hidden service descriptor)---------| αντικαθίσταται από τις περιγραφές υπηρεσιών backends των διακομιστών 2/3/4.
Μπορούμε να διαθέσουμε ένα μεγαλύτερο απόσπασμα tcpdump, αν χρειαστεί.
5. Συμπεράσματα
Πιστεύουμε ότι ένας αντίπαλος έχει τη δυνατότητα να "διακόψει" έναν περιγραφέα κρυφής υπηρεσίας (και επομένως την ίδια την κρυφή υπηρεσία), κατακλύζοντας τον δαίμονα Tor με αμέτρητα πακέτα tcp, ζητώντας να κατασκευάσει κυκλώματα. Αυτό είναι που προκαλεί το φορτίο της CPU και τελικά καθιστά τον Περιγραφέα Κρυφής Υπηρεσίας άχρηστο.
Μπορεί κάποιος να το επιβεβαιώσει αυτό;
Δεδομένου ότι οδηγίες όπως οι εν λόγω HiddenServiceEnableIntroDoSDefense, HiddenServiceEnableIntroDoSBurstPerSec και HiddenServiceEnableIntroDoSRatePerSec φαίνεται να προορίζονται για την άμυνα ενάντια σε αυτού του είδους τις επιθέσεις, όπως θα έπρεπε να κάνουν και οι vanguards, δεν μπορούμε να εξηγήσουμε γιατί αυτές παραμένουν αναποτελεσματικές. Ίσως απαιτούνται κάποιες πολύ εξειδικευμένες ρυθμίσεις αυτών των τιμών για να είναι αποτελεσματικές. Δυστυχώς, αυτές οι οδηγίες (καθώς και οι ρυθμίσεις στο vanguards.config) περιγράφονται μόνο με αόριστο τρόπο.
Γνωρίζει κανείς, πώς πρέπει να ρυθμιστούν σωστά για να είναι αποτελεσματικές;
Σε αυτό το σημείο εξαντλήσαμε όλες τις αναφορές για το tor και τις ρυθμίσεις vanguards που μπορέσαμε να βρούμε στο διαδίκτυο.
Και πάλι, οποιαδήποτε βοήθεια ή πληροφορία σχετικά με αυτό το θέμα θα εκτιμηθεί ιδιαίτερα! Δεν πιστεύουμε ότι δεν υπάρχει καμία λύση σε αυτό.
Αν κάτι που περιγράφεται εδώ σας φαίνεται λογικό ή/και έχετε υποψίες για το τι συμβαίνει, κάθε είδους ανατροφοδότηση εκτιμάται ιδιαίτερα!
1. Τι συμβαίνει;
Η υπηρεσία μας λειτουργούσε καλά και σταθερά για μεγάλο χρονικό διάστημα. Ξαφνικά η υπηρεσία μας παρουσίασε αρχικά ελαφρά και στη συνέχεια σοβαρά προβλήματα απόδοσης, ενώ στη συνέχεια έγινε εντελώς απρόσιτη.
Αυτό δεν φαίνεται να είναι μια "κανονική" επίθεση DDoS. Φαίνεται να είναι μια επίθεση DoS, αλλά όχι σαν κάτι γνωστό, καθώς φαίνεται να είναι μια επίθεση μόνο στο δαίμονα Tor. Όλα τα αντίμετρα που δοκιμάσαμε μέχρι στιγμής δεν ήταν επιτυχή. Δεν είναι αισθητή η επίθεση στις πραγματικές υπηρεσίες που εκτελούνται (http, ssh, ftp, mail κ.λπ.), αλλά μόνο στην ίδια τη σύνδεση Tor.
Ακόμα και αν παρόλο που κάναμε μια βαθιά έρευνα και διερεύνηση, το συμβάν φαίνεται να είναι πέρα από την κατανόησή μας. Τεκμηρίωση σχετικά με προηγούμενες επιθέσεις στις κρυφές υπηρεσίες Tor είναι σπάνιο να βρεθεί και δεν βγάζει νόημα με αυτό που βιώνουμε.
