Tor optimiert Onion-Routing-Software, um DDoS-Angriffe abzuwehren • The Register

Tor, was für The Onion Router steht, hat von Juni letzten Jahres bis Mai einen massiven DDoS-Sturm (Distributed Denial of Service) überstanden.

Obwohl dieser Angriff nachgelassen hat, bleibt DoS-Missbrauch ein anhaltendes Problem, das die Leistung des Anti-Zensur-Dienstes beeinträchtigt und bei vielen Sorgen um seine Sicherheit hervorruft.

Tors Onion-Routing ist eine Datenschutztechnologie, die zwei Jahrzehnte alt ist. Es funktioniert im Wesentlichen dadurch, dass Ihr Internetverkehr durch ein wechselndes Labyrinth von Knoten weitergeleitet wird, sodass beispielsweise ein Netzwerk-Abhörer mit einer cleveren Verschlüsselungskapselung Schwierigkeiten hat oder nicht in der Lage ist, Ihre wahre öffentliche IP-Adresse zu erkennen, die zur Identifizierung verwendet werden könnte Sie und verknüpfen alle beobachteten Online-Aktivitäten gezielt mit Ihnen. Es gelten Vorbehalte.

Das Projekt bleibt ein Ziel für Regierungen und ein Segen für diejenigen, die privat kommunizieren möchten. Wer Tor nutzt, kann über den Tor-Browser auf .onion-Adressen zugreifen, was gut, aber nicht perfekt ist.

(Tor kann für den Zugriff auf Nicht-Onion-Dienste im öffentlichen Internet verwendet werden. In diesem Artikel geht es jedoch um die Abwehr von DDoS-Angriffen, die den Zugriff auf .onion-Sites stören.)

Um zukünftige lähmende DDoS-Angriffe zu vereiteln, haben Tor-Entwickler an einer Abwehr gearbeitet, die erstmals im April 2020 vorgeschlagen wurde. Sie ist gerade in der Tor-Version 0.4.8.4 angekommen und basiert auf einem Mechanismus, der 1992 von Moni Naor und Cynthia Dwork als Abwehr gegen DoS entwickelt wurde und Spam, aber durch Bitcoin für seine Energieverschwendung berühmt gemacht: Proof-of-Work.

Im Wesentlichen werden Kunden, die versuchen, .onion-Dienste zu erreichen, aufgefordert, kleine Proof-of-Work-Tests durchzuführen. Wenn Sie sich als legitimer Benutzer anmelden, sollten Sie nichts bemerken. Wenn Sie versuchen, das Knotennetzwerk des Projekts mit vielen wiederholten Verbindungen zu überlasten, können die Proof-of-Work-Herausforderungen Ihre Versuche durchaus behindern.

„​Wenn wir jemals hoffen, wirklich erreichbare globale Onion-Dienste zu haben, müssen wir es Angreifern erschweren, den Dienst mit Einführungsanfragen zu überlasten“, erklären die Tor-Mitarbeiter George Kadianakis, Mike Perry, David Goulet und Tevador in der Projektskizze . „Dieser Vorschlag erreicht dies, indem er es Onion Services ermöglicht, ein optionales dynamisches Proof-of-Work-Schema festzulegen, an dem seine Kunden teilnehmen müssen, wenn sie bedient werden möchten.“

Die aktualisierte Software, die zum Betrieb von Tor-Knoten verwendet wird, unterstützt jetzt eine Proof-of-Work-Herausforderung namens EquiX. Es wurde von Tevador entworfen, der den Proof-of-Work-Algorithmus von Monero entwickelt hat, und ist „ein CPU-freundliches Client-Puzzle mit schneller Überprüfung und kleiner Lösungsgröße (16 Bytes).“

Es sieht so aus, als würde diese Berechnung nicht zum Krypto-Mining führen, das für einige eine entgangene Einnahmemöglichkeit ist und für andere eine ethische Notwendigkeit ist.

In einem Blogbeitrag erklärte Pavel Zoneff, Kommunikationsdirektor des Tor-Projekts, dass die Art und Weise, wie .onion-Dienste so konzipiert wurden, dass sie durch die Verschleierung von Benutzer-IP-Adressen Privatsphäre bieten, sie anfällig für DoS-Angriffe macht und gleichzeitig eine IP-basierte Ratenbegrenzung behindert.

Das Proof-of-Work-Puzzle von Tor ist standardmäßig auf Nullaufwand ausgelegt und kann bei steigender Netzwerkbelastung unter Berücksichtigung des Client- und Server-Feedbacks skaliert werden.

Bevor auf einen Zwiebeldienst zugegriffen wird, muss ein kleines Rätsel gelöst werden, um zu beweisen, dass der Kunde einige „Arbeit“ geleistet hat

„Bevor man auf einen Zwiebeldienst zugreift, muss ein kleines Rätsel gelöst werden, um zu beweisen, dass der Kunde einige ‚Arbeit‘ geleistet hat“, sagte Zoneff. „Je schwieriger das Rätsel, desto mehr Arbeit wird geleistet, um zu beweisen, dass es sich um einen echten Benutzer handelt und nicht um einen Bot, der versucht, den Dienst zu überschwemmen. Letztendlich blockiert der Proof-of-Work-Mechanismus Angreifer und gibt echten Benutzern gleichzeitig die Chance, an ihr Ziel zu gelangen.“

Die Hoffnung besteht darin, dass durch immer höhere Rechenanforderungen an Angreifer Missbrauch verhindert wird und gleichzeitig die Fortsetzung des legitimen Datenverkehrs ermöglicht wird, obwohl einige legitime Benutzer möglicherweise einen Unterschied bemerken. Laut Zoneff kommt es bei Benutzern, die nur wenige Netzwerkanfragen senden, zu einer kleinen Verzögerung, in der Größenordnung von fünf Millisekunden bei schnelleren Geräten und bis zu 30 Millisekunden bei langsamerer Hardware.

„Wenn der Angriffsverkehr zunimmt, erhöht sich der Arbeitsaufwand auf etwa eine Minute“, sagte Zoneff, der die Erfahrung mit dem Warten auf eine langsame Netzwerkverbindung verglich.

Der ursprüngliche Vorschlag weist darauf hin, dass dies Tor-Benutzer auf Mobilgeräten stärker treffen könnte als auf Desktop-Geräten, da längeres Rätsellösen den Akku des Geräts belasten könnte.

Tor-Entwickler möchten möglicherweise mehr über die Nachteile von Proof-of-Work nachdenken, da das jüngste Debüt von Veilid, einer neuartigen Peer-to-Peer-Netzwerktechnologie, alternative Ansätze für anonymitätserhaltende Kommunikation vorschlägt.

Es ist noch am Anfang, aber die Fähigkeit von Veilid, solche Angriffe abzuwehren, könnte von entscheidender Bedeutung sein, wenn genügend Benutzer mitmachen. ®

Senden Sie uns Neuigkeiten