Un ataque Sybil es un tipo de ataque a un servicio de red informática en el que un atacante subvierte el sistema de reputación del servicio creando una gran cantidad de identidades seudónimas y las utiliza para obtener una influencia desproporcionadamente grande. Lleva el nombre del tema del libro Sybil , un estudio de caso de una mujer diagnosticada con trastorno de identidad disociativo . [1] El nombre fue sugerido en 2002 o antes por Brian Zill de Microsoft Research . [2] El término pseudospoofing había sido acuñado previamente por L. Detweiler en la lista de correo de Cypherpunks y utilizado en la literatura sobre sistemas peer-to-peer para la misma clase de ataques antes de 2002, pero este término no ganó tanta influencia. como "ataque de Sybil". [3]
El ataque Sybil en seguridad informática es un ataque en el que se subvierte un sistema de reputación mediante la creación de múltiples identidades. [4] La vulnerabilidad de un sistema de reputación a un ataque Sybil depende de qué tan barato se pueden generar las identidades, el grado en que el sistema de reputación acepta entradas de entidades que no tienen una cadena de confianza que las vincule a una entidad confiable, y si la reputación El sistema trata a todas las entidades de manera idéntica. A partir de 2012 [actualizar], la evidencia demostró que los ataques Sybil a gran escala podrían llevarse a cabo de una manera muy económica y eficiente en sistemas realistas existentes como BitTorrent Mainline DHT. [5] [6]
Una entidad en una red peer-to-peer es una pieza de software que tiene acceso a recursos locales. Una entidad se anuncia en la red peer-to-peer presentando una identidad . Más de una identidad puede corresponder a una sola entidad. En otras palabras, la correspondencia de identidades con entidades es de muchos a uno. Las entidades en redes peer-to-peer utilizan múltiples identidades con fines de redundancia, intercambio de recursos, confiabilidad e integridad. En las redes peer-to-peer, la identidad se utiliza como una abstracción para que una entidad remota pueda conocer las identidades sin conocer necesariamente la correspondencia de las identidades con las entidades locales. Por defecto, normalmente se supone que cada identidad distinta corresponde a una entidad local distinta. En realidad, muchas identidades pueden corresponder a una misma entidad local.
Un adversario puede presentar múltiples identidades en una red peer-to-peer para aparecer y funcionar como múltiples nodos distintos. De este modo, el adversario puede adquirir un nivel desproporcionado de control sobre la red, por ejemplo afectando los resultados de la votación.
En el contexto de las comunidades (humanas) en línea , estas identidades múltiples a veces se conocen como sockpuppets . El término menos común ataque Sybil inverso se ha utilizado para describir un ataque en el que muchas entidades aparecen como una sola identidad. [7]
Un notable ataque Sybil junto con un ataque de confirmación de tráfico se lanzó contra la red de anonimato Tor durante varios meses en 2014. [8] [9]
Hay otros ejemplos de ataques Sybil realizados contra usuarios de la red Tor. Esto incluye los ataques de reescritura de direcciones de Bitcoin de 2020. El atacante controlaba una cuarta parte de todos los relés de salida de Tor y empleó eliminación de SSL para degradar las conexiones seguras y desviar fondos a la billetera del actor de amenazas conocido como BTCMITM20. [10] [11] [12]
Otro ejemplo notable es el ataque de 2017-2021 realizado por el actor de amenazas KAX17. Esta entidad controlaba más de 900 servidores maliciosos, principalmente puntos intermedios, en un intento de desanonimizar a los usuarios de Tor. [13] [14]
Los enfoques conocidos para la prevención de ataques Sybil incluyen la validación de identidad, algoritmos de gráficos de confianza social o costos económicos, validación de la personalidad y defensas específicas de aplicaciones.
Se pueden utilizar técnicas de validación para prevenir ataques de Sybil y descartar entidades hostiles enmascaradas. Una entidad local puede aceptar una identidad remota basada en una autoridad central que garantiza una correspondencia uno a uno entre una identidad y una entidad y puede incluso proporcionar una búsqueda inversa. Una identidad puede validarse directa o indirectamente. En la validación directa la entidad local consulta a la autoridad central para validar las identidades remotas. En la validación indirecta, la entidad local se basa en identidades ya aceptadas que a su vez dan fe de la validez de la identidad remota en cuestión.
Las aplicaciones y servicios de red prácticos a menudo utilizan una variedad de servidores proxy de identidad para lograr una resistencia limitada a los ataques de Sybil, como la verificación de números de teléfono , verificación de tarjetas de crédito o incluso en función de la dirección IP de un cliente. Estos métodos tienen las limitaciones de que generalmente es posible obtener múltiples servidores proxy de identidad a un costo determinado, o incluso obtener muchos a bajo costo mediante técnicas como la suplantación de SMS o la suplantación de direcciones IP . El uso de dichos servidores proxy de identidad también puede excluir a aquellos que no tienen acceso inmediato al proxy de identidad requerido: por ejemplo, aquellos que no tienen su propio teléfono móvil o tarjeta de crédito, o usuarios ubicados detrás de una traducción de direcciones de red de nivel de operador que comparten sus direcciones IP con muchos otros.
