링크된 기사는 우리가 Discourse를 어떻게 보안해야 하는지와는 무관합니다. 이 기사는 중국이나 러시아와 같은 국가에 거주하는 사람들을 위한 것입니다.
제 관점에서는 IP 주소 차단은 단기간에만 유효하며, 이는 사용자 에이전트 차단과 유사한 조치입니다. 이는 해를 끼치려 하지 않는 잘못된 행동을 하는 사람들만 막을 수 있습니다. 하지만 악의적인 공격자들… 그들에게는 완전히 시간 낭비입니다.
IP나 사용자 에이전트를 변경하는 것은 너무도 쉬운 트릭이라 공격자를 막는 데 도움이 되지 않습니다 — 여기서 말하는 것은 블랙햇 해커가 아니라, 포럼을 망가뜨리거나 남의 삶을 괴롭게 하려는 무뢰배들을 말합니다.
어플리케이션은 다른 곳에서 수행되어야 할 작업을 수행해서는 안 됩니다. 예를 들어 방화벽이나 패킷 필터링처럼요. 하지만 Discourse는 이미 사용자 에이전트를 차단하고 크론 태브(crontab) 대신 다른 것을 사용함으로써 이를 수행하고 있습니다. 이 상황도 비슷한 맥락입니다.
무엇을 요구하는 것은 아니지만, 의견을 듣고 싶습니다 (트릭도 포함해서요).
셀프 호스팅 관리자가 취해야 할 보안 조치는 무엇인지
Discourse가 분노하고 숙련된 공격자들에게 취약한지 (보상 프로그램이 있다는 것은 알고 있지만, 그것은 별개의 문제입니다)
그리고 좀 더 메타 레벨에서: IP 및 사용자 에이전트 차단은 우리가 이미 이 전쟁에서 패배했기 때문에, 가짜 보안감을 주기 위한 허세(gimmick)에 불과한지
그 다수는 여러분에게서 나온 것입니다. 이는 사실이 아닙니다. 팩토이드(factoide)일 뿐이죠
대부분의 악의적 목적은 라이트 웹(light web)에서 만들어집니다. 현재 온라인 사용자는 두 명이지만, 약점을 찾으려는 해커들이 약 20명 정도 시도하고 있습니다. 실제로 국가를 차단하는 것이 오니언(onion) 주소를 차단하는 것보다 더 효과적입니다.
하지만 아직 할 일이 너무 많지는 않습니다. 알려진 모든 Tor 진입점을 수동으로 차단할 수는 있지만, 서버가 이를 알리지 않으면… VPN과 Tor 사이에 차이가 없으며, 우리는 VPN을 다크웹의 일부로 보지 않습니다.
물론 그들은 신원을 숨기는 도구를 사용하고 있습니다. 그렇다면 여러분과 우리가 무엇을 할 수 있을까요? 미국, 프랑스, 독일, 영국, 중국, 러시아는 인터넷의 자유를 제한하려 시도했지만, 충분한 정치적·재정적 레버리지가 없어서 실패했습니다. Discourse가 더 많은 일을 할 수 있다고 보지 않습니다.
아니면 할 수도 있습니다. 악의적 행동을 식별할 수 있는 AI를 구축할 수 있습니다. 하지만 현실적으로 생각해야 합니다 — 감시 대상 단어(watched words)를 넘어선 거의 모든 것은 현재로서는 SF(공상과학)에 불과합니다.
하지만 제 약점은 IP 차단은 단순히 시간 낭비라는 점입니다. 이는 보안의 환상만을 줄 뿐, 그 이상은 아닙니다. 다른 도구가 있어야 하지만, 그 옵션들은 나쁘거나 더 나쁘기 때문에, 그러면 결국 모든 사용자의 활동을 어떻게든 제한해야 합니다.
Discourse의 신뢰 수준(Trust level)은 하나의 해결책이며, 실제로 나쁘지 않습니다. 하지만 좋아요(likes)나 읽기 횟수(reads) 외에 다른 지표가 있어야 합니다(좋아요를 세는 이유를 이해할 수 없으며, 그렇게 하면 신뢰 수준은 마케팅 도구일 뿐이므로). 어떤 지표가 있을까요? 저는 알지 못합니다.