Αρνούμαστε να πιστέψουμε ότι υπάρχει ένα σενάριο επίθεσης που είναι άγνωστο και δεν μπορεί να αντιμετωπιστεί, καθώς θα καθιστούσε κάθε μία Κρυφή Υπηρεσία Tor ευάλωτη σε αυτό, με τους αντιπάλους να μπορούν να θέσουν εκτός λειτουργίας οποιαδήποτε Κρυφή Υπηρεσία Tor κατά βούληση μέσα σε λίγα λεπτά για απεριόριστο χρονικό διάστημα. Ο αντίκτυπος στην Κοινότητα Tor θα ήταν πέρα από κάθε όριο.
Ελπίζουμε ότι κάποιος με την απαραίτητη διορατικότητα και εμπειρία μπορεί τουλάχιστον να μας δώσει μια ιδέα για το τι ακριβώς συμβαίνει και να μας υποδείξει τη σωστή κατεύθυνση για την εξεύρεση μιας λύσης που θα τερματίσει αυτή την επίθεση ή θα μειώσει τον αντίκτυπό της στα συστήματά μας και θα αποτρέψει τέτοιες επιθέσεις στο μέλλον. Αυτό θα βοηθούσε στην προστασία των κρυφών υπηρεσιών Tor σε όλο τον κόσμο από μελλοντικές επιθέσεις όπως αυτή που βιώνουμε.
2. Ποια είναι η ρύθμιση;
- Το σύστημα τρέχει σε έναν τρέχοντα και πάντα ενημερωμένο διακομιστή linux (amd64)
- Όλη η κυκλοφορία δρομολογείται μέσω του Tor μέσω του Tor transport στη θύρα 9040, τα ερωτήματα DNS επιλύονται επίσης μέσω του Tor
- Η κρυφή υπηρεσία Tor είναι v3
- Το Tor είναι η έκδοση 0.4.7.8 που τρέχει με Libevent 2.1.12-stable, OpenSSL 1.1.1n, Zlib 1.2.11, Liblzma 5.2.5, Libzstd 1.4.8 και Glibc 2.31 ως libc.
- Tor μεταγλωττισμένο με την έκδοση 10.2.1 του GCC. Το Vanguards 0.3.1 είναι επίσης εγκατεστημένο.
- Το Tor εκτελείται ως υπηρεσία systemd
- Το Vanguards εκτελείται ως υπηρεσία systemd
Διαμόρφωση torrc:
CookieAuthentication 1
HashedControlPassword 16:<hash>
VirtualAddrNetworkIPv4 10.192.0.0/10
AutomapHostsOnResolve 1
TransPort 127.0.0.1:9040
DNSPort 127.0.0.1:53
HiddenServiceDir /var/lib/tor/hidden_service
HiddenServicePort 80 127.0.0.1:80
HiddenServiceVersion 3
HiddenServiceAllowUnknownPorts 0
3. Ποια είναι τα συμπτώματα;
- Λιγότερο από ένα λεπτό μετά την εκκίνηση του Tor με ενεργοποιημένη την κρυφή υπηρεσία, η CPU φτάνει στο 100%, η μνήμη δεν φαίνεται να επηρεάζεται.
- Το χρησιμοποιούμενο εύρος ζώνης αυξάνεται περίπου 100kb/s
- Ο περιγραφέας της κρυφής υπηρεσίας δεν είναι προσβάσιμος.
- Το σύστημα μπορεί ακόμα να επιλύσει τις διευθύνσεις clearnet και Tor
- Το σύστημα μπορεί ακόμα να συνδεθεί σε εξερχόμενες υπηρεσίες (π.χ. curl σε έναν ιστότοπο)
- Το σύστημα κατακλύζεται από εισερχόμενα πακέτα tcp στη διεπαφή loopback.
- Όταν το Tor επανεκκινείται, η πλημμύρα σταματά για μερικά δευτερόλεπτα και μετά ξεκινά ξανά
- Όταν το Tor εκκινείται χωρίς να είναι ενεργοποιημένη η κρυφή υπηρεσία, δεν φαίνεται να υπάρχει πρόβλημα.
- Όταν το Tor ξεκινάει με μια δεύτερη κρυφή υπηρεσία ενεργοποιημένη, και οι δύο περιγραφείς κρυφής υπηρεσίας παραμένουν απρόσιτοι:
Tor Browser στο πρωτεύον HS:
Onionsite Has Disconnected
Η πιο πιθανή αιτία είναι ότι το onionsite είναι εκτός σύνδεσης. Επικοινωνήστε με τον διαχειριστή του onionsite.
