Tor Project advarer lige nu operatører af Tor-relays om en aktiv sikkerhedshændelse. Angribere har kapret et antal Linux-baserede servere, ændret deres konfiguration og omdannet almindelige mellemled til exit-noder, der opsnapper SSH-forbindelser. Hændelsen blev første gang beskrevet i et forumindlæg fra Tor Projects egen “Network Health”-gruppe den 5. oktober 2026 og blev opdateret den 11. oktober, mens undersøgelsen stadig kører. Sagen rammer et netværk, der netop nu tæller omkring 10.079 relays og 2.935 exit-relays, og den rejser et spørgsmål, som anonymitetsnetværket har kæmpet med i over et årti: hvor meget kan man egentlig stole på den sidste server, trafikken passerer, før den lander på det åbne internet.
Hvad er der sket: Tor-netværket under et nyt angreb
Ifølge Tor Projects egen beskrivelse i forumtråden “Security incident affecting some relay operators” modtog Network Health-teamet i weekenden op til den 5. oktober flere rapporter fra relay-operatører, der så mistænkelig aktivitet på deres servere. Teamet skriver direkte: “Over the weekend we received reports that relays of some of our operators were intercepting SSH connections.” Operatørerne meldte selv, at deres maskiner var blevet hacket, at konfigurationsfilen torrc var blevet redigeret uden deres accept, og at relayet pludselig opsnappede SSH-trafik.
Det centrale i sagen er, at angriberne ikke gik efter Tor-protokollen selv. De gik efter værtsmaskinerne. Når en angriber først har adgang til en Linux-server, der kører et almindeligt mellemled (et “non-exit relay”), kan vedkommende redigere torrc-filen og tilføje en exitpolitik, serveren aldrig var sat op til at have. Tor Project formulerer det selv sådan: “It seems the attacker is gaining access to Linux based hosts and when these machines are running non-exits they are editing the torrc file and turning them into exits to be able to carry out the SSH attack.” Resultatet er en server, der pludselig fremstår i netværket med et Exit-flag, uden at ejeren har bedt om det.
Tidslinje for sikkerhedshændelsen
- Weekenden før 5. oktober 2026: De første relay-operatører melder om hackede servere og uventet SSH-opsnapning til Tor Projects Network Health-team.
- 5. oktober 2026: Tor Project offentliggør det første forumindlæg om hændelsen og beder operatører tjekke Tor Metrics for uventede Exit-flag.
- Dagene efter: Directory authorities, de servere der godkender hvilke relays der må være med i netværket, begynder at flage og afvise de berørte relays fra konsensus.
- 11. oktober 2026: Tråden opdateres, mens Network Health-teamet fortsat undersøger, hvordan angriberne først fik fat i værtsmaskinerne.
Tor Project har endnu ikke offentliggjort et samlet tal for, hvor mange relays der konkret blev kompromitteret, hvor mange SSH-sessioner der blev opsnappet, eller hvordan angriberne først brød ind på værtsmaskinerne. Det eneste bekræftede er metoden: kapring af en allerede kørende Tor-vært, en ændring af exitpolitikken, og derefter opsnapning af trafik, der passerer gennem den nu falske exit-node.
Sådan fungerer angrebet teknisk
Et Tor-kredsløb består normalt af tre led: et guard-relay, der kender brugerens rigtige IP-adresse, et middle-relay, der blot videresender krypteret trafik, og et exit-relay, der sender trafikken videre ud på det åbne internet. Kun exit-relayet kan se den trafik, der ikke selv er krypteret end-to-end, for eksempel en SSH-forbindelse uden yderligere beskyttelse. Det er netop den egenskab, angriberne har udnyttet i oktober-hændelsen: ved at tvinge et almindeligt mellemled til at optræde som exit, får de adgang til et sted i kredsløbet, hvor ukrypteret eller delvist beskyttet trafik kan aflæses.
