Група изследователи от Университета Джорджтаун и изследователска лаборатория на ВМС на САЩ устойчивост на анонимната мрежа Tor към атаки, водещи до отказ на услуга (DDoS). Изследванията относно компрометирането на мрежата Tor основно се концентрират около цензура (блокиране на достъп до Tor), идентифициране на запитвания през Tor в транзитния трафик и анализ на корелацията на трафика преди входния и след изходния узел на Tor за деанонимизиране на потребителите. Представеното проучване показва, че организирането на DDoS атаки срещу Tor остава незабелязано и при разходи от няколко хиляди долара на месец е напълно реалистично да се създадат условия за нарушаване на нормалната работа на Tor, които могат да накарат потребителите да прекратят използването на Tor поради лоша производителност.
Изследователите предлагат три сценария за провеждане на DDoS атаки: създаване на задръствания между мостови узли, дисбалансиране на натоварването и създаване на задръствания между релея, за които атакуващият трябва да разполага с пропускателна способност от 30, 5 и 3 Gbit/s. В паричен еквивалент, цената на провеждане на атака за един месец ще бъде съответно 17, 2.8 и 1.6 хиляди долара. За сравнение, провеждането на DDoS атака в открито за нарушаване на работата на Tor ще изисква пропускателна способност от 512.73 Gbit/s и ще струва 7.2 милиона долара на месец.
Първият метод, при разходи от 17 хиляди долара на месец, чрез наводняване на ограничен набор от мостови узли с интензивност от 30 Gbit/s ще намали скоростта на изтегляне на данни от клиентите с 44%. При провеждане на тестовете останаха активни само 12 мостови узла obfs4 от 38 (не влизат в публичните каталози и се използват за заобикаляне на блокирането от сторожевите узли), което позволява целенасочено извеждане на останалите работещи мостови узли чрез наводняване. Разработчиците на Tor могат да удвоят разходите за поддръжка и да възстановят работата на липсващите узли, но атакуващият ще трябва само да увеличи разходите си до 31 хиляди долара на месец, за да атакува всички 38 мостови узли. сървъри Разширяването на атаката до 31 хиляди долара в месец ще позволи на атакуващия да постави под съмнение работата на целия набор от мостови узли и да отключи съществуващи уязвимости.
Вторият метод, който изисква 5 Gbit/s за атака, е основан на нарушаване работата на централизирана система за измерване на капацитета TorFlow и позволява да се намали средната скорост на изтегляне на данни от клиентите с 80%. TorFlow се използва за разпределение на натоварването, което позволява в рамките на атаката да се наруши разпределението на трафика и да се организира преминаването му през ограничен брой сървъри, предизвиквайки тяхната претовареност.
Третият метод, за който са достатъчни 3 Gbit/s, е основан на използване на модифициран Tor-клиент за създаване на паразитен трафик, което позволява да се намали скоростта на клиентските изтегляния с 47% при разход от 1.6 хиляди долара на месец. При увеличаване на разходите за атаката до 6.3 хиляди долара може да се постигне намаляване на скоростта на клиентските изтегляния с 120%. Модифицираният клиент вместо обичайната верига от три възела (входящ, междинен и изходящ) прилага допустимата по протокола верига от 8 възела с максимален брой хопове между възлите, след което изисква изтегляне на големи файлове и спира операциите по четене след изпращане на заявките, но продължава да изпраща контролни команди SENDME, инструктирайки входящите възли да продължат предаване на данни.
Отбелязва се, че инициирането на отказ в обслужването е значително по-ефективно, отколкото организирането на DoS-атака с метода Sybil при аналогични разходи. Методът Sybil предполага разполагане в мрежата Tor на голям брой собствени релееви възли, на които могат да се отхвърлят вериги или да се ограничават капацитетите. При наличие на бюджет за атака от 30, 5 и 3 Gbit/s методът Sybil позволява да се постигне намаляване на производителността за 32%, 7.2% и 4.5% изходящи възли, съответно. Докато предложените в рамките на изследването DoS-атаки обхващат всички възли.
Ако сравним разходите с други видове атаки, провеждането на атака по деанонимизиране на потребители с бюджет от 30 Gbit/s ще позволи контрол над 21% от входящите и 5.3% от изходящите възли и да се постигне обхват на всички възли в 1.1% от случаите. За бюджетите от 5 и 3 Gbit/s ефективността ще е 0.06% (4.5% входящи, 1.2% изходящи възли) и 0.02% (2.8% входящи, 0.8% изходящи възли).
Източник: opennet.ru
