🥇Eksperiment: Kuidas maskeerida Tor'i kasutamist blokeeringute ületamiseks

Internetisensor hakkab olema üha olulisem probleem üle kogu maailma. See toob kaasa relvastumisvõidujooksu – riigiasutused ja erasektor eri riikides püüavad blokeerida erinevat sisu ning võidelda selliste piirangute ületamise vahenditega, samas kui arendajad ja teadlased püüavad luua tõhusaid tööriistu tsensuuri vastu.

Carnegie Melloni, Stanfordi Ülikooli ja SRI Internationali teadlased viisid läbi katse, mille käigus töötati välja spetsiaalne teenus Tor'i kasutamise maskeerimiseks – üks populaarsemaid tööriistu blokeeringute ületamiseks. Meie toome teieni jutustuse teadlaste tehtud tööst.

Tor blokeeringute vastu

Tor tagab kasutajate anonüümsust, kasutades spetsiaalseid erinevaid ristmikke – vaheserverite vahel kasutaja ja soovitud saidi vahel. Tavaliselt asub kasutaja ja saidi vahel mitu ristmikku, millest igaüks suudab dekrüpteerida vaid väikese hulga andmeid edastatavas paketis – piisavalt, et teada järgmise punkti ahelas ja saata see sinna. Seetõttu, isegi kui ahelasse lisatakse rëleid, mida kontrollivad kurjategijad või tsensorid, ei õnnestu neil teada saada esimest adressaati ega sihtkohta.

Tööriistana tsensuuri vastu toimib Tor tõhusalt, kuid tsensoritel on endiselt võimalus seda täielikult blokeerida. Iraan ja Hiina on teinud edukaid blokeerimiskampaaniaid. Neil on õnnestunud tuvastada Tor-i liiklus, skaneerides TLS käsitlemisi ja muid Tor-i tunnusjooni.

Hiljem suutsid arendajad süsteemi kohandada takistuste ületamiseks. Tsensuurid vastasid HTTPS-ühenduste blokeerimisega paljudele saitidele, sealhulgas Torile. Projekti arendajad lõid programmi obfsproxy, mis krüpteerib liiklust täiendavalt. See võistlus kestab pidevalt.

Eksperimendi algandmed

Uurijad otsustasid välja töötada tööriista, mis võimaldaks maskeerida Tor'i kasutamise, et muuta selle rakendamine võimalikuks ka piirkondades, kus süsteem on täielikult blokeeritud.

Võttes aluseks teadlaste tehtud eeldused, esitasid nad järgmised:
Tsensuur kontrollib isoleeritud sisemist võrguosa, mis on ühendatud välistest tsenseerimata interneti kohtadest.
Blokeeringutega tegelevad asutused kontrollivad kogu võrgu infrastruktuuri tsenseeritavas võrguosas, kuid mitte lõppkasutajate arvutites olevaid tarkvarasid.
Tsensuur püüab takistada kasutajatel ligipääsu soovimatutele materjalidele, eeldades, et kõik sellised materjalid asuvad kontrollitud võrguosa välises serveris.
Selle segmenti piires olevad ruuterid analüüsivad kõikide pakettide dekrüpteerimata andmeid, et blokeerida soovimatu sisu ja vältida vastavaid pakette perimeetri sissepääsust.
Kõik Tor-ülekanded asuvad perimeetri välispinnal.

Kuidas see toimib

Tor kasutamise maskeerimiseks lõid teadlased tööriista StegoTorus. Selle peamine ülesanne on parandada Tor'i võimet vastupidada automatiseeritud protokolli analüüsile. Tööriist paikneb kliendi ja esimese ülekande vahel ning kasutab oma krüptimisprotokolli ja steganograafia mooduleid, et raskendada Tor-i liikluse tuvastamist.

Esimesena asub tööle moodul nimega chopper – see muudab liikluse erineva pikkusega plokkide järjekorraks, mis saadetakse edasi mittejärjekorras.

Andmed krüpteeritakse AES-i GCM-režiimis. Bloki päis sisaldab 32-bitist järjestuse numbrit, kahte pikkuse välja (d ja p) – need tähistavad andmete mahtu, erilist välja F ja 56-bitist kontrollväli, mille väärtus peab olema null. Minimaalne bloki pikkus on 32 baiti ja maksimaalne 217+32 baiti. Pikkust kontrollivad steganograafia moodulid.