Λεπτομέρειες: 0xF2 - Η εισαγωγή απέτυχε, πράγμα που σημαίνει ότι ο περιγραφέας βρέθηκε, αλλά η υπηρεσία δεν είναι πλέον συνδεδεμένη με το σημείο εισαγωγής. Είναι πιθανό η υπηρεσία να έχει αλλάξει τον περιγραφέα της ή να μην εκτελείται.
ή
Η σύνδεση έχει λήξει χρονικά
Ο διακομιστής στη διεύθυνση (επιτέθηκε ο κρυφός περιγραφέας υπηρεσίας).onion αργεί πολύ να απαντήσει.
Ο ιστότοπος μπορεί να μην είναι προσωρινά διαθέσιμος ή να είναι πολύ απασχολημένος. Δοκιμάστε ξανά σε λίγα λεπτά.
Tor Browser στο Seconday HS:
Tor: Αδυναμία σύνδεσης
Ο Firefox δεν μπορεί να δημιουργήσει σύνδεση με τον διακομιστή στη διεύθυνση (δευτερογενής κρυμμένος περιγραφέας υπηρεσίας).onion
Ο ιστότοπος ενδέχεται να μην είναι προσωρινά διαθέσιμος ή να είναι πολύ απασχολημένος. Δοκιμάστε ξανά σε λίγα λεπτά.
- Όταν το Tor εκκινείται με ενεργοποιημένη μια δεύτερη κρυφή υπηρεσία η οποία προστατεύεται από το OnionAuthentication, ο περιγραφέας της κύριας κρυφής υπηρεσίας παραμένει μη προσβάσιμος,
ο δευτερεύων (προστατευμένος) περιγραφέας κρυφής υπηρεσίας είναι προσβάσιμος.
- Όταν το Tor εκκινείται μόνο με ενεργοποιημένη τη δεύτερη κρυφή υπηρεσία (με ή χωρίς OnionAuthentication) δεν φαίνεται να υπάρχει πρόβλημα
- Όταν το Tor εκκινείται με την κύρια κρυφή υπηρεσία που προστατεύεται από το OnionAuthentication, ο περιγραφέας κρυφής υπηρεσίας είναι προσβάσιμος
- Όταν δέχεται επίθεση, εμφανίζονται αυτές οι εγγραφές στο αρχείο καταγραφής του Tor:
Aug 24 19:42:18.000 [notice] Bootstrapped 100% (done): Έγινε
Aug 24 19:42:34.000 [notice] Η ταχύτητα της σύνδεσής σας στο δίκτυο φαίνεται να έχει αλλάξει. Επαναφορά του χρονικού ορίου σε 60000ms μετά από 18 χρονικά όρια και 388 χρόνους δημιουργίας.
Aug 24 19:42:39.000 [notice] Η ταχύτητα της σύνδεσής σας στο δίκτυο φαίνεται να έχει αλλάξει. Επαναφορά του χρονικού ορίου σε 60000ms μετά από 18 χρονικά όρια και 240 χρόνους δημιουργίας.
Aug 24 19:42:53.000 [notice] Η ταχύτητα της σύνδεσής σας στο δίκτυο φαίνεται να έχει αλλάξει. Επαναφορά του χρονικού ορίου σε 60000ms μετά από 18 timeouts και 489 buildtimes.
Aug 24 19:43:11.000 [notice] Η ταχύτητα της σύνδεσής σας στο δίκτυο φαίνεται να έχει αλλάξει. Επαναφορά του χρονικού ορίου σε 60000ms μετά από 18 timeouts και 659 buildtimes.
...
Aug 24 19:46:09.000 [notice] Εξαιρετικά μεγάλη τιμή για το χρονικό όριο κατασκευής κυκλώματος: 122s. Υποθέτοντας άλμα ρολογιού. Σκοπός 14 (Μέτρηση χρονικού ορίου κυκλώματος)
Aug 24 19:46:09.000 [notice] Εξαιρετικά μεγάλη τιμή για το χρονικό όριο κατασκευής κυκλώματος: 122s. Υποθέτοντας άλμα ρολογιού. Σκοπός 14 (Μέτρηση χρονικού ορίου κυκλώματος)
Aug 24 19:46:09.000 [notice] Η ταχύτητα της σύνδεσής σας στο δίκτυο φαίνεται να έχει αλλάξει. Επαναφορά του χρονικού ορίου σε 60000ms μετά από 18 χρονικά όρια και 114 χρόνους κατασκευής.
