匿名化ネットワーク「Tor」の出口となる中継サーバー333件が、SSH接続を傍受用サーバーへ転送していたとの報告。利用者が偽のホスト鍵を受け入れ、パスワードでログインすると、攻撃者が認証情報や入力コマンドを取得できる仕組みです。おとりのSSHサーバーにログインした攻撃者は、バックドア「Ebury」の導入も試行。報告者は、SSHのパスワード認証を無効にし、鍵認証へ移行するよう推奨しています。 【要点の整理】 ・調査対象は、Tor通信をインターネットへ送り出す当時の出口リレー約3,000件。転送に関与した333件は約1割で、22番ポートへのSSH接続を本来の宛先ではなく12台の傍受用サーバーへ転送。 ・研究者は出口リレーごとにSSH接続を試し、受け取るホスト鍵と接続元を検査。約12件では偽のホスト鍵を検出し、300件超では同じ傍受用サーバー群への転送を観測。 ・研究者が用意したおとり環境へのログインでは、PythonのSSHライブラリー「Paramiko」の利用を確認。攻撃者が権限を調べた後、Perl経由でEburyを導入しようとする挙動も記録。 ・一部の出口設定は暗号化メール用のポートを拒否し、平文でも使えるメール用ポートを許可。原報告は、暗号化されていないメール通信の収集も狙いと推測。 ・Tor Projectは運営者からサーバー侵害と設定改変の報告を受け、該当リレーをネットワークから排除。攻撃者が設定を変え、出口以外のリレーも出口として動かしていたとの見方。 ・Tor Projectは、侵害が疑われるリレーを停止し、ディスクとログを消去前に保全するよう案内。その後の対処は、再インストール、リレーの識別鍵の再生成、ホストにあった認証情報の更新。 詳細は以下を参照： kaba.cx/posts/20261020_Tor lists.torproject.org/mailman… (※可能な範囲でファクトチェックは実施済なものの、元記事の精度依存や速報・要約の性質上漏れもありうるため、正確な情報は一次情報を直接参照のこと)