Tor Project tenta conter ataques DDoS a sites da deep web
Uso de CAPTCHA e "quebra-cabeça" estão entre as ideias do Tor Project para mitigar ataques de negação de serviço
Alguns serviços da rede Tor — a mais conhecida da deep web — têm ficado indisponíveis ou instáveis nos últimos anos devido a um problema complexo: ataques de negação de serviço (DDoS, na sigla em inglês). Para mitigá-los, o Tor Project propôs algumas medidas de defesa, com destaque para um sistema de tokens.
Um ataque de negação de serviço é aquele que faz um servidor receber mais requisições simultâneas do que ele é capaz de suportar. É como se um exército de “computadores zumbis” tentasse acessar determinado site, todos ao mesmo tempo.
Há técnicas de defesa. Uma delas consiste em analisar padrões que identificam o tráfego inválido para bloquear ou desviar esses acessos. O problema é que a natureza anônima da rede Tor — cujas páginas têm terminação .onion — torna esse trabalho extremamente difícil, para não dizer impossível.
De modo simplificado, eis o que acontece: o site que é alvo do ataque recebe centenas ou milhares de requisições simultâneas a partir de pequenas mensagens que exigem muitos recursos do serviço para serem atendidas; como as solicitações são muito numerosas, o servidor fica sobrecarregado e, consequentemente, instável.
Como o próprio Tor Project explica em seu blog, “nos serviços onion de hoje, cada solicitação é indistinguível das demais (afinal, este é um sistema de anonimato), então a única estratégia disponível é tratar cada uma delas igualmente”.
O que fazer então para evitar que solicitações maliciosas sejam barradas sem afetar requisições legítimas? Não existe solução fácil. Ataques DDoS podem ser orquestrados de diversas maneiras.
Em meados de 2019, o Tor Project chegou a corrigir uma falha em seu protocolo que, durante anos, permitiu ataques DDoS a sites .onion. No entanto, esse bug era apenas uma das formas exploradas. Ataques continuam sendo realizados por meio de outras abordagens.
Uma solução definitiva exigiria mudanças profundas na rede Tor, o que é inviável, pelo menos no curto prazo. É daí que aparece a proposta do token, que funcionaria como uma espécie de ingresso que comprovaria que a solicitação recebida é legítima, ou seja, vem de um usuário real.
Um token pode ser qualquer tipo de informação capaz de validar um acesso: endereço IP, número de celular, e-mail e por aí vai. O problema é que a já mencionada natureza anônima da deep web faz o uso desses tipos de dados não ter sentido.
Mas há outras abordagens que podem ser experimentadas. A turma do Tor Project sugere a implementação de um serviço de CAPTCHA que recompensaria os usuários com tokens anônimos. Sistemas de tipo não são infalíveis, mas, mesmo que invasores obtenham tokens por esse meio, dificilmente os teriam em quantidade suficiente para um ataque efetivo.
Outra abordagem sugerida é o uso de um mecanismo de proof of work, basicamente, um algoritmo que valida uma solicitação quando um problema (como um rápido quebra-cabeça) é resolvido. Esse sistema poderia ser implementado isoladamente ou em conjunto com o sistema de CAPTCHA.
Essas ideias foram apresentadas para que a comunidade em torno da rede Tor veja que há formas de combater ataques DDoS, mesmo que nenhuma solução seja perfeita. O assunto ainda vem sendo estudado, mas, no fim das contas, cada caso é um caso: a adoção ou não das ideias ficará a cargo dos responsáveis por cada página .onion.
Com informações: Bleeping Computer.
