Un ataque Sybil es un tipo de ataque a un servicio de red informática en el que un atacante subvierte el sistema de reputación del servicio creando una gran cantidad de identidades seudónimas y las usa para ganar una influencia desproporcionadamente grande. Recibe su nombre del tema del libro Sybil , un estudio de caso de una mujer diagnosticada con trastorno de identidad disociativo . [1] El nombre fue sugerido en o antes de 2002 por Brian Zill en Microsoft Research . [2] El término pseudospoofing había sido acuñado previamente por L. Detweiler en la lista de correo Cypherpunks y usado en la literatura sobre sistemas peer-to-peer para la misma clase de ataques antes de 2002, pero este término no ganó tanta influencia como "ataque Sybil". [3]
El ataque Sybil en seguridad informática es un ataque en el que se subvierte un sistema de reputación mediante la creación de múltiples identidades. [4] La vulnerabilidad de un sistema de reputación a un ataque Sybil depende de lo barato que se puedan generar las identidades, el grado en que el sistema de reputación acepte entradas de entidades que no tengan una cadena de confianza que las vincule con una entidad confiable y si el sistema de reputación trata a todas las entidades de manera idéntica. A partir de 2012 [actualizar], la evidencia mostró que los ataques Sybil a gran escala podrían llevarse a cabo de una manera muy barata y eficiente en sistemas realistas existentes como BitTorrent Mainline DHT. [5] [6]
Una entidad en una red peer-to-peer es una pieza de software que tiene acceso a recursos locales. Una entidad se anuncia a sí misma en la red peer-to-peer presentando una identidad . Más de una identidad puede corresponder a una sola entidad. En otras palabras, la asignación de identidades a entidades es de muchas a una. Las entidades en redes peer-to-peer utilizan múltiples identidades con fines de redundancia, uso compartido de recursos, confiabilidad e integridad. En las redes peer-to-peer, la identidad se utiliza como una abstracción para que una entidad remota pueda conocer las identidades sin saber necesariamente la correspondencia de las identidades con las entidades locales. De forma predeterminada, generalmente se supone que cada identidad distinta corresponde a una entidad local distinta. En realidad, muchas identidades pueden corresponder a la misma entidad local.
Un adversario puede presentar múltiples identidades en una red peer-to-peer para aparecer y funcionar como múltiples nodos distintos. De esta manera, el adversario puede adquirir un nivel desproporcionado de control sobre la red, por ejemplo, al afectar los resultados de las votaciones.
En el contexto de las comunidades (humanas) en línea , a estas identidades múltiples se las conoce a veces como "sockpuppets" . El término menos común "ataque Sybil inverso" se ha utilizado para describir un ataque en el que muchas entidades aparecen como una sola identidad. [7]
Un notable ataque Sybil junto con un ataque de confirmación de tráfico se lanzó contra la red de anonimato Tor durante varios meses en 2014. [8] [9]
Existen otros ejemplos de ataques Sybil contra usuarios de la red Tor. Entre ellos se incluyen los ataques de reescritura de direcciones de Bitcoin de 2020. El atacante controlaba una cuarta parte de todos los relés de salida de Tor y empleó la eliminación de SSL para degradar las conexiones seguras y desviar fondos a la billetera del actor de amenazas conocido como BTCMITM20. [10] [11] [12]
Otro ejemplo notable es el ataque que llevó a cabo entre 2017 y 2021 el actor de amenazas KAX17. Esta entidad controlaba más de 900 servidores maliciosos, principalmente puntos intermedios, en un intento de desanonimizar a los usuarios de Tor. [13] [14]
Los enfoques conocidos para la prevención de ataques de Sybil incluyen la validación de identidad, algoritmos de gráficos de confianza social, costos económicos , validación de personalidad y defensas específicas de la aplicación .
Se pueden utilizar técnicas de validación para prevenir ataques Sybil y descartar entidades hostiles enmascaradas . Una entidad local puede aceptar una identidad remota basándose en una autoridad central que garantiza una correspondencia uno a uno entre una identidad y una entidad e incluso puede proporcionar una búsqueda inversa. Una identidad puede validarse de forma directa o indirecta. En la validación directa, la entidad local consulta a la autoridad central para validar las identidades remotas. En la validación indirecta, la entidad local se basa en identidades ya aceptadas que, a su vez, avalan la validez de la identidad remota en cuestión.
Las aplicaciones y servicios de red prácticos a menudo utilizan una variedad de proxies de identidad para lograr una resistencia limitada a los ataques Sybil, como la verificación del número de teléfono , la verificación de la tarjeta de crédito o incluso basándose en la dirección IP de un cliente. Estos métodos tienen la limitación de que normalmente es posible obtener múltiples proxies de identidad de este tipo a un cierto coste, o incluso obtener muchos a bajo coste mediante técnicas como la suplantación de SMS o la suplantación de direcciones IP . El uso de estos proxies de identidad también puede excluir a aquellos que no tienen acceso inmediato al proxy de identidad necesario: por ejemplo, aquellos que no tienen su propio teléfono móvil o tarjeta de crédito, o usuarios ubicados detrás de una traducción de direcciones de red de nivel de operador que comparten sus direcciones IP con muchos otros.