Aug 24 19:46:15.000 [ειδοποίηση] Η ταχύτητα της σύνδεσής σας στο δίκτυο φαίνεται να έχει αλλάξει. Επαναφορά του χρονικού ορίου σε 60000ms μετά από 18 timeouts και 125 buildtimes.
...
Aug 24 19:47:08.000 [notice] Εξαιρετικά μεγάλη τιμή για το χρονικό όριο κατασκευής κυκλώματος: 123s. Υποθέτοντας άλμα ρολογιού. Σκοπός 14 (Μέτρηση χρονικού ορίου κυκλώματος)
Aug 24 19:47:10.000 [notice] Εξαιρετικά μεγάλη τιμή για το χρονικό όριο κατασκευής κυκλώματος: 122s. Υποθέτοντας άλμα ρολογιού. Σκοπός 14 (Μέτρηση χρονικού ορίου κυκλώματος)
Aug 24 19:47:10.000 [notice] Εξαιρετικά μεγάλη τιμή για το χρονικό όριο κατασκευής κυκλώματος: 123s. Υποθέτοντας άλμα ρολογιού. Σκοπός 14 (Μέτρηση χρονικού ορίου κυκλώματος)
Aug 24 19:47:13.000 [notice] Εξαιρετικά μεγάλη τιμή για το χρονικό όριο κατασκευής κυκλώματος: 123s. Υποθέτοντας άλμα ρολογιού. Σκοπός 14 (Μέτρηση χρονικού ορίου κυκλώματος)
Aug 24 19:47:14.000 [ειδοποίηση] Η ταχύτητα της σύνδεσής σας στο δίκτυο φαίνεται να έχει αλλάξει. Επαναφορά του χρονικού ορίου σε 60000ms μετά από 18 χρονικά όρια και 495 χρόνους κατασκευής.
Aug 24 19:47:18.000 [ειδοποίηση] Η ταχύτητα της σύνδεσής σας στο δίκτυο φαίνεται να έχει αλλάξει. Επαναφορά του χρονικού ορίου σε 60000ms μετά από 18 timeouts και 124 buildtimes.
Aug 24 19:47:21.000 [notice] Εξαιρετικά μεγάλη τιμή για το χρονικό όριο κατασκευής κυκλώματος: 122s. Υποθέτοντας άλμα ρολογιού. Σκοπός 14 (Μέτρηση χρονικού ορίου κυκλώματος)
Aug 24 19:47:23.000 [notice] Εξαιρετικά μεγάλη τιμή για το χρονικό όριο κατασκευής κυκλώματος: 123s. Υποθέτοντας άλμα ρολογιού. Σκοπός 14 (Μέτρηση χρονικού ορίου κυκλώματος)
...
Aug 24 19:47:55.000 [notice] Η ταχύτητα της σύνδεσής σας στο δίκτυο φαίνεται να έχει αλλάξει. Επαναφορά του χρονικού ορίου στα 60000ms μετά από 18 χρονικά όρια και 1000 χρόνους κατασκευής.
Aug 24 19:47:59.000 [ειδοποίηση] Η ταχύτητα της σύνδεσής σας στο δίκτυο φαίνεται να έχει αλλάξει. Επαναφορά του χρονικού ορίου σε 60000ms μετά από 18 χρονικά όρια και 117 χρόνους δημιουργίας.
...
Aug 24 19:52:43.000 [notice] Παράξενη τιμή για το χρόνο κατασκευής του κυκλώματος: 121581msec. Υποθέτοντας άλμα ρολογιού. Σκοπός 14 (Μέτρηση χρονικού ορίου κυκλώματος)
Aug 24 19:52:43.000 [notice] Η ταχύτητα της σύνδεσής σας στο δίκτυο φαίνεται να έχει αλλάξει. Επαναφορά του timeout σε 120000ms μετά από 18 timeouts και 57 buildtimes.
Aug 24 19:52:53.000 [notice] Διακοπή: καθαρή έξοδος.