Las técnicas de validación basadas en la identidad generalmente brindan responsabilidad a expensas del anonimato , lo que puede ser una compensación indeseable, especialmente en foros en línea que desean permitir el intercambio de información libre de censura y la discusión abierta de temas delicados. Una autoridad de validación puede intentar preservar el anonimato de los usuarios negándose a realizar búsquedas inversas, pero este enfoque convierte a la autoridad de validación en un objetivo principal de ataque. Los protocolos que utilizan criptografía de umbral pueden distribuir potencialmente la función de dicha autoridad de validación entre múltiples servidores, protegiendo el anonimato de los usuarios incluso si uno o un número limitado de servidores de validación se ven comprometidos. [15]
Las técnicas de prevención de Sybil basadas en las características de conectividad de los gráficos sociales también pueden limitar el alcance del daño que puede causar un atacante de Sybil determinado, preservando al mismo tiempo el anonimato. Ejemplos de tales técnicas de prevención incluyen SybilGuard, [16] SybilLimit, [17] Advogato Trust Metric , [18] SybilRank, [19] y la métrica basada en la dispersión para identificar clústeres Sybil en un sistema de reputación distribuido basado en P2P. [20]
Estas técnicas no pueden prevenir los ataques Sybil por completo y pueden ser vulnerables a ataques Sybil generalizados a pequeña escala. Además, no está claro si las redes sociales en línea del mundo real satisfarán los supuestos de confianza o conectividad que asumen estos algoritmos. [21]
Alternativamente, se puede utilizar la imposición de costos económicos como barreras artificiales de entrada para encarecer los ataques de Sybil. La prueba de trabajo , por ejemplo, requiere que un usuario demuestre que dedicó una cierta cantidad de esfuerzo computacional para resolver un rompecabezas criptográfico . En Bitcoin y las criptomonedas relacionadas sin permiso , los mineros compiten para agregar bloques a una cadena de bloques y ganar recompensas aproximadamente en proporción a la cantidad de esfuerzo computacional que invierten en un período de tiempo determinado. Las inversiones en otros recursos, como el almacenamiento o la participación en criptomonedas existentes, pueden utilizarse de manera similar para imponer costos económicos.
Como alternativa a la verificación de identidad que intenta mantener una regla estricta de asignación de "uno por persona", una autoridad de validación puede utilizar algún mecanismo distinto del conocimiento de la identidad real de un usuario, como la verificación de la presencia física de una persona no identificada en un lugar determinado. lugar y tiempo como en una fiesta seudónimo [22] – para imponer una correspondencia uno a uno entre identidades en línea y usuarios del mundo real. Estos enfoques de prueba de personalidad se han propuesto como base para cadenas de bloques y criptomonedas sin permiso en las que cada participante humano ejercería exactamente un voto en consenso . [23] [24] Se han propuesto una variedad de enfoques para la prueba de la personalidad, algunos con implementaciones implementadas, aunque persisten muchos problemas de usabilidad y seguridad. [25]
Se han diseñado varios protocolos distribuidos teniendo en cuenta la protección contra ataques Sybil. SumUp [26] y DSybil [27] son algoritmos resistentes a Sybil para recomendación y votación de contenido en línea. Whānau es un algoritmo de tabla hash distribuida resistente a Sybil . [28] La implementación de Kademlia por parte de I2P también tiene disposiciones para mitigar los ataques de Sybil. [29]
... la mayoría de los actores de amenazas que operan retransmisiones Tor maliciosas tienden a centrarse en ejecutar puntos de salida, lo que les permite modificar el tráfico del usuario. Por ejemplo, un actor de amenazas que Nusenu ha estado rastreando como BTCMITM20 ejecutó miles de nodos de salida Tor maliciosos para reemplazar las direcciones de billetera Bitcoin dentro del tráfico web y secuestrar los pagos de los usuarios.
Durante más de 16 meses, se ha visto a un actor de amenazas agregando servidores maliciosos a la red Tor para interceptar el tráfico y realizar ataques de eliminación de SSL a los usuarios que acceden a sitios relacionados con criptomonedas.
Al agrupar estos servidores bajo el paraguas KAX17, Nusenu dice que este actor de amenazas ha agregado servidores constantemente... en cantidades industriales, operando servidores en el ámbito de cientos en un momento dado.
La mayoría de los servidores de retransmisión Tor configurados por el actor KAX17 estaban ubicados en centros de datos de todo el mundo y están configurados principalmente como puntos de entrada y medios.