Las técnicas de validación basadas en la identidad generalmente brindan rendición de cuentas a expensas del anonimato , lo que puede ser una compensación indeseable, especialmente en foros en línea que desean permitir el intercambio de información sin censura y la discusión abierta de temas sensibles. Una autoridad de validación puede intentar preservar el anonimato de los usuarios negándose a realizar búsquedas inversas, pero este enfoque convierte a la autoridad de validación en un objetivo principal para los ataques. Los protocolos que utilizan criptografía de umbral pueden potencialmente distribuir el papel de dicha autoridad de validación entre múltiples servidores, protegiendo el anonimato de los usuarios incluso si uno o un número limitado de servidores de validación se ven comprometidos. [15]
Las técnicas de prevención de Sybil basadas en las características de conectividad de los gráficos sociales también pueden limitar el alcance del daño que puede causar un atacante Sybil determinado, preservando al mismo tiempo el anonimato. Entre los ejemplos de dichas técnicas de prevención se incluyen SybilGuard, [16] SybilLimit, [17] la Advogato Trust Metric , [18] SybilRank, [19] y la métrica basada en la dispersión para identificar clústeres Sybil en un sistema de reputación distribuido basado en P2P. [20]
Estas técnicas no pueden evitar por completo los ataques Sybil y pueden ser vulnerables a ataques Sybil generalizados en pequeña escala. Además, no está claro si las redes sociales en línea del mundo real cumplirán con los supuestos de confianza o conectividad que estos algoritmos suponen. [21]
Alternativamente, la imposición de costos económicos como barreras artificiales a la entrada puede utilizarse para hacer que los ataques Sybil sean más costosos. La prueba de trabajo , por ejemplo, requiere que un usuario demuestre que gastó una cierta cantidad de esfuerzo computacional para resolver un rompecabezas criptográfico . En Bitcoin y criptomonedas sin permiso relacionadas , los mineros compiten para agregar bloques a una cadena de bloques y obtienen recompensas aproximadamente en proporción a la cantidad de esfuerzo computacional que invierten en un período de tiempo determinado. Las inversiones en otros recursos, como almacenamiento o participación en criptomonedas existentes, pueden usarse de manera similar para imponer costos económicos.
Como alternativa a la verificación de identidad que intenta mantener una estricta regla de asignación de "uno por persona", una autoridad de validación puede utilizar algún mecanismo distinto al conocimiento de la identidad real de un usuario (como la verificación de la presencia física de una persona no identificada en un lugar y momento determinados, como en una fiesta de seudónimos [22] ) para imponer una correspondencia uno a uno entre las identidades en línea y los usuarios del mundo real. Se han propuesto enfoques de prueba de personalidad como base para cadenas de bloques y criptomonedas sin permiso en las que cada participante humano tendría exactamente un voto en consenso . [23] [24] Se han propuesto diversos enfoques para la prueba de personalidad, algunos con implementaciones implementadas, aunque siguen existiendo muchos problemas de usabilidad y seguridad. [25]
Se han diseñado varios protocolos distribuidos teniendo en mente la protección contra ataques Sybil. SumUp [26] y DSybil [27] son algoritmos resistentes a Sybil para la recomendación y votación de contenido en línea. Whānau es un algoritmo de tabla hash distribuida resistente a Sybil . [28] La implementación de Kademlia de I2P también tiene disposiciones para mitigar los ataques Sybil. [29]
... la mayoría de los actores de amenazas que operan relés Tor maliciosos tienden a centrarse en ejecutar puntos de salida, lo que les permite modificar el tráfico del usuario. Por ejemplo, un actor de amenazas que Nusenu ha estado rastreando como BTCMITM20 ejecutó miles de nodos de salida Tor maliciosos para reemplazar direcciones de billetera de Bitcoin dentro del tráfico web y secuestrar los pagos de los usuarios.
Durante más de 16 meses, se ha visto a un actor de amenazas agregando servidores maliciosos a la red Tor para interceptar el tráfico y realizar ataques de eliminación de SSL a los usuarios que acceden a sitios relacionados con criptomonedas.
Agrupando estos servidores bajo el paraguas KAX17, Nusenu dice que este actor de amenazas ha agregado servidores constantemente... en cantidades industriales, operando servidores en el rango de cientos en un momento dado.
La mayoría de los servidores de relé Tor configurados por el actor KAX17 estaban ubicados en centros de datos de todo el mundo y están configurados principalmente como puntos de entrada y de enlace.