4. Τι επιχειρήθηκε για την επίλυση του προβλήματος;
- Δημιουργήσαμε έναν εντελώς νέο διακομιστή από το μηδέν που τρέχει μόνο το βασικό λειτουργικό σύστημα καθώς και το tor και τα vanguards σε τυπική διαμόρφωση για να αποκλείσουμε την πιθανότητα λανθασμένης διαμόρφωσης στον επηρεαζόμενο διακομιστή μας. Μόλις ξεκίνησε το tor με τον επιτιθέμενο περιγραφέα συμβαίνουν ακριβώς τα ίδια πράγματα.
- Προσπαθήσαμε να μοιράσουμε το φορτίο στο διακομιστή μας μέσω του OnionBalance σε αυτή τη ρύθμιση:
Server1: Onionbalance για τον πρωτεύοντα κρυφό περιγραφέα υπηρεσίας
Server2/3/4: Εκτελεί την κρυφή υπηρεσία σε νέους και διαφορετικούς περιγραφείς κρυφής υπηρεσίας
- Αυτό δεν επαναφέρει τον αρχικό περιγραφέα κρυφής υπηρεσίας στη ζωή
- Οι περιγραφείς υπηρεσιών στους διακομιστές 2/3/4 είναι προσβάσιμοι όταν ανοίγονται απευθείας, αλλά όχι μέσω του πλέον ισορροπημένου πρωτεύοντος περιγραφέα
- Η CPU στους διακομιστές 2/3/4 ανεβαίνει στο 100% όσο διαρκεί η επίθεση, ενώ η CPU στον διακομιστή 1 (εξισορροπητής) παραμένει κανονική
- Η προσθήκη περισσότερων backend διακομιστών στον εξισορροπητή δεν έκανε καμία διαφορά
- Προσθέσαμε αυτές τις οδηγίες στο μπλοκ hidden service στο torrc και δοκιμάσαμε διάφορες ρυθμίσεις σε αυτές:
HiddenServiceEnableIntroDoSDefense 1
HiddenServiceEnableIntroDoSBurstPerSec <δοκιμάστηκε με διάφορες τιμές>.
HiddenServiceEnableIntroDoSRatePerSec <δοκιμάστηκε με διάφορες τιμές>
Αυτό μείωσε σημαντικά το φορτίο CPU στους διακομιστές 2/3/4, αλλά ο περιγραφέας ισορροπημένης υπηρεσίας παραμένει απρόσιτος.
- Δοκιμάσαμε να αλλάξουμε διάφορες ρυθμίσεις στο vanguards.conf, χωρίς επιτυχία.
- Προσπαθήσαμε να εντοπίσουμε τα επιτιθέμενα πακέτα tcp και να τα μπλοκάρουμε μέσω iptables, χωρίς επιτυχία.
Η τεχνογνωσία μας δεν επαρκεί για να αντλήσουμε ιδέες για το τι ακριβώς συμβαίνει, επιθεωρώντας τα περιεχόμενα των εν λόγω πακέτων tcp, τα οποία μοιάζουν με αυτό:
19:45:27.839934 IP (tos 0x0, ttl 64, id 35746, offset 0, flags [DF], proto TCP (6), length 4100)
127.0.0.0.1.9051 > 127.0.0.0.1.46712: Flags [P.], cksum 0x0df9 (εσφαλμένο -> 0xe713), seq 1543428574:1543432622, ack 1711981309, win 512, options [nop,nop,TS val 2971851406 ecr 2971851369], length 4048
E.....@[email protected]........#[.x[...f
.............