Relay-operatører, der selv har opdaget problemet, beskriver et konkret mønster: en legitim torrc-fil, der pludselig har fået tilføjet linjer, der åbner for exit-trafik på porte, operatøren aldrig selv har konfigureret. Tor Metrics, netværkets offentlige statistiktjeneste, viser et relays flag-status, og det er her operatører kan se, om deres server fejlagtigt er markeret som Exit, uden at de selv har bedt om det.
# Tjek din egen torrc for uventede exit-indstillinger
grep -iE "ExitPolicy|ExitRelay" /etc/tor/torrc
# Find dit relays fingerprint til opslag på Tor Metrics
cat /var/lib/tor/fingerprintTor Projects egen anbefaling til ramte operatører er ikke at rense maskinen, men at geninstallere den fra bunden. Teamet skriver, at nøglerne til relayet må anses som kompromitterede, og at operatører bør generere en helt ny relay-identitet og rotere alle andre adgangskoder og tokens, der lå lagret på den hackede server. Diskbilleder og logs bør gemmes, før maskinen geninstalleres, så hændelsen senere kan undersøges nærmere.
Tor-netværkets omfang lige nu
Hændelsen rammer et netværk, der på ingen måde er småt. Tor-drevne målingsdashboards registrerede den 10. oktober 2026 et samlet antal på mellem 10.079 og 10.090 relays, afhængigt af præcis målingstidspunkt og metode. Af dem havde mellem 2.935 og 2.952 relays et Exit-flag, altså den type server, angrebet går efter. Resten er fordelt mellem guard- og middle-relays, som normalt ikke kan se den fulde, ukrypterede trafik.
| Måltal | Værdi (oktober 2026) |
|---|---|
| Samlet antal relays | 10.079–10.090 |
| Exit-relays | 2.935–2.952 |
| Guard-relays | 3.328–3.354 |
| Middle-relays | 3.784–3.816 |
| Testede exit-noder | 2.670 |
| Sunde exit-noder | 2.662 |
| Usunde exit-noder | 8 |
| Relays målt i alt | 9.966 (98,8% dækning) |
Tallene stammer fra Tor-afledte netværksdashboards, der opdateres løbende, og de varierer en smule afhængigt af præcis målemetode. Pointen er alligevel klar: selv en håndfuld kaprede exit-relays giver en angriber adgang til et betydeligt udsnit af den trafik, der dagligt passerer gennem omkring 2.900 exit-noder globalt.
Hvorfor exit-noder altid har været det svage led
Oktober-hændelsen er ikke første gang, Tor-netværkets exit-relays bliver brugt som aflytningspunkt. Roger Dingledine, der er medgrundlægger af Tor Project, har tidligere forklaret arkitekturens grundlæggende begrænsning direkte: “Yes, the guy running the exit node can read the bytes that come in and out there,” som han er citeret for af CyberInsider. Det er ikke en fejl i Tor, det er en konsekvens af, at trafik et sted skal krydse fra det krypterede Tor-netværk til det almindelige internet, og det sted er altid exit-relayet.
En sikkerhedsforsker, der i en honeypot-undersøgelse testede en række exit-noder med lokkekonti, nåede frem til samme konklusion. Forskeren, der går under navnet Chloe, fandt noder, der aktivt opsnappede trafik og stjal adgangskoder, og konkluderede ifølge Vice: “You should never trust the exit node and use HTTPS.” Rådet er enkelt, men det illustrerer, hvor lidt der faktisk skal til for at vende et neutralt mellemled til et aflytningspunkt, hvis trafikken ikke selv er krypteret.
