id: Гость   вход   регистрация
текущее время 08:30 29/03/2024
Владелец: unknown редакция от 02/09/2013 15:35 (автор: unknown) Печать
Категории: софт, анонимность, приватность, анализ трафика, инфобезопасность, прослушивание коммуникаций, tor, атаки, модель угрозы
http://www.pgpru.com/Новости/2013/НовыеОценкиСниженияЗатратНаКорреляционныеАтакиПротивПользователейTor
создать
просмотр
редакции
ссылки

02.09 // Новые оценки снижения затрат на корреляционные атаки против пользователей Tor


Сеть Tor является одной из самых популярных для анонимизации сетевых соединений в интернете. Она состоит из узлов, которые могут быть запущены любыми добровольцами или заинтересованными группами для шифрования соединений и скрытия IP-адресов клиентов. Поскольку анонимизации подвергаются TCP-соединения реального времени, то это приводит к известной концептуальной уязвимости: анализ входящего и исходящего трафика может показывать корреляции на входе и выходе из сети на основе количества переданных данных и их распределения по времени. Это позволяет отследить анонимную цепочку до IP-адреса пользователя, не прибегая к её дешифровке или полному обходу всех задействованных в ней узлов. Для проведения корреляционного анализа противник должен наблюдать как можно больше таких точек входа и выхода из сети Tor (при полном наблюдении он становится глобальным наблюдателем, против которого Tor не защищает) или запустить как можно больше своих подконтрольных узлов в сети Tor.


Ранние оценки были сравнительно оптимистичными из-за наличия большого разнообразия групп, заинтересованных в запуске своих узлов и трудностей в создании глобального наблюдателя. Однако, чем больше исследований проводилось на эту тему, тем слабее оценивался реальный уровень защиты и тем меньше становились оценки затрат противника на проведения атак. Особый интерес представляет возможность проведения атаки при малых затратах ресурсов, доступных рядовому противнику.


Исследователи Аарон Джонсон, Роб Джэнсен, Пол Сайверсон (Лаборатория военно-морски исследований, округ Вашингтон) и Крис Вацек, Майк Шер (Университет Джорджтаун, округ Вашингтон) представили новое исследование "Users Get Routed: Traffic Correlation on Tor by Realistic Adversaries", в котором моделируют разные группы пользователей и противников, рассматривают модель построения цепочек, вероятность успеха корреляционных атак и предлагают новые алгоритмы маршрутизации в сети Tor. В предыдущих работах рассматривались возможности, даваемые противнику при получении контроля на точками обмена трафиком (IXP — Internet Exchange Point) и автономными системами (AS). Однако, авторы обратили внимание, что в современной ситуации легкоосуществимы атаки на основе сотрудничества географически разделённых AS и IXP, например, на основе принадлежности к одной организации или вынужденного сотрудничества. В новом исследовании применялась симуляция активности пользователя и использовались последние данные сети Tor, а также данные из карты BGP-маршрутизации в интернете.


Исследователи рассчитали оценки вероятностей на деанонимизацию в расчёте на промежуток времени и считают реалистичными и обоснованными существенные снижения затрат на атаки и повышение вероятностей раскрытия пользователей по сравнению с тем, что считалось ранее. Так, по их данным, противник, располагающий сравнительно умеренным количеством узлов в Tor-сети (доступным обычному рядовому энтузиасту) способен деанонимизировать 80% всех типов пользователей за 6 месяцев сбора статистики. Противник, контролирующий единственный AS способен деанонимизировать практически 100% пользователей за три месяца. Также за 3 месяца можно деанонимизировать 95% пользователей при контроле над единственым IXP.


Особенно интересным является факт того, что чем более выделяющимся является трафик пользователя, тем быстрее он имеет шанс быть деанонимизированным. Так, пользователи Bittorrent, которые пропускают свой трафик через сеть Tor, не только снижают её пропускную способность, но и существенно повышают риск своей деанонимизации, разумеется, даже с учётом того, что они не допускают никаких ошибок конфигурации, которые бы приводили к непосредственной утечке их IP-адреса. Схожим нетипичным видом трафика, легко подлежащим раскрытию, является трафик IRC. Иначе говоря, благоприятными для пользователя являются лишь HTTP и HTTPS соединения, а более редкие виды трафика, идущие по другим портам, резко выделяют его среди основной массы. Ещё одним интересным наблюдением является то, что контроль со стороным противника над несколькими AS увеличивает вероятность деанонимизации пользователя на порядки. Такое неблагоприятное сочетание факторов, как использование протокола Bittorent и контроль противником двух AS позволяет отследить пользователя за 1 день.


Следует однако отметить, что хотя вероятность деанонимизации соединений пользователя велика, количество деанонимизированных соединений пользователя выглядит не столь впечатляющим: оно составляет от 0.25% до 1.5% его активности и зависит от типа трафика. С другой стороны, эти цифры не так малы — при небольшом разнообразии посещаемых пользователем ресурсов количество раскрытых соединений не имеет такого большого значения для составления списка этих ресурсов.


Исследователи песимистично оценивают уровень анонимности в сети Tor, однако считают его удовлетворительным для многих пользователей. Они обсуждают временные меры по ручному изменению конфигурационных файлов Tor, которые несмотря на то, что увеличивают профилируемость пользователя, тем не менее снижают эффективность против статистических атак. В целом же, такие рискованные меры недостаточны и следует провести большой объём исследований по построению новых протоколов, которые могли бы усилить анонимность Tor.


Исследование проведено на основе предоставленных материалов и при поддержке агентства перспективных оборонных исследований (DARPA), штаба космических и боевых систем (SPAWAR) и национального научного фонда (NSF) США, но может не отражать официальную позицию этих организаций. Работа будет представлена на 20-ой конференции по компьютерной и коммуникационной безопасности CCS 2013 в Берлине 4-8 ноября 2013 года.


Источник: работа доступна на страницах авторов: Aaron Johnson, Paul Syverson, слайды опубликованы на fileCryptome.org.


См. также: TorScan: трассировка долговременных соединений и дифференциальные сканирующие атаки, В Tor Browser помещена экспериментальная защита от серьёзной статистической атаки, Пассивная атака на сеть Tor: вычисление любого пользователя за 20 минут.