관리자나 포럼을 노리는 사람이 단 한 명뿐이라면 그 상황은 어렵습니다 — 대부분 IP 차단 외에 다른 방법이 없기 때문입니다. 다른 해커들은 더 쉽습니다. 왜냐하면 대부분의 봇은 멍청하고 코딩이 엉망이기 때문입니다. 그래서 지금 한 베트남 IP가 Discourse의 오래된 WordPress XMLRPC 구멍을 악용하려 하고 있습니다
대부분의 앱과 서비스는 버전 정보를 숨기도록 안내합니다. Discourse는 아닙니다. 이것이 실제로 버전 스니핑(version sniffing)이 오래된 이야기라서 그런 것일까요, 아니면 다른 이유가 있을까요?
완전히 틀렸습니다. 저는 이 발언을 두 기술 모두에 대한 이해가 전혀 없는 것으로 읽었습니다. 따라서 이것이 모든 측면에서 두 가지 다른 것임을 분명히 하고 싶습니다.
이것도 사실이 아닙니다. Linux 커널에 Wireguard가 내장되어 배포할 준비가 되어 있기 때문에, VPN은 이제比以往보다 사용이 훨씬 쉬워졌기 때문입니다. 만약 Tor 브라우저 번들을 언급하고 있다면, Mozilla가 이제 Firefox 내에서 자체 VPN 서비스를 제공한다는 점을 기억하십시오. 이는 Tor 번들을 설치할 필요가조차 없다는 것을 의미합니다.
이러한 대화는 혼란스럽습니다. 제 이해로는 우려의 대상이 취약한 공개 포럼에 대한 VPN 및 Tor 사용자들의 위협이라는 점입니다. 하지만 저는 왜 신뢰할 수 있는 사용자만 접근할 수 있도록 서비스를 시작하기 위해 이러한 기술을 사용하지 않는지 궁금합니다(이것이 귀하에게 매우 중요한 문제라고 가정한다면요).
항상 그렇습니다.
당신이 직면한 위협이 국가 행위자라면, 그렇습니다. 그 경우, 무제한의 자원과 전문성은 우리가 예상할 수 있는 범위를 훨씬 벗어나기 때문에 위험에 처하게 됩니다. 만약 당신이 위험에 처해 있다면 공개 인터넷에 자신을 (또는 서비스를) 노출하지 않는 것을 제안하지만, 그런 상황은 아니기를 바랍니다.
원본 토픽의 목적은 보안과 무관하지만 원치 않는 활동과 관련하여 Tor 차단 문제를 논의하는 것이었습니다. 제 인상으로는 이 토론이 보안과 관련하여 Tor/VPN 차단을 논의하기 위해 분기(fork)되었으나, 댓글을 통해 목적이 혼동된 것 같습니다.
Tor 그리고 VPN을 차단하는 데에는 정당한 이유가 있지만, 보안을 위해这样做하는 것은 그중 하나에 해당하지 않습니다. 악의적인 행위자는 Tor를 사용할 수도 있고, VPN을 사용할 수도 있으며, 또한 세계 어느 곳에서든(데이터 센터/가정/사무실/기타 등) 어떤 유형의 연결을 사용하고 있는 이전에 침해된 시스템을 사용할 수도 있습니다.
마찬가지로, 특정 Tor/VPN 차단 이유가 없이 공개적으로 서비스되고 있다면, 합법적인 사용자도 이러한 연결 유형 중 하나를 사용하고 있을 수 있습니다.
악성 활동이 관찰되는 경우, 수동 또는 자동 메커니즘을 통해 발견되든, 해당 특정 활동에 대한 일시적인 IP 차단은 수동 공격을 더 번거롭게 만들고, 자동화된 공격은 더 크고 복잡한 봇 네트워크를 요구하게 되어, 제한된 자원을 가진 행위자들에게 서비스의 매력도를 낮추는 효과가 있을 수 있습니다.
네, 저는 웹 브라우저에 대해 말씀하는 것입니다. 다른 웹 브라우저처럼 단순히 다운로드해서 바로 실행할 수 있다는 것은 무엇을 하고 있는지 숨기려는 사람들에게 매우 편리합니다. 대부분의 무료 VPN은 상당히 불투명하며(아마도 다른 회사에 사용자 데이터를 팔고 있을 가능성이 높습니다), 평판이 좋은 VPN을 사용하려면 매달 몇 달러를 지불해야 합니다. Tor는 무료 이고 평판이 좋습니다. 무료와 경쟁할 수는 없습니다.
위와 비슷한 점이지만, Mozilla의 VPN은 돈을 받습니다.
