La censure d'Internet est un problème de plus en plus important dans le monde. Cela conduit à une « course aux armements » qui s’intensifie, alors que les agences gouvernementales et les entreprises privées de différents pays cherchent à bloquer divers contenus et luttent pour trouver des moyens de contourner ces restrictions, tandis que les développeurs et les chercheurs s’efforcent de créer des outils efficaces pour lutter contre la censure.
Des scientifiques de Carnegie Mellon, de l'Université de Stanford et des universités SRI International ont mené , au cours duquel ils ont développé un service spécial pour masquer l'utilisation de Tor, l'un des outils les plus populaires pour contourner les blocages. Nous vous présentons une histoire sur le travail effectué par les chercheurs.
Tor contre le blocage
Tor garantit l'anonymat des utilisateurs grâce à l'utilisation de relais spéciaux, c'est-à-dire des serveurs intermédiaires entre l'utilisateur et le site dont il a besoin. En règle générale, plusieurs relais sont situés entre l'utilisateur et le site, chacun pouvant décrypter seulement une petite quantité de données dans le paquet transféré - juste assez pour découvrir le point suivant de la chaîne et l'y envoyer. En conséquence, même si un relais contrôlé par des attaquants ou des censeurs est ajouté à la chaîne, ils ne pourront pas connaître le destinataire et la destination du trafic.
Tor fonctionne efficacement comme outil anti-censure, mais les censeurs ont toujours la possibilité de le bloquer complètement. L’Iran et la Chine ont mené avec succès des campagnes de blocage. Ils ont pu identifier le trafic Tor en analysant les poignées de main TLS et d’autres caractéristiques distinctives de Tor.
Par la suite, les développeurs ont réussi à adapter le système pour contourner le blocage. Les censeurs ont réagi en bloquant les connexions HTTPS vers divers sites, dont Tor. Les développeurs du projet ont créé le programme obfsproxy, qui crypte en outre le trafic. Cette compétition se poursuit constamment.
Données initiales de l'expérience
Les chercheurs ont décidé de développer un outil qui masquerait l’utilisation de Tor, rendant son utilisation possible même dans les régions où le système est complètement bloqué.
- Comme hypothèses initiales, les scientifiques avancent les éléments suivants :
- Le censeur contrôle un segment interne isolé du réseau, qui se connecte à l’Internet externe non censuré.
- Les autorités de blocage contrôlent l'ensemble de l'infrastructure réseau au sein du segment de réseau censuré, mais pas les logiciels présents sur les ordinateurs des utilisateurs finaux.
- Le censeur cherche à empêcher les utilisateurs d'accéder à des éléments indésirables de son point de vue ; il est supposé que tous ces éléments se trouvent sur des serveurs en dehors du segment de réseau contrôlé.
- Les routeurs situés sur le périmètre de ce segment analysent les données non cryptées de tous les paquets pour bloquer le contenu indésirable et empêcher les paquets concernés de pénétrer dans le périmètre.
- Tous les relais Tor sont situés en dehors du périmètre.
Comment ça marche
Pour dissimuler l'utilisation de Tor, les chercheurs ont créé l'outil StegoTorus. Son objectif principal est d'améliorer la capacité de Tor à résister à l'analyse automatisée des protocoles. L'outil est situé entre le client et le premier relais de la chaîne, utilise son propre protocole de cryptage et ses modules de stéganographie pour rendre difficile l'identification du trafic Tor.
Dans un premier temps, un module appelé chopper entre en jeu : il convertit le trafic en une séquence de blocs de longueurs variables, qui sont envoyés dans le désordre.
Les données sont cryptées à l'aide d'AES en mode GCM. L'en-tête du bloc contient un numéro de séquence de 32 bits, deux champs de longueur (d et p) - ceux-ci indiquent la quantité de données, un champ spécial F et un champ de contrôle de 56 bits dont la valeur doit être nulle. La longueur minimale du bloc est de 32 octets et la longueur maximale est de 217+32 octets. La longueur est contrôlée par des modules de stéganographie.
Lorsqu'une connexion est établie, les premiers octets d'informations constituent un message de prise de contact, grâce auquel le serveur comprend s'il s'agit d'une connexion existante ou d'une nouvelle connexion. Si la connexion appartient à un nouveau lien, le serveur répond par une poignée de main et chacun des participants à l'échange en extrait les clés de session. De plus, le système implémente un mécanisme de retouche - il est similaire à l'attribution d'une clé de session, mais des blocs sont utilisés à la place des messages de prise de contact. Ce mécanisme modifie le numéro de séquence, mais n'affecte pas l'ID du lien.
Une fois que les deux participants à la communication ont envoyé et reçu le bloc fin, le lien est fermé. Pour se protéger contre les attaques par rejeu ou bloquer les retards de livraison, les deux participants doivent se souvenir de l'ID pendant combien de temps après la clôture.
Le module de stéganographie intégré masque le trafic Tor à l'intérieur du protocole p2p, de la même manière que Skype fonctionne dans les communications VoIP sécurisées. Le module de stéganographie HTTP simule le trafic HTTP non chiffré. Le système imite un utilisateur réel avec un navigateur classique.
Résistance aux attaques
Afin de tester dans quelle mesure la méthode proposée améliore l’efficacité de Tor, les chercheurs ont développé deux types d’attaques.
La première consiste à séparer les flux Tor des flux TCP en fonction des caractéristiques fondamentales du protocole Tor – c'est la méthode utilisée pour bloquer le système du gouvernement chinois. La deuxième attaque consiste à étudier les flux Tor déjà connus pour extraire des informations sur les sites visités par l'utilisateur.
Les chercheurs ont confirmé l'efficacité du premier type d'attaque contre « Vanilla Tor » - pour cela, ils ont collecté vingt fois des traces de visites de sites du top 10 Alexa.com via Tor, obfsproxy et StegoTorus classiques avec un module de stéganographie HTTP. L'ensemble de données CAIDA contenant des données sur le port 80 a été utilisé comme référence à des fins de comparaison - il s'agit presque certainement toutes de connexions HTTP.
L'expérience a montré qu'il est assez simple de calculer un Tor régulier. Le protocole Tor est trop spécifique et présente un certain nombre de caractéristiques faciles à calculer - par exemple, lors de son utilisation, les connexions TCP durent 20 à 30 secondes. L’outil Obfsproxy ne fait pas non plus grand-chose pour cacher ces moments évidents. StegoTorus, quant à lui, génère un trafic bien plus proche de la référence CAIDA.
Dans le cas d’une attaque sur des sites visités, les chercheurs ont comparé la probabilité d’une telle divulgation de données dans le cas de « Vanilla Tor » et de leur solution StegoTorus. L'échelle a été utilisée pour l'évaluation (Zone sous la courbe). Sur la base des résultats de l'analyse, il s'est avéré que dans le cas de Tor régulier sans protection supplémentaire, la probabilité de divulguer des données sur les sites visités est nettement plus élevée.
Conclusion
L'histoire de la confrontation entre les autorités des pays introduisant la censure sur Internet et les développeurs de systèmes permettant de contourner le blocage suggère que seules des mesures de protection globales peuvent être efficaces. L’utilisation d’un seul outil ne peut garantir l’accès aux données nécessaires et que les informations sur le contournement du blocage ne seront pas connues des censeurs.
Par conséquent, lorsque vous utilisez des outils de confidentialité et d’accès au contenu, il est important de ne pas oublier qu’il n’existe pas de solutions idéales et, lorsque cela est possible, de combiner différentes méthodes pour obtenir la plus grande efficacité.
Liens et documents utiles de :
Source: habr.com