La censura su Internet sta diventando un problema sempre più importante in tutto il mondo. Ciò porta a un'intensificazione della 'corsa agli armamenti' – le autorità statali e le aziende private in vari paesi cercano di bloccare diversi contenuti e combattono i mezzi per aggirare tali restrizioni, mentre sviluppatori e ricercatori si sforzano di creare strumenti efficaci per combattere la censura.
I ricercatori delle università Carnegie Mellon, Stanford e SRI International hanno condotto , nel corso del quale hanno sviluppato un servizio speciale per mascherare l'uso di Tor – uno degli strumenti più popolari per aggirare i blocchi. Vi presentiamo un racconto sul lavoro svolto dai ricercatori.
Tor contro i blocchi
Tor garantisce l'anonimato degli utenti tramite l'uso di relè speciali – ovvero server intermedi tra l'utente e il sito web desiderato. Di solito, tra l'utente e il sito ci sono diversi relè, ciascuno dei quali può decifrare solo una piccola quantità di dati nel pacchetto trasmesso – sufficiente a sapere dove inviare il pacchetto successivo nella catena. Di conseguenza, anche se si aggiungono relè controllati da malintenzionati o censori, non riescono a sapere né chi è il destinatario né qual è la destinazione del traffico.
Come strumento di lotta contro la censura, Tor funziona in modo efficace; tuttavia, ai censori rimane la possibilità di bloccarlo completamente. L'Iran e la Cina hanno condotto campagne di blocco di successo. Sono riusciti a identificare il traffico di Tor tramite la scansione dei TLS handshake e altre caratteristiche distintive di Tor.
Successivamente, gli sviluppatori sono riusciti ad adattare il sistema per aggirare i blocchi. I censori hanno risposto bloccando le connessioni HTTPS verso molti siti, incluso Tor. Gli sviluppatori del progetto hanno creato il programma obfsproxy, che crittografa ulteriormente il traffico. Questa competizione continua costantemente.
Dati iniziali dell'esperimento
I ricercatori hanno deciso di sviluppare uno strumento che consentisse di mascherare l'uso di Tor, rendendo possibile il suo utilizzo anche in regioni dove il sistema è completamente bloccato.
- Come ipotesi di partenza, i ricercatori hanno avanzato le seguenti proposte:
- Il censore controlla un segmento interno isolato della rete, che si connette a un internet esterno non censurato.
- Le autorità che si occupano dei blocchi controllano tutta l'infrastruttura di rete all'interno del segmento censurato, ma non il software sui computer degli utenti finali.
- Il censore mira a impedire l'accesso degli utenti a materiali indesiderati, ritenendo che tutti questi materiali siano situati su server al di fuori del segmento controllato della rete.
- I router al confine di questo segmento analizzano i dati non crittografati di tutti i pacchetti per bloccare contenuti indesiderati e prevenire l'ingresso dei pacchetti corrispondenti all'interno del perimetro.
- Tutti i relay