Historiske angreb på exit-noder sat i perspektiv
Oktober-hændelsen føjer sig til en lang række af forsøg på at udnytte netop exit-relayets position. Sikkerhedsforskere har tidligere dokumenteret kampagner, hvor en enkelt aktør på et tidspunkt kontrollerede op til 24% af alle exit-relays i netværket med det formål at fjerne krypteringsprotokoller fra kryptobørsers trafik og stjæle bitcoin fra brugerne. En anden overvågningsperiode, hvor forskere fulgte netværket over fire måneder, endte med at 25 skadelige relays blev rapporteret og sortlistet af Tor Project.
| Periode | Hændelse | Omfang |
|---|---|---|
| Tidligere SSL-stripping-kampagne | Enkelt aktør fjernede kryptering fra børstrafik for at stjæle bitcoin | Op til 24% af alle exit-relays på det tidspunkt |
| Fire måneders overvågning | Forskere sporede og rapporterede skadelige relays | 25 relays fundet og sortlistet |
| Honeypot-forsøg | Forsker testede exit-noder med lokkekonti | Flere noder fundet med aktiv trafik- og adgangskodeopsnapning |
| 5.–11. oktober 2026 | Kaprede Linux-relays omdannet til exit-noder for SSH-opsnapning | Antal berørte relays ikke officielt bekræftet af Tor Project |
| Løbende i 2026 | Directory authorities flager og afviser mistænkelige relays som standardforsvar | 9.966 af 10.079 relays målt kontinuerligt (98,8% dækning) |
Mønsteret går igen: angriberne søger ikke efter en fejl i selve Tor-protokollen, de søger efter adgang til servere, der allerede kører som relays, fordi den position giver en gratis strøm af tredjepartstrafik at aflytte. Det er en billig vej ind sammenlignet med at bygge egen overvågningsinfrastruktur, og det er en af grundene til, at hændelsestypen vender tilbage år efter år.
Tor Projects anbefalinger til relay-operatører
Tor Project har sendt en klar liste af handlinger ud til operatører, der frygter deres server er blandt de ramte. Rådene er praktiske og peger mod, at man skal betragte en kompromitteret vært som fuldstændig utroværdig, ikke blot rense den overfladisk.
- Tag det mistænkte relay offline med det samme.
- Gem diskbilleder og logs, før maskinen rettes, så hændelsen kan undersøges bagudrettet.
- Geninstaller systemet fra bunden i stedet for blot at rense det, da en angriber med root-adgang kan have efterladt andre bagdøre.
- Generer en helt ny relay-identitet, fordi de eksisterende nøgler må anses som stjålet.
- Roter samtlige adgangskoder og tokens, der lå lagret på den ramte server.
- Tjek Tor Metrics for et uventet Exit-flag og gennemgå exitpolitikken for uautoriserede ændringer.
Rådene afspejler, at Network Health-teamet selv ser hændelsen som et spørgsmål om værtssikkerhed, ikke en svaghed i Tor-protokollen. Så længe angriberen kan skaffe sig adgang til den underliggende Linux-maskine, er Tor-softwaren ligeglad med, hvem der redigerer torrc-filen.
Konkurrencebilledet: Tor mod VPN og I2P
Hændelsen rejser naturligt spørgsmålet om, hvordan Tor klarer sig sammenlignet med andre måder at opnå anonymitet online. En almindelig VPN krypterer trafikken til én udbyder, som så selv afkoder og sender den videre. Her er risikoen koncentreret: brugeren skal stole fuldt ud på VPN-udbyderen, men til gengæld er der kun ét sted, trafikken kan blive aflæst, og gode udbydere lader sig revidere af tredjepart for at bevise, de ikke logger trafik.
Tor spreder tilliden ud over tre uafhængige relays i stedet for én udbyder, hvilket i teorien gør det sværere for en enkelt aktør at se både hvem brugeren er og hvad brugeren gør. Oktober-hændelsen viser imidlertid, at princippet kun holder, hvis relayerne reelt er uafhængige af hinanden. Når en angriber kan kapre flere Linux-værter og tvinge dem til at fungere som exit, mister netværket noget af den spredning, der er hele pointen.
I2P, et mindre udbredt alternativ, bruger en anden model, hvor trafik primært forbliver inde i netværket i stedet for at skulle ud gennem en exit-node til det almindelige internet. Det reducerer eksponeringen for netop den type angreb, Tor lige nu kæmper med, men til prisen af et langt mindre netværk og færre tjenester, der reelt er tilgængelige gennem det. For de fleste brugere, der ønsker almindelig webadgang med anonymitet, er Tor stadig den mest brugte løsning, simpelthen fordi netværket med over 10.000 relays giver en bredde, konkurrenterne ikke matcher.
