id: Гость   вход   регистрация
текущее время 23:38 28/03/2024
Владелец: unknown (создано 02/09/2013 15:21), редакция от 09/09/2013 09:58 (автор: spinore) Печать
Категории: софт, анонимность, приватность, анализ трафика, инфобезопасность, прослушивание коммуникаций, tor, атаки, модель угрозы
http://www.pgpru.com/Новости/2013/НовыеОценкиСниженияЗатратНаКорреляционныеАтакиПротивПользователейTor
создать
просмотр
редакции
ссылки

02.09 // Новые оценки снижения затрат на корреляционные атаки против пользователей Tor


Сеть Tor является одной из самых популярных для анонимизации сетевых соединений в интернете. Она состоит из узлов, которые могут быть запущены любыми добровольцами или заинтересованными группами для шифрования соединений и скрытия IP-адресов клиентов. Поскольку анонимизации подвергаются TCP-соединения реального времени, то это приводит к известной концептуальной уязвимости: анализ входящего и исходящего трафика может показывать корреляции на входе и выходе из сети на основе количества переданных данных и их распределения по времени. Это позволяет отследить анонимную цепочку до IP-адреса пользователя, не прибегая к её дешифровке или полному обходу всех задействованных в ней узлов. Для проведения корреляционного анализа противник должен наблюдать как можно больше таких точек входа и выхода из сети Tor (при полном наблюдении он становится глобальным наблюдателем, против которого Tor не защищает) или запустить как можно больше своих подконтрольных узлов в сети Tor.


Ранние оценки были сравнительно оптимистичными из-за наличия большого разнообразия групп, заинтересованных в запуске своих узлов и трудностей в создании глобального наблюдателя. Однако, чем больше исследований проводилось на эту тему, тем слабее оценивался реальный уровень защиты и тем меньше становились оценки затрат противника на проведение атак. Особый интерес представляет возможность проведения атаки при малых затратах ресурсов, доступных рядовому противнику.


Исследователи Аарон Джонсон, Роб Джэнсен, Пол Сайверсон (Лаборатория военно-морских исследований, округ Вашингтон) и Крис Вацек, Майк Шер (Университет Джорджтаун, округ Вашингтон) представили новое исследование "Users Get Routed: Traffic Correlation on Tor by Realistic Adversaries", в котором моделируют разные группы пользователей и противников, рассматривают модель построения цепочек, вероятность успеха корреляционных атак и предлагают новые алгоритмы маршрутизации в сети Tor. В предыдущих работах рассматривались возможности, даваемые противнику при получении контроля над точками обмена трафиком (IXP — Internet Exchange Point) и автономными системами (AS). Однако, авторы обратили внимание, что в современной ситуации легкоосуществимы атаки на основе сотрудничества географически разделённых AS и IXP, например, на основе принадлежности к одной организации или вынужденного сотрудничества. В новом исследовании применялась симуляция активности пользователя и использовались последние данные сети Tor, а также данные из карты BGP-маршрутизации в интернете.


Исследователи рассчитали оценки вероятностей на деанонимизацию в расчёте на промежуток времени и считают реалистичными и обоснованными существенные снижения затрат на атаки и повышение вероятностей раскрытия пользователей по сравнению с теми, что считались ранее. Так, по их данным, противник, располагающий сравнительно умеренным количеством узлов в Tor-сети (доступным обычному рядовому энтузиасту) способен деанонимизировать 80% всех типов пользователей за 6 месяцев сбора статистики. Противник, контролирующий единственную AS, способен деанонимизировать практически 100% пользователей за три месяца. Также за 3 месяца можно деанонимизировать 95% пользователей при контроле над единственым IXP.


Особенно интересным является тот факт, что чем сильнее выделяется трафик пользователя, тем быстрей он имеет шанс быть деанонимизированным. Так, пользователи Bittorrent, которые пропускают свой трафик через сеть Tor, не только снижают её пропускную способность, но и существенно повышают риск своей деанонимизации, разумеется, даже с учётом того, что они не допускают никаких ошибок конфигурации, которые бы приводили к непосредственной утечке их IP-адреса. Схожим нетипичным видом трафика, легко подлежащим раскрытию, является трафик IRC. Иначе говоря, благоприятными для пользователя являются лишь HTTP и HTTPS соединения, а более редкие виды трафика, идущие по другим портам, резко выделяют его среди основной массы. Ещё одним интересным наблюдением является то, что контроль со стороным противника над несколькими AS увеличивает вероятность деанонимизации пользователя на порядки. Такое неблагоприятное сочетание факторов, как использование протокола Bittorent и контроль противником двух AS позволяет отследить пользователя за 1 день.


Следует, однако, отметить, что хотя вероятность деанонимизации соединений пользователя велика, количество деанонимизированных соединений пользователя выглядит не столь впечатляющим: оно составляет от 0.25% до 1.5% его активности и зависит от типа трафика. С другой стороны, эти цифры не так малы — при небольшом разнообразии посещаемых пользователем ресурсов количество раскрытых соединений не так важно для составления списка этих ресурсов.


Исследователи пессимистично оценивают уровень анонимности в сети Tor, однако, считают его удовлетворительным для многих пользователей. Они обсуждают временные меры по ручному изменению конфигурационных файлов Tor, которые хотя и увеличивают профилируемость пользователя, всё же снижают эффективность против статистических атак. Тем не менее, такие рискованные меры недостаточны, и следует провести большой объём исследований по построению новых протоколов, которые могли бы усилить анонимность Tor.


Исследование проведено на основе предоставленных материалов и при поддержке агентства перспективных оборонных исследований (DARPA), штаба космических и боевых систем (SPAWAR) и национального научного фонда (NSF) США, но может не отражать официальную позицию этих организаций. Работа будет представлена на 20-ой конференции по компьютерной и коммуникационной безопасности CCS 2013 в Берлине 4-8 ноября 2013 года.


Источник: работа доступна на страницах авторов: Aaron Johnson, Paul Syverson, слайды опубликованы на fileCryptome.org.


См. также: TorScan: трассировка долговременных соединений и дифференциальные сканирующие атаки, В Tor Browser помещена экспериментальная защита от серьёзной статистической атаки, Потенциальные возможности пассивного анализа трафика Tor, Пассивная атака на сеть Tor: вычисление любого пользователя за 20 минут.


 
Много комментариев (11) [показать комментарии/форму]
Ваша оценка документа [показать результаты]
-3-2-1 0+1+2+3