Contexte de l'attaque

Selon l’article, plus de 300 relais de sortie Tor ont été détournés afin d’intercepter les connexions SSH. Les relais de sortie constituent le dernier nœud du circuit Tor ; ils sont responsables de la transmission du trafic vers l’internet public. En compromettant un nombre aussi important de ces nœuds, les opérateurs malveillants obtiennent potentiellement un accès à un volume significatif de flux chiffrés, dont les sessions SSH qui transitent par le réseau.

Mécanismes de compromission des relais Tor

Le détournement de relais de sortie repose généralement sur la prise de contrôle du serveur hébergeant le relais. Les attaquants peuvent exploiter des vulnérabilités du système d’exploitation, des services exposés (ex. SSH, Apache) ou des configurations faibles (mots de passe par défaut, clés SSH non protégées). Une fois l’accès obtenu, ils installent des scripts capables de modifier le trafic sortant, d’injecter des paquets ou de rediriger les flux vers des serveurs de contrôle. Cette méthode ne nécessite pas de modification du protocole Tor lui‑même, mais exploite la confiance implicite que les utilisateurs accordent aux nœuds de sortie.

Interception des connexions SSH

L’interception d’une session SSH requiert la capacité de réaliser une attaque de type Man‑in‑the‑Middle (MITM). Même si SSH chiffre les données, le protocole repose sur l’échange de clés publiques au début de la connexion. Un relais compromis peut présenter une clé publique falsifiée au client, puis établir une seconde connexion SSH vers le serveur cible avec sa propre clé légitime. Le client, ne détectant aucune anomalie de certificat (car aucune infrastructure de validation de clé n’est standardisée dans SSH), poursuit la session, permettant à l’attaquant de lire ou de modifier le trafic. L’article ne précise pas si les attaquants ont exploité des failles de validation d’hôte ou des clés d’hôte déjà compromises, mais le scénario décrit correspond aux techniques connues dans la littérature.

Implications et limites

Le principal impact réside dans la perte de confidentialité pour les utilisateurs qui s’appuient sur Tor pour masquer leurs adresses IP lors de l’accès à des serveurs SSH. La compromission de centaines de relais augmente la probabilité qu’une connexion passe par un nœud malveillant, réduisant ainsi l’efficacité de l’anonymat. Toutefois, l’article ne fournit pas de données chiffrées sur le nombre de sessions réellement interceptées, ni sur la durée de l’opération. Sans ces indicateurs, il est difficile d’évaluer l’ampleur du vol de données ou la portée géographique des cibles. De plus, aucune information n’est donnée sur les contre‑mesures prises par la Fondation Tor ou les opérateurs de relais, ce qui limite l’analyse des réponses possibles.