Hvad det betyder for brugere og virksomheder i Norden
For almindelige danske og nordiske Tor-brugere er den praktiske risiko ved denne hændelse knyttet til ukrypteret eller delvist beskyttet trafik, der passerer gennem et exit-relay. Det gælder typisk SSH-forbindelser uden yderligere lag af beskyttelse, men princippet rækker videre til al trafik, der ikke selv er krypteret end-to-end, uanset protokol. Journalister, aktivister og virksomheder, der bruger Tor til at beskytte kildekontakt eller forretningskommunikation, bør i den kommende periode lægge ekstra vægt på, at al trafik gennem netværket også er beskyttet af sin egen kryptering, for eksempel HTTPS eller en SSH-tunnel med verificerede værtsnøgler.
For virksomheder, der selv driver Tor-relays som en del af deres infrastruktur eller støtte til netværket, er beskeden mere direkte: enhver Linux-server, der eksponeres mod internettet, er et muligt mål, og et relay giver ikke i sig selv ekstra beskyttelse mod, at værten bliver hacket. Almindelig server-hygiejne, adgangsstyring og overvågning af uventede konfigurationsændringer er stadig den primære forsvarslinje, uanset om maskinen kører Tor eller noget helt andet.
Sådan beskytter du dig selv som Tor-bruger lige nu
Den enkleste beskyttelse mod et aflytende exit-relay er at sikre, at trafikken selv er krypteret, før den overhovedet rammer Tor-netværket. Det betyder at bruge HTTPS fremfor almindelig HTTP, at verificere SSH-værtsnøgler manuelt frem for at acceptere dem blindt ved første forbindelse, og at undgå at sende adgangskoder eller personlige oplysninger over forbindelser, der ikke selv har et ekstra krypteringslag.
- Brug altid HTTPS, aldrig almindelig HTTP, når du browser via Tor.
- Bekræft SSH-værtens fingeraftryk ad en anden kanal, før du stoler på en ny forbindelse.
- Undgå at indtaste adgangskoder på sider, der ikke viser et gyldigt HTTPS-certifikat.
- Brug Tor Browser i stedet for at rute vilkårlige applikationer gennem Tor uden selv at forstå, hvilket lag af kryptering de har.
- Hold øje med meddelelser fra Tor Project, hvis du selv driver et relay, og tjek dit relays flag-status regelmæssigt.
Markedseffekten: tillid til anonymiseringsnetværk under pres
Hver gentagelse af exit-node-angreb lægger et nyt lag på den samme grundlæggende diskussion: kan et frivilligt drevet, decentraliseret netværk som Tor reelt garantere sikkerhed, når dets styrke, at hvem som helst kan drive et relay, også er dets svaghed. Netværket har ingen central myndighed, der kan godkende hver enkelt relay-ejers identitet eller hensigter, og det er netop den åbenhed, der gør Tor modstandsdygtigt mod censur, men også sårbart for infiltration.
Det stiller samtidig de kommercielle VPN-udbydere i et andet lys. Hvor Tor er gratis og drevet af frivillige, bygger VPN-markedet på betalende kunder og en enkelt udbyders omdømme. Begge modeller har vist sig sårbare på forskellig vis i løbet af 2026, men oktober-hændelsen peger på, at Tors distribuerede model kræver kontinuerlig overvågning af tusindvis af uafhængige servere. Det er en opgave, Network Health-teamet nu har fået et konkret og aktuelt eksempel på vigtigheden af.
Forudsigelser: hvad sker der med Tor-sikkerheden fremover
- Tor Project vil sandsynligvis offentliggøre et mere detaljeret opfølgningsindlæg, når undersøgelsen af den oprindelige indbrudsvej er afsluttet, inklusive et endeligt tal for antallet af berørte relays.