Ühenduse loomisel on esimesed mitmed biteid infot handshake-sõnum, millega server mõistab, kas tegemist on juba olemasoleva või uue ühendusega. Kui ühendus kuulub uuele lingile, siis vastab server handshake'iga ning iga osaline vahetuses eraldab sellest sessioonivõtmed. Lisaks sellele on süsteemis rakendatud rekeying-mehhanism – see sarnaneb sessioonivõtme eraldamisega, kuid handshake-sõnumite asemel kasutatakse blokke. See mehhanism muudab järjestuse numbri, kuid ei puutu lingi ID-sse.

Kui mõlemad andmevahetuse osalised on saatnud ja saanud blokki fin, suletakse link. Replay-rünnakute või bloki edastamise viivituste kaitsmiseks peavad mõlemad osalised mäletama ID-d teatud aja jooksul pärast sulgemist.

Sisseehitatud steganograafia moodul peidab Tor'i liiklust p2p-protokolli sisse – sarnaselt Skype'i tööle kaitstud VoIP-kommunikatsioonide puhul. HTTP-steganograafia moodul simuleerib krüpteerimata HTTP-liiklust. Süsteem jäljendab reaalset kasutajat tavalise brauseriga.

Rünnakute suhtes vastupidavus

Kuna uurijad soovisid kontrollida, kui tõhusalt suurendab pakutud meetod Tor'i efektiivsust, arendasid nad välja kahte tüüpi rünnakud.

Esimene neist seisneb Tor'i voogude eristamises TCP-voogudest põhinedes Tor'i protokolli põhijoontele – just seda meetodit kasutas Hiina valitsuse süsteemi blokeerimiseks. Teine rünnak seisneb juba tuntud Tor'i voogude uurimises, et saada teavet selle kohta, milliseid saite kasutaja külastas.

Uurijad kinnitasid rünnaku esimest tüüpi tõhusust "vanilla Tor" vastu – selleks kogusid nad külastatavuste jälgi top-10 Alexa.com saitidest kakskümmend korda läbi tavalise Tor, obfsproxy ja StegoTorus koos HTTP-steganograafia mooduliga. Võrdluseks kasutati CAIDA andmestikku, kus andmed ports 80 – peaaegu kõik need on HTTP-ühendused.

Eksperiment näitas, et tavalist Tor'i on suhteliselt lihtne tuvastada. Tor protokoll on liiga spetsiifiline ning sellel on mitmeid omadusi, mis on kergesti tuvastatavad – näiteks, kui seda kasutatakse, kestavad TCP-ühendused 20-30 sekundit. Obfsproxy tööriist ei varja ka neid ilmselgeid aspekti peaaegu üldse. StegoTorus genereerib aga liiklust, mis on palju lähemal CAIDA viitele.

Külastatud veebisaitide paljastamise rünnaku korral võrdsustasid teadlased tõenäosuse, et selline andmete avalikustamine juhtub "vanilla Tor" puhul ja nende lahenduses StegoTorus. Hindamiseks kasutati skaalat AUC (Area Under Curve). Analüüsi tulemuste põhjal selgus, et tavalise Tor'i puhul, ilma lisakaitseta, on külastatud veebisaitide andmete avalikustamise tõenäosus märkimisväärselt kõrgem.

Kokkuvõte

Riigivõimude ja veebitsensuuri ületamise süsteemide arendajate vastasseis näitab, et tõhusad võivad olla vaid kompleksed kaitsemeetmed. Ainult ühe tööriista kasutamine ei saa garanteerida juurdepääsu vajalikele andmetele ega seda, et teave blokeeringute ületamise kohta ei saaks sensuurivõimudele teada.

Seetõttu on oluline, et kõikide privaatsuse ja sisu juurde pääsemise tagamise tööriistade kasutamisel meeles pidada, et ideaalseid lahendusi ei ole, ja võimalusel kombineerida erinevaid meetodeid maksimaalse tõhususe saavutamiseks.