Експеримент: Как да прикриете използването на Tor за заобикаляне на блокове

Интернет цензурата е все по-важен проблем по света. Това води до засилваща се „надпревара във въоръжаването“, тъй като правителствени агенции и частни корпорации в различни страни се стремят да блокират различно съдържание и се борят с начини за заобикаляне на подобни ограничения, докато разработчиците и изследователите се стремят да създадат ефективни инструменти за борба с цензурата.

Проведоха учени от Карнеги Мелън, Станфордския университет и международните университети SRI експеримент, по време на който те разработиха специална услуга за маскиране на използването на Tor, един от най-популярните инструменти за заобикаляне на блокове. Представяме ви разказ за работата, свършена от изследователите.

Tor срещу блокиране

Tor осигурява анонимността на потребителите чрез използването на специални релета - тоест междинни сървъри между потребителя и сайта, от който се нуждае. Обикновено няколко релета са разположени между потребителя и сайта, всяко от които може да дешифрира само малко количество данни в препратения пакет - достатъчно, за да открие следващата точка във веригата и да я изпрати там. В резултат на това, дори ако към веригата се добави реле, контролирано от нападатели или цензори, те няма да могат да открият адресата и дестинацията на трафика.

Tor работи ефективно като инструмент срещу цензурата, но цензорите все още имат способността да го блокират напълно. Иран и Китай проведоха успешни кампании за блокиране. Те успяха да идентифицират трафика на Tor чрез сканиране на TLS ръкостискания и други отличителни характеристики на Tor.

Впоследствие разработчиците успяха да адаптират системата, за да заобиколят блокирането. Цензорите отговориха, като блокираха HTTPS връзки към различни сайтове, включително Tor. Разработчиците на проекта създадоха програмата obfsproxy, която допълнително криптира трафика. Това състезание продължава постоянно.

Изходни данни от експеримента

Изследователите решават да разработят инструмент, който да маскира използването на Tor, правейки използването му възможно дори в региони, където системата е напълно блокирана.

• Като първоначални предположения учените излагат следното:
• Цензорът контролира изолиран вътрешен сегмент от мрежата, който се свързва с външния, нецензуриран интернет.
• Блокиращите органи контролират цялата мрежова инфраструктура в цензурирания мрежов сегмент, но не и софтуера на компютрите на крайните потребители.
• Цензорът се стреми да предотврати достъпа на потребителите до материали, които са нежелани от негова гледна точка; предполага се, че всички такива материали се намират на сървъри извън контролирания мрежов сегмент.
• Маршрутизаторите в периметъра на този сегмент анализират некриптираните данни на всички пакети, за да блокират нежелано съдържание и да предотвратят проникването на съответните пакети в периметъра.
• Всички Tor релета са разположени извън периметъра.

Как работи

За да прикрият използването на Tor, изследователите създадоха инструмента StegoTorus. Основната му цел е да подобри способността на Tor да устои на автоматизиран анализ на протоколи. Инструментът се намира между клиента и първото реле във веригата, използва свой собствен протокол за криптиране и стеганографски модули, за да затрудни идентифицирането на Tor трафик.

На първата стъпка влиза в действие модул, наречен чопър - той преобразува трафика в поредица от блокове с различна дължина, които се изпращат по-нататък извън реда.

Данните се криптират с помощта на AES в режим GCM. Заглавието на блока съдържа 32-битов пореден номер, две полета за дължина (d и p) - те показват количеството данни, специално поле F и 56-битово поле за проверка, чиято стойност трябва да бъде нула. Минималната дължина на блока е 32 байта, а максималната е 217+32 байта. Дължината се контролира от стеганографски модули.

Когато се установи връзка, първите няколко байта информация са съобщение за ръкостискане, с негова помощ сървърът разбира дали има работа със съществуваща или нова връзка. Ако връзката принадлежи към нова връзка, тогава сървърът отговаря с ръкостискане и всеки от участниците в обмена извлича ключове за сесията от нея. В допълнение, системата прилага механизъм за повторно ключване - той е подобен на разпределянето на сесиен ключ, но се използват блокове вместо съобщения за ръкостискане. Този механизъм променя поредния номер, но не засяга ID на връзката.

След като и двамата участници в комуникацията са изпратили и получили fin block, връзката се затваря. За да се предпазят от повторни атаки или блокиране на забавяне на доставката, и двамата участници трябва да запомнят идентификатора за колко време след затваряне.

Вграденият модул за стеганография скрива трафика на Tor вътре в протокола p2p - подобно на начина, по който работи Skype при защитени VoIP комуникации. Стеганографският модул HTTP симулира некриптиран HTTP трафик. Системата имитира реален потребител с обикновен браузър.

Устойчивост на атаки

За да проверят доколко предложеният метод подобрява ефективността на Tor, изследователите разработиха два вида атаки.

Първият от тях е да се отделят потоците Tor от TCP потоците въз основа на фундаменталните характеристики на протокола Tor - това е методът, използван за блокиране на системата на китайското правителство. Втората атака включва изучаване на вече известни Tor потоци, за да се извлече информация за това кои сайтове е посетил потребителят.

Изследователите потвърдиха ефективността на първия тип атака срещу „ванилия Tor“ - за това те събраха следи от посещения на сайтове от топ 10 на Alexa.com двадесет пъти чрез обикновен Tor, obfsproxy и StegoTorus с HTTP стеганографски модул. Наборът от данни CAIDA с данни за порт 80 беше използван като референция за сравнение - почти сигурно всички те са HTTP връзки.

Експериментът показа, че е доста лесно да се изчисли обикновен Tor. Протоколът Tor е твърде специфичен и има редица характеристики, които са лесни за изчисляване - например при използването му TCP връзките продължават 20-30 секунди. Инструментът Obfsproxy също прави малко, за да скрие тези очевидни моменти. StegoTorus от своя страна генерира трафик, който е много по-близък до референтния CAIDA.

В случай на атака на посетени сайтове, изследователите сравняват вероятността за разкриване на такива данни в случая на „ванилия Tor“ и тяхното решение StegoTorus. За оценка е използвана скалата AUC (Площ под кривата). Въз основа на резултатите от анализа се оказа, че в случай на обикновен Tor без допълнителна защита, вероятността за разкриване на данни за посетените сайтове е значително по-висока.

Заключение

Историята на конфронтацията между властите на страните, въвеждащи цензура в Интернет, и разработчиците на системи за заобикаляне на блокирането предполага, че само всеобхватни мерки за защита могат да бъдат ефективни. Използването само на един инструмент не може да гарантира достъп до необходимите данни и че информацията за заобикаляне на блока няма да стане известна на цензорите.

Ето защо, когато използвате всякакви инструменти за поверителност и достъп до съдържание, е важно да не забравяте, че няма идеални решения и където е възможно, комбинирайте различни методи, за да постигнете най-голяма ефективност.

Полезни връзки и материали от Инфатика:

• Проучване: Създаване на устойчива на блокове прокси услуга с помощта на теория на игрите
• Историята на борбата срещу цензурата: как работи флаш прокси методът, създаден от учени от MIT и Станфорд
• Как да разберете кога прокситата лъжат: проверка на физическите местоположения на мрежовите проксита с помощта на активния алгоритъм за геолокация
• Как да се прикриете в Интернет: сравняване на сървърни и домашни проксита

Източник: www.habr.com