- Flere relay-operatører vil begynde at overvåge deres Exit-flag-status automatisk, fremfor at vente på manuelle rapporter, hvilket kan føre til hurtigere opdagelse af fremtidige kapringer.
- Directory authorities vil skærpe de automatiske kontroller, der flager relays med uventede exitpolitik-ændringer, som en direkte konsekvens af denne hændelse.
- Diskussionen om, hvorvidt Tor bør kræve strengere verifikation af relay-operatører, vil blusse op igen, selv om et sådant krav risikerer at underminere netværkets decentrale natur.
- Interessen for lag-på-lag kryptering, altså at bruge HTTPS og verificeret SSH oven på Tor i stedet for at stole på netværket alene, vil sandsynligvis stige blandt sikkerhedsbevidste brugere i den kommende tid.
Ofte stillede spørgsmål
Er det sikkert at bruge Tor lige nu?
Ja, med forbehold. Tor-protokollen selv er ikke brudt, og de langt fleste af netværkets over 10.000 relays er ikke berørt. Risikoen gælder specifikt trafik, der ikke selv er krypteret, og som passerer gennem et af de kaprede exit-relays. Bruger du HTTPS og verificerede forbindelser, er den praktiske risiko begrænset.
Hvad er forskellen på et guard-, middle- og exit-relay?
Guard-relayet er det første led og kender brugerens reelle IP-adresse. Middle-relayet videresender kun krypteret trafik og kan ikke se indholdet. Exit-relayet er det sidste led og sender trafikken videre ud på det åbne internet, hvilket gør det til det eneste led, der potentielt kan se ukrypteret indhold.
Hvordan ved jeg, om mit eget relay er blevet kapret?
Tjek dit relays status på Tor Metrics for et uventet Exit-flag, og gennemgå din torrc-fil for linjer om exitpolitik, du ikke selv har tilføjet. Hvis noget ser forkert ud, bør du tage serveren offline og følge Tor Projects anbefaling om geninstallation fra bunden.
Hvorfor retter angriberne sig mod SSH-forbindelser specifikt?
SSH bruges ofte til at administrere servere og kan i visse konfigurationer indeholde værdifulde adgangsoplysninger. En angriber, der kan opsnappe SSH-trafik gennem et falsk exit-relay, får potentielt adgang til legitimationsoplysninger, der kan bruges til at bryde ind på endnu flere systemer.
Er VPN et sikrere alternativ til Tor?
Det afhænger af, hvad man beskytter sig mod. En VPN koncentrerer tilliden hos én udbyder, mens Tor spreder den over tre uafhængige relays. Begge modeller kan kompromitteres, hvis det svage punkt, en enkelt VPN-udbyder eller et kapret Tor-relay, bliver angrebet. Ingen af løsningerne erstatter grundlæggende kryptering som HTTPS på selve forbindelsen.
Kan Tor Project forhindre den type angreb i fremtiden?
Tor Project kan skærpe overvågningen af uventede flag-ændringer og reagere hurtigere, når relays flager mistænkeligt. Men da netværket er bygget på, at hvem som helst kan drive et relay, kan organisationen ikke forhindre, at en angriber kaprer en enkelt operatørs server. Forsvaret handler derfor om hurtig opdagelse og fjernelse, ikke total forebyggelse.
Hvor mange relays er bekræftet ramt af oktober-hændelsen?
Tor Project har ikke offentliggjort et bekræftet tal. Det eneste, der er officielt bekræftet, er metoden, kapring af Linux-værter og ændring af torrc-filen, samt at directory authorities har flaget og afvist de relays, der er blevet identificeret som ramte.
Skal jeg stoppe med at bruge Tor Browser til almindelig browsing?
Nej. Tor Browser håndterer selv kredsløbsvalg og krypterer trafik frem til exit-relayet, og de fleste websteder bruger i dag HTTPS som standard, hvilket beskytter indholdet selv hvis exit-relayet er kompromitteret. Risikoen i denne konkrete hændelse er størst for ukrypterede protokoller som rå SSH uden værtsverifikation, ikke for almindelig webbrowsing med HTTPS.