."...".i650 CIRC 9802 EXTENDED $2BCA0A8B5759DBD764BF9FA5D1B3AEE9D74D2B68~Waeswynn,$CED577F091DCB15AD8C87FBD452A51EA9E60BFC2~strayWires,$CC8B218ED3615827A5DCF008FC62598DEF533B4F~mikrogravitation02,$7B46F20449D6F25150E189428B62E1E3BA5848A9~galtlandeu,$BF93594384A02DE7689C4FD821E2638DA2CD4792~labaliseridicule BUILD_FLAGS=IS_INTERNAL,NEED_CAPACITY PURPOSE=HS_SERVICE_REND HS_STATE=HSSR_CONNECTING REND_QUERY=|---------(attacked hidden service descriptor)---------| TIME_CREATED=2022-08-24T19:45:22.060324
650 CIRC 9802 BUILT $2BCA0A8B5759DBD764BF9FA5D1B3AEE9D74D2B68~Waeswynn,$CED577F091DCB15AD8C87FBD452A51EA9E60BFC2~strayWires,$CC8B218ED3615827A5DCF008FC62598DEF533B4F~mikrogravitation02,$7B46F20449D6F25150E189428B62E1E3BA5848A9~galtlandeu,$BF93594384A02DE7689C4FD821E2638DA2CD4792~labaliseridicule BUILD_FLAGS=IS_INTERNAL,NEED_CAPACITY PURPOSE=HS_SERVICE_REND HS_STATE=HSSR_CONNECTING REND_QUERY=|---------(attacked hidden service descriptor)---------| TIME_CREATED=2022-08-24T19:45:22.060324
650 CIRC_MINOR 9802 PURPOSE_CHANGED $2BCA0A8B5759DBD764BF9FA5D1B3AEE9D74D2B68~Waeswynn,$CED577F091DCB15AD8C87FBD452A51EA9E60BFC2~strayWires,$CC8B218ED3615827A5DCF008FC62598DEF533B4F~mikrogravitation02,$7B46F20449D6F25150E189428B62E1E3BA5848A9~galtlandeu,$BF93594384A02DE7689C4FD821E2638DA2CD4792~labaliseridicule BUILD_FLAGS=IS_INTERNAL,NEED_CAPACITY PURPOSE=HS_SERVICE_REND HS_STATE=HSSR_JOINED REND_QUERY=|---------(attacked hidden service descriptor)---------| TIME_CREATED=2022-08-24T19:45:22.060324 OLD_PURPOSE=HS_SERVICE_REND OLD_HS_STATE=HSSR_CONNECTING
650 CIRC 9818 EXTENDED $2BCA0A8B5759DBD764BF9FA5D1B3AEE9D74D2B68~Waeswynn,$CED577F091DCB15AD8C87FBD452A51EA9E60BFC2~strayWires,$CC8B218ED3615827A5DCF008FC62598DEF533B4F~mikrogravitation02,$7A319C431F38CB30A0BC0C49144369A611920725~BahnhufPowah2,$8587A1B4CCD0700F164CCD588F79743C74FE8700~mev4PLicebeer16b BUILD_FLAGS=IS_INTERNAL,NEED_CAPACITY PURPOSE=HS_SERVICE_REND HS_STATE=HSSR_CONNECTING REND_QUERY=|---------(attacked hidden service descriptor)---------| TIME_CREATED=2022-08-24T19:45:22.493699
650 CIRC 9818 BUILT $2BCA0A8B5759DBD764BF9FA5D1B3AEE9D74D2B68~Waeswynn,$CED577F091DCB15AD8C87FBD452A51EA9E60BFC2~strayWires,$CC8B218ED3615827A5DCF008FC62598DEF533B4F~mikrogravitation02,$7A319C431F38CB30A0BC0C49144369A611920725~BahnhufPowah2,$8587A1B4CCD0700F164CCD588F79743C74FE8700~mev4PLicebeer16b BUILD_FLAGS=IS_INTERNAL,NEED_CAPACITY PURPOSE=HS_SERVICE_REND HS_STATE=HSSR_CONNECTING REND_QUERY=|---------(attacked hidden service descriptor)---------| TIME_CREATED=2022-08-24T19:45:22.493699
