Défense par preuve de travail pour les services onion

• Cet article annonce l’introduction d’une fonction de défense par preuve de travail (PoW) pour les services onion, visant à donner la priorité au trafic réseau vérifié et à prévenir les attaques par déni de service (DoS). Cette fonction fait partie de la nouvelle version de Tor 0.4.8.
• Le mécanisme de défense PoW reste désactivé en temps normal afin de préserver une expérience utilisateur fluide. En revanche, lorsqu’un service onion est sous pression, il demande aux connexions clientes entrantes d’effectuer des tâches de plus en plus complexes.
• Les services onion priorisent ensuite ces connexions en fonction du niveau d’effort démontré par le client. Ce mécanisme PoW devrait rendre les attaques à grande échelle coûteuses et peu réalistes, décourageant ainsi les attaquants tout en donnant la priorité au trafic légitime.
• La nécessité de ce mécanisme découle de la conception propre aux services onion, qui privilégie la confidentialité des utilisateurs en masquant les adresses IP. Cette conception a rendu les services onion vulnérables aux attaques DoS, et les limitations de débit traditionnelles basées sur l’IP n’offraient qu’une protection incomplète.
• Le mécanisme PoW fonctionne comme un système de tickets désactivé par défaut, mais capable de s’adapter au stress du réseau afin de créer une file de priorité. Avant d’accéder à un service onion, le client doit résoudre une petite énigme pour prouver qu’un « travail » a bien été effectué. Plus l’énigme est difficile, plus le travail fourni est important, ce qui aide à montrer que l’utilisateur est un véritable utilisateur et non un bot cherchant à envahir le service.
• Si un attaquant tente de submerger un service onion de requêtes, la défense PoW augmente l’effort de calcul nécessaire pour accéder au site en .onion. Ce système de tickets vise à désavantager les attaquants qui tentent d’établir un grand nombre de connexions vers les services onion.
• Pour les utilisateurs ordinaires, l’effort de calcul supplémentaire requis pour résoudre les énigmes reste supportable sur la plupart des appareils. À mesure que le trafic d’attaque augmente, l’effort demandé augmente lui aussi, jusqu’à environ une minute de calcul. Ce processus reste invisible pour l’utilisateur, et attendre une solution PoW s’apparente à attendre une connexion réseau lente.
• L’introduction par Tor d’une défense PoW place les services onion parmi les rares protocoles de communication dotés d’une protection DoS intégrée. Si elle est adoptée par des sites majeurs, elle promet de réduire l’impact négatif des attaques ciblant les performances du réseau, tandis que la nature dynamique du système aide à équilibrer la charge lors des pics de trafic et à garantir un accès plus cohérent et plus fiable aux services onion.

[GN⁺]

Avis Hacker News

• Cet article examine une proposition visant à mettre en œuvre une défense par Proof-of-Work (PoW) pour rendre les attaques contre les services Onion plus difficiles.
• Cette défense PoW ne devrait pas contrer de grands botnets, mais elle peut aider à se prémunir contre des attaques de plus petite ampleur.
• La proposition permet aux utilisateurs de fournir un effort pour se connecter, même pendant des attaques DoS.
• L’algorithme PoW retenu pour cette proposition est equi-X.
• La proposition introduit un système d’« enchères » dans lequel les clients obtiennent une priorité plus élevée à mesure qu’ils fournissent davantage d’effort PoW.
• Certains utilisateurs se disent surpris qu’une telle défense n’ait pas été mise en place plus tôt et s’interrogent sur son impact potentiel sur l’anonymat des utilisateurs.
• La défense PoW peut réduire la charge sur les services proxyés ainsi que sur les nœuds eux-mêmes.
• Certains utilisateurs suggèrent qu’elle pourrait supprimer le besoin d’un CDN pour la protection DDoS et s’appliquer à d’autres domaines comme le spam par e-mail ou les sites web très fréquentés.
• Des questions sont soulevées sur la manière dont cette défense PoW gérerait les abuseurs qui obtiennent une nouvelle identité et poursuivent leurs attaques DDoS.
• D’autres solutions sont proposées, comme utiliser le réseau comme CDN ou lier le PoW à des signatures en chaîne afin de permettre une vérification en parallèle.
• Certains se montrent sceptiques face à l’affirmation selon laquelle il n’y aurait qu’un écart de 6x dans le temps de résolution entre des serveurs haut de gamme et des téléphones d’entrée de gamme.
• Certains utilisateurs estiment qu’il s’agit d’un bon usage du PoW et pensent que cela pourrait limiter les attaques DDoS en imposant la charge de la preuve aux attaquants.