Un groupe de chercheurs de l'Université de Georgetown et du laboratoire de recherche de la Marine américaine la résilience du réseau anonyme Tor aux attaques de déni de service (DoS). Les recherches sur la compromission du réseau Tor se concentrent principalement sur la censure (blocage de l'accès à Tor), l'identification des requêtes passant par Tor dans le trafic de transit et l'analyse de la corrélation des flux de trafic avant le nœud d'entrée et après le nœud de sortie de Tor pour dé-anonymiser les utilisateurs. L'étude présentée montre que l'organisation d'attaques DoS sur Tor est souvent négligée et qu'avec des coûts de quelques milliers de dollars par mois, il est tout à fait possible de créer des conditions perturbant le fonctionnement normal de Tor, ce qui peut amener les utilisateurs à cesser d'utiliser Tor en raison de performances médiocres.
Les chercheurs ont proposé trois scénarios pour mener des attaques DoS : créer des goulets d'étranglement entre les nœuds de pont, déséquilibrer la charge et créer des goulets d'étranglement entre les relais, nécessitant une bande passante de 30, 5 et 3 Gbit/s pour l'attaquant. En termes monétaires, le coût d'une attaque durant un mois serait de 17, 2.8 et 1.6 milliers de dollars, respectivement. Pour comparaison, mener une attaque DDoS directe pour perturber le fonctionnement de Tor nécessiterait une bande passante de 512.73 Gbit/s et coûterait 7.2 millions de dollars par mois.
La première méthode, avec un coût de 17 milliers de dollars par mois, utilisant une inondation d'un ensemble limité de nœuds de pont à une intensité de 30 Gbit/s, réduira la vitesse de téléchargement des données par les clients de 44 %. Lors des tests, seuls 12 nœuds de pont obfs4 sur 38 restaient opérationnels (non répertoriés dans les catalogues publics et utilisés pour contourner le blocage des nœuds de garde), ce qui permet de cibler sélectivement les nœuds de pont restants par une inondation. Les développeurs de Tor peuvent doubler les dépenses de maintenance et rétablir le fonctionnement des nœuds manquants, mais l'attaquant n'aurait qu'à augmenter ses dépenses à 31 milliers de dollars par mois pour mener une attaque contre les 38 nœuds de pont. serveurs Un attaquant pourrait planifier une attaque pendant un mois sur tous les 38 nœuds de pont pour des coûts de 31 milliers de dollars, tout en contournant les nœuds de garde.
La deuxième méthode, nécessitant une attaque de 5 Gbit/s, repose sur l'interruption du système centralisé de mesure de la bande passante TorFlow, permettant de réduire la vitesse moyenne de téléchargement des données aux clients de 80 %. TorFlow est utilisé pour équilibrer la charge, ce qui permet, lors de l'attaque, de perturber la distribution du trafic et de le faire passer par un nombre limité de serveurs, entraînant leur surcharge.
La troisième méthode, qui nécessite seulement 3 Gbit/s, est basée sur l'utilisation d'un client Tor modifié pour créer une charge parasitaire, ce qui permet de réduire la vitesse de téléchargement des clients de 47 % pour un coût de 1,6 mille dollars par mois. En augmentant les dépenses de l'attaque à 6,3 milliers de dollars, on peut obtenir une réduction de la vitesse de téléchargement des clients de 120 %. Le client modifié, au lieu de construire la chaîne standard de trois nœuds (nœud d'entrée, nœud intermédiaire et nœud de sortie), utilise une chaîne de 8 nœuds autorisée par le protocole, avec le maximum de sauts entre les nœuds, puis demande le téléchargement de gros fichiers et suspend les opérations de lecture après l'envoi des requêtes, mais continue d'envoyer des commandes de contrôle SENDME, instruisant les nœuds d'entrée à poursuivre la transmission des données.
Il est noté que l'initiation d'une déni de service est nettement plus efficace que l'organisation d'une attaque DoS par la méthode Sybil à des coûts similaires. La méthode Sybil implique le déploiement dans le réseau Tor d'un grand nombre de relais propres, sur lesquels il est possible de rejeter les chaînes ou de réduire la bande passante. Avec un budget d'attaque de 30, 5 et 3 Gbit/s, la méthode Sybil permet d'obtenir une réduction de la performance de 32 %, 7,2 % et 4,5 % des nœuds de sortie, respectivement. Alors que les attaques DoS proposées dans le cadre de l'étude couvrent tous les nœuds.
Comparant les coûts avec d'autres types d'attaques, mener une attaque de déanonymisation des utilisateurs avec un budget de 30 Gbit/s permet de contrôler 21 % des nœuds entrants et 5,3 % des nœuds sortants, atteignant une couverture de tous les nœuds de la chaîne dans 1,1 % des cas. Pour des budgets de 5 et 3 Gbit/s, l'efficacité sera de 0,06 % (4,5 % des nœuds entrants, 1,2 % des nœuds sortants) et 0,02 % (2,8 % des nœuds entrants, 0,8 % des nœuds sortants).
Source : opennet.ru