650 CIRC_MINOR 9818 PURPOSE_CHANGED $2BCA0A8B5759DBD764BF9FA5D1B3AEE9D74D2B68~Waeswynn,$CED577F091DCB15AD8C87FBD452A51EA9E60BFC2~strayWires,$CC8B218ED3615827A5DCF008FC62598DEF533B4F~mikrogravitation02,$7A319C431F38CB30A0BC0C49144369A611920725~BahnhufPowah2,$8587A1B4CCD0700F164CCD588F79743C74FE8700~mev4PLicebeer16b BUILD_FLAGS=IS_INTERNAL,NEED_CAPACITY PURPOSE=HS_SERVICE_REND HS_STATE=HSSR_JOINED REND_QUERY=|---------(attacked hidden service descriptor)---------| TIME_CREATED=2022-08-24T19:45:22.493699 OLD_PURPOSE=HS_SERVICE_REND OLD_HS_STATE=HSSR_CONNECTING
650 CIRC 9997 EXTENDED $2BCA0A8B5759DBD764BF9FA5D1B3AEE9D74D2B68~Waeswynn,$8D896C8B367813030591A00DB7E7722EF6C4C23C~Luxembourg,$FF353F5D011E69ECDA10A57B46D06BC7B3FEB196~fuego,$347253D1D5246CB1C4CF8088C6982FE77CF7AB9C~ph3x,$E84F41FA1D1FA303FD7A99A35E50ACEF4269868C~Quetzalcoatl BUILD_FLAGS=IS_INTERNAL,NEED_CAPACITY PURPOSE=HS_SERVICE_REND HS_STATE=HSSR_CONNECTING REND_QUERY=|---------(attacked hidden service descriptor)---------| TIME_CREATED=2022-08-24T19:45:25.100429
650 CIRC 9997 BUILT $2BCA0A8B5759DBD764BF9FA5D1B3AEE9D74D2B68~Waeswynn,$8D896C8B367813030591A00DB7E7722EF6C4C23C~Luxembourg,$FF353F5D011E69ECDA10A57B46D06BC7B3FEB196~fuego,$347253D1D5246CB1C4CF8088C6982FE77CF7AB9C~ph3x,$E84F41FA1D1FA303FD7A99A35E50ACEF4269868C~Quetzalcoatl BUILD_FLAGS=IS_INTERNAL,NEED_CAPACITY PURPOSE=HS_SERVICE_REND HS_STATE=HSSR_CONNECTING REND_QUERY=|---------(attacked hidden service descriptor)---------| TIME_CREATED=2022-08-24T19:45:25.10
Αυτό συμβαίνει με το Tor που εκτελείται σε έναν μόνο διακομιστή. Κατά την εξισορρόπηση, το |---------(attacked hidden service descriptor)---------| αντικαθίσταται από τις περιγραφές υπηρεσιών backends των διακομιστών 2/3/4.
Μπορούμε να διαθέσουμε ένα μεγαλύτερο απόσπασμα tcpdump, αν χρειαστεί.
5. Συμπεράσματα
Πιστεύουμε ότι ένας αντίπαλος έχει τη δυνατότητα να "διακόψει" έναν περιγραφέα κρυφής υπηρεσίας (και επομένως την ίδια την κρυφή υπηρεσία), κατακλύζοντας τον δαίμονα Tor με αμέτρητα πακέτα tcp, ζητώντας να κατασκευάσει κυκλώματα. Αυτό είναι που προκαλεί το φορτίο της CPU και τελικά καθιστά τον Περιγραφέα Κρυφής Υπηρεσίας άχρηστο.
Μπορεί κάποιος να το επιβεβαιώσει αυτό;
Δεδομένου ότι οδηγίες όπως οι εν λόγω HiddenServiceEnableIntroDoSDefense, HiddenServiceEnableIntroDoSBurstPerSec και HiddenServiceEnableIntroDoSRatePerSec φαίνεται να προορίζονται για την άμυνα ενάντια σε αυτού του είδους τις επιθέσεις, όπως θα έπρεπε να κάνουν και οι vanguards, δεν μπορούμε να εξηγήσουμε γιατί αυτές παραμένουν αναποτελεσματικές. Ίσως απαιτούνται κάποιες πολύ εξειδικευμένες ρυθμίσεις αυτών των τιμών για να είναι αποτελεσματικές. Δυστυχώς, αυτές οι οδηγίες (καθώς και οι ρυθμίσεις στο vanguards.config) περιγράφονται μόνο με αόριστο τρόπο.
Γνωρίζει κανείς, πώς πρέπει να ρυθμιστούν σωστά για να είναι αποτελεσματικές;
Σε αυτό το σημείο εξαντλήσαμε όλες τις αναφορές για το tor και τις ρυθμίσεις vanguards που μπορέσαμε να βρούμε στο διαδίκτυο.
Και πάλι, οποιαδήποτε βοήθεια ή πληροφορία σχετικά με αυτό το θέμα θα εκτιμηθεί ιδιαίτερα! Δεν πιστεύουμε ότι δεν υπάρχει καμία λύση σε αυτό.
Last edited:
