Nós de saída Tor: nem sempre são uma ameaça
Um nó de saída Tor é o último relay de um circuito Tor, o servidor cujo endereço IP público os sites veem quando um usuário Tor se conecta a eles. O tráfego de um nó de saída é anonimizado por projeto, o que o faz parecer incomum, mas não é automaticamente malicioso, e tratá-lo assim bloqueia muitas pessoas legítimas.
Como funciona um circuito Tor
O Tor constrói um circuito de três relays. O guarda de entrada conhece o endereço IP real do usuário, mas não o destino. O relay intermediário conhece apenas seus vizinhos. O relay de saída decifra a última camada e envia a requisição ao servidor de destino, então conhece o destino, mas não quem está pedindo. Cada salto acrescenta uma camada de criptografia, daí o termo onion routing. Nenhum relay isolado vê as duas pontas da conversa.
A consequência para o operador do site é que o endereço de cliente visível é o do relay de saída, e não o do usuário. Uma saída pode transportar tráfego de milhares de pessoas ao mesmo tempo, e por isso um único endereço pode parecer navegar por sites de muitos países em poucos minutos, e uma consulta de país ou cidade sobre ele descreve o local de hospedagem do relay, e não o de qualquer visitante. Para saber mais sobre por que a localização descreve uma rede e não uma pessoa, veja por que a localização do IP erra sobre as pessoas.
Quem realmente usa o Tor
Jornalistas protegem fontes com ele, pessoas em países restritivos o usam para acessar sites bloqueados e indivíduos preocupados com privacidade o usam para evitar rastreamento. Esses usuários representam uma parcela significativa do tráfego Tor, e uma regra que nega a rede inteira os trata como suspeitos por causa da ferramenta que escolheram. O abuso também existe: credential stuffing, scraping e spam podem usar o Tor, porque ele é gratuito e fácil. O resumo honesto é que a rede é mista, e o sinalizador informa sobre a rota, não sobre a intenção.
Detectando tráfego Tor
Os relays de saída são publicados como parte do diretório da rede Tor, então a detecção é uma consulta a uma lista de endereços de saída atuais. O problema é a atualidade, já que relays entram e saem o tempo todo, como tratado em por que listas estáticas de saídas Tor ficam desatualizadas. A consulta de IP do ipto retorna um sinalizador is_tor, com seus feeds de ameaças atualizados a cada 6 horas, e você pode testar um endereço no verificador de VPN, Tor e proxy. Um resultado negativo significa "não conhecido como Tor", não uma garantia.
A mesma resposta também inclui is_abuser, is_vpn e is_datacenter, além do asn e da organização proprietária. Ler esses campos em conjunto é o ponto: is_tor: true com is_abuser: false descreve uma rota de privacidade sem histórico ruim conhecido, o que pede um tratamento diferente de um endereço Tor que também aparece em feeds de abuso. O verificador de abuso de IP mostra como essa reputação é corroborada por várias fontes em vez de depender de uma só.
Operando um relay de saída
Operadores de saída carregam um fardo particular, porque as reclamações de abuso por qualquer coisa que seus usuários façam recaem sobre o endereço do operador. Muitos publicam um aviso no endereço IP do relay explicando que é uma saída Tor e que o operador não controla o tráfego, e encaminham as reclamações pelos dados de contato do registry. Se você está investigando abuso a partir de um endereço de saída, a consulta whois de IP mostra o registro e o contato de abuso do bloco, que geralmente é um provedor de hospedagem ou uma organização que opera relays conscientemente. Denunciar o incidente ali é mais útil do que escalar em qualquer outro lugar, já que o operador não consegue ver quem era o usuário individual.
Lidando com o tráfego Tor de forma sensata
A política certa depende do que você está protegendo. Um site de notícias público tem poucos motivos para tratar visitantes Tor de forma diferente de qualquer outro, enquanto um formulário de pagamento ou um fluxo de recuperação de conta tem fortes motivos para acrescentar atrito. Opções intermediárias entre permitir e negar:
- Aplicar limites de taxa mais rígidos a endereços Tor em endpoints de login, cadastro e busca.
- Mostrar um desafio ou exigir um segundo fator em ações sensíveis, em vez de rejeitar a requisição.
- Permitir a navegação somente leitura enquanto restringe a criação de contas ou o checkout.
- Alimentar o sinalizador Tor em uma decisão composta, por exemplo o valor de 0 a 100 do verificador de pontuação de fraude, em vez de agir somente com base nele.
- Registrar o sinal que levou a cada decisão para que os falsos positivos possam ser revisados.
Necessidades regulatórias ou contratuais às vezes exigem de fato o bloqueio de redes anonimizadoras, por exemplo para conformidade com licenciamento ou sanções, e essa é uma decisão de negócio legítima. Apenas tome-a de forma deliberada, sabendo que ela também excluirá pessoas que não fizeram nada de errado e que um bloqueio baseado em uma lista desatualizada errará nas duas direções.