왜 어떤 포럼이든 독점적으로 Tor를 통해만 접근 가능하게 하려 할까요? “일반” 웹 브라우저보다 훨씬 느리다는 점을 감안할 때, 사용자들이 전환하도록 설득하는 것은 악몽 같은 일이 될 것입니다…
어떤 맥락에서요? 그냥 궁금해서요…
장점과 단점을 저울질하는 문제입니다. Tor를 사용하는 “좋은” 사용자의 비율과 “나쁜” 사용자의 비율은 각각 얼마일까요?
그것이 얼마나 효과적일지 확실하지 않습니다. Tor 네트워크가 얼마나 거대한지를 고려하면, 모든 IP 주소를 차단하는 것은 고양이와 쥐의 게임을 하는 것과 같을 것입니다.
모든 측면에서? 아닙니다. VPN과 Tor은 기술적 해결책(backend)에 관해 이야기할 때만 차이가 있습니다.
로그를 읽는 관리자 입장에서는 둘은 완전히 동일하며, 차이는 없습니다. VPS 또는 VPS처럼 보이는 서버로 요청을 보내는 IP가 계속 바뀌는 사용자가 있을 뿐입니다.
이것은 하나의 관점일 뿐입니다. 대부분의 공격 시도는 VPN/Tor에서 옵니다 — Tor은 소수이지만요. 공격자들이 오래된 비밀번호 목록을 사용하거나 구형 WordPress의 취약점을 이용하려는 기술 수준은 별개의 이야기입니다. 하지만 스크립트 키디(script kiddie)가 겨우 복사&붙여넣기 할 수 있다는 이유만으로 원천적으로 무언가를 막지 않는다는 전제는 정말로 약합니다.
하지만 이런 주제에서는 항상 두 가지, 거의 정반대인 세계가 있음을 기억해야 합니다:
글로벌 vs. 로컬
비즈니스 vs. (거의) 모든 것
전자의 경우, 사용자가 인터넷에 접속한 방식만으로는 그 사람이 정당한 사용자가 아니라고 가정할 수 없습니다. 후자의 경우, VPS와 Tor을 통해 들어오는 것이 대부분 쓰레기(스팸/악성 트래픽)일 때만 그렇게 가정할 수 있습니다.
따라서 다음 내용은
항상 사실인 것은 아닙니다. 상황에 따라 다릅니다.
진짜 공격자에 대해 이야기한다면 맞습니다. 하지만 밖에 있는 사람이 그냥 화가 난, Linux를 사용하지 않는 또 다른 사람일 수도 있습니다. 그리고 헤드리스 서버가 아닌 다른 것을 사용하더라도, 그 사람이 어떻게 사용하는지 모를 가능성이 높습니다. VPS가 훨씬 쉽습니다.
그러므로 — 우리는 이제 꽤 자주 두 가지 다른 세계, 또는 사례에 대해 이야기하고 있습니다.
저는 Tor에 대해 큰 문제가 없습니다. VPN은 별개의 이야기이지만, 이는 스크레이퍼와 공격자(knockers)가 이를 너무 자주 사용하기 때문입니다.
제게는 상황이 꽤 단순합니다. IP를 BAN하는 것은 아무런 의미가 없습니다. 2~5번의 시도 후에 IP가 바뀌기 때문입니다. 저는 큰 재정적 중요성이 없는 순수한 로컬 서비스를 운영하고 있으며, geoip를 사용할 수 있는 매우 단순한 솔루션을 가지고 있습니다.
현재는 사용하지 않고 있지만, SSH, WordPress, Drupal… 이름만 대면 알 수 있는 서비스들에 접근을 시도하는 동시 접속자가 200명 정도 있습니다. 하지만 Discourse에 관심 있는 것은 SEO 스크레이퍼들뿐입니다
핑거프린팅에 대해 제 의견이 무엇인지 확신은 없지만, 그것이 하나의 옵션이 될 수 있습니다(플러그인으로 구현할 수도 있겠네요).
AmIUnique 사이트에서는 "전체 데이터셋의 887,481개 핑거프린트 중 고유한 핑거프린트를 가지고 있다"고 합니다(신뢰할 수 있다면요, 방금 발견했습니다).
수정: 그들이 사용하는 정보를 공개하고 있는데, 그 양이 상당합니다. 웹글(WebGL)을 통해 제 그래픽 카드의 세부 정보까지 포함되어 있네요. 기술적으로 충분히 가능해 보입니다. 서로 다른 기기 사이를 오가며 브라우저 설정을 계속 변경해 우회하려는 시도를 할 수 있으므로, 이 방법은 완벽하지도 않고 문제를 해결하기 쉽지도 않을 것입니다.
