С релизом Tor 0.4.3 разработчики Tor Project собираются исправить уязвимость, от которой сайты в даркнете страдали годами.
Уязвимость представляет собой проблему отказа в обслуживании (Denial of Service, DoS) и позволяет «положить» любой onion-сайт, ценой минимальных усилий. Фактически, благодаря этому багу, злоумышленники могут инициировать тысячи подключений к целевому ресурсу и оставить их активными. Для каждого такого соединения нужно согласовать сложную цепочку защищенных соединений между удаленным пользователем и сервером. Все это требует значительных ресурсов процессора, и при достаточном количестве подключений сервер оказывается настолько загружен, что более не может устанавливать новые подключения.
Разработчики Tor знают об этой проблеме много лет, однако ее до сих пор не исправили из-за нехватки человеческих ресурсов, а также в силу того, что не существует простого способа отличить легитимные пользовательские подключения от атаки (до установления соединения).
В последнее время от подобных DDoS-атак страдают не только рядовые ресурсы, но и торговые площадки даркнета. К примеру, в марте 2019 года о закрытии объявила администрация крупного маркетплейса Dream Market. Как оказалось, до этого сайт в течение нескольких месяцев подвергался DDoS-атакам, и неизвестные вымогали у его операторов 400 000 долларов.
Позже от аналогичных DDoS-атак и вымогательства пострадали такие торговые площадки, как Empire Market и Nightmare Market, а также форумы Dread. Пытаясь избежать атак, операторы другого маркетплейса, Libertas Market и вовсе попытались перейти на I2P, а когда эта затея не увенчались успехом, были вынуждены закрыть свой ресурс.
Более того, в сети годами были доступны инструменты для таких атак. Например, на GitHub можно свободно найти инструмент Stinger-Tor, который позволяет любому желающему организовать атаку на onion-сервис, просто запустив скрипт на Python. В то же время на хакерских форумах похожие инструменты продают различные хак-группы.
Пытаясь как-то решать проблему DDoS-атак, администраторы форума Dread даже призывали своих пользователей пожертвовать деньги Tor Project, чтобы помочь разработчикам скорее исправить ошибку. Похоже, их усилия все же принесли плоды, так как один из 14 багрепортов об этой уязвимости теперь отмечен как «спонсируемый».
Известно, что запланированное исправление не полностью устранит ошибку, но, по крайней мере, сделает атаки менее эффективными.
