Eine Gruppe von Forschern der Georgetown University und des Forschungslabors der US Navy die Widerstandsfähigkeit des anonymen Netzwerks Tor gegenüber Denial-of-Service-Angriffen (DoS). Die Forschungen zur Kompromittierung des Tor-Netzwerks konzentrieren sich hauptsächlich auf Zensur (das Blockieren des Zugangs zu Tor), die Identifizierung von Anfragen über Tor im Transitverkehr und die Analyse der Korrelation von Datenströmen vor dem Eingangs- und nach dem Ausgangsknoten von Tor, um Benutzer zu deanonymisieren. Die vorliegende Studie zeigt, dass die Organisation von DoS-Angriffen auf Tor oft übersehen wird und dass es bei Kosten von mehreren tausend Dollar pro Monat durchaus möglich ist, Bedingungen zu schaffen, die den normalen Betrieb von Tor stören und Benutzer aufgrund schlechter Leistung zur Beendigung der Nutzung von Tor zwingen könnten.
Die Forscher schlugen drei Szenarien für die Durchführung von DoS-Angriffen vor: die Schaffung von Stau zwischen Brücken-Knoten, die Ungleichgewichtung der Last und die Schaffung von Stau zwischen Relais, für deren Durchführung der Angreifer eine Bandbreite von 30, 5 und 3 Gbit/s benötigt. In Geldwerten beläuft sich die Kosten für die Durchführung eines Angriffs über einen Monat auf 17, 2,8 und 1,6 Tausend Dollar. Zum Vergleich: Ein direktes DDoS-Angriff zur Störung von Tor würde eine Bandbreite von 512,73 Gbit/s erfordern und würde 7,2 Millionen Dollar pro Monat kosten.
Die erste Methode, bei Kosten von 17 Tausend Dollar pro Monat, wird durch Fluten einer begrenzten Anzahl von Brücken-Knoten mit einer Intensität von 30 Gbit/s die Downloadgeschwindigkeit der Daten für die Kunden um 44% reduzieren. Bei den Tests waren nur 12 obfs4-Brücken-Knoten von 38 (die nicht in den öffentlichen Katalogen aufgeführt sind und zum Umgehen der Sperrung von Wächter-Knoten verwendet werden) aktiv, was es ermöglicht, gezielt die verbleibenden aktiven Brücken-Knoten durch Fluten abzuleiten. Die Entwickler von Tor könnten die Ausgaben für die Wartung verdoppeln und die fehlenden Knoten wiederherstellen, aber dem Angreifer würde es ausreichen, seine Ausgaben auf 31 Tausend Dollar pro Monat zu erhöhen, um einen Angriff auf alle 38 Brücken-Knoten durchzuführen. Server Kataloge und werden verwendet, um die Sperrung von Brückenknoten zu umgehen, was es ermöglicht, verbleibende funktionierende Brückenpunkte selektiv durch Flooding abzuleiten. Die Entwickler von Tor können die Kosten für den Betrieb verdoppeln und die Funktionalität fehlender Knoten wiederherstellen, aber es reicht dem Angreifer aus, seine Ausgaben auf 31.000 Dollar pro Monat zu erhöhen, um einen Angriff auf alle 38 Brückenpunkte durchzuführen.
Die zweite Methode, die für einen Angriff 5 Gbit/s erfordert, basiert auf der Störung des Betriebs des zentralisierten TorFlow-Bandbreitenmesssystems und ermöglicht es, die durchschnittliche Downloadgeschwindigkeit der Kunden um 80 % zu senken. TorFlow wird zur Lastverteilung verwendet, was es im Rahmen des Angriffs ermöglicht, den Datenverkehr zu stören und dessen Durchlauf über eine begrenzte Anzahl von Servern zu organisieren, was deren Überlastung zur Folge hat.
Die dritte Methode, für die 3 Gbit/s ausreichen, basiert auf der Verwendung eines modifizierten Tor-Clients zur Erzeugung einer parasitären Last, was die Downloadgeschwindigkeit der Kunden um 47 % bei Kosten von 1.6 Tausend Dollar pro Monat senkt. Bei einer Erhöhung der Angriffskosten auf 6.3 Tausend Dollar kann die Downloadgeschwindigkeit der Kunden um 120 % gesenkt werden. Der modifizierte Client verwendet anstelle der Standardkette aus drei Knoten (Eingangsknoten, Zwischennode und Ausgangsknoten) eine gemäß dem Protokoll zulässige Kette aus 8 Knoten mit maximaler Anzahl an Hops zwischen den Knoten, nachdem er große Datei-Downloads anfordert und die Leseoperationen nach dem Senden von Anfragen pausiert, jedoch weiterhin Steuerbefehle SENDME sendet, die die Eingangsknoten anweisen, die Datenübertragung fortzusetzen.
Es wird festgestellt, dass die Initiierung einer Dienstverweigerung erheblich effektiver ist als die Durchführung eines DoS-Angriffs durch die Sybil-Methode bei ähnlichen Kosten. Die Sybil-Methode sieht vor, dass eine große Anzahl eigener Relais im Tor-Netzwerk platziert wird, auf denen Ketten verworfen oder die Bandbreite beschnitten werden kann. Bei einem Budget für den Angriff von 30, 5 und 3 Gbit/s ermöglicht die Sybil-Methode eine Leistungsreduzierung für 32 %, 7.2 % und 4.5 % der Ausgangsknoten, jeweils. Während die im Rahmen der Untersuchung vorgeschlagenen DoS-Angriffe alle Knoten abdecken.
Im Vergleich zu den Kosten anderer Angriffsmethoden würde ein Angriff zur De-Anonymisierung von Benutzern mit einem Budget von 30 Gbit/s eine Kontrolle über 21 % der eingehenden und 5.3 % der ausgehenden Knoten ermöglichen und die Abdeckung aller Knoten in 1.1 % der Fälle erreichen. Bei Budgets von 5 und 3 Gbit/s beträgt die Effektivität 0.06 % (4.5 % eingehende, 1.2 % ausgehende Knoten) und 0.02 % (2.8 % eingehende, 0.8 % ausgehende Knoten).
Quelle: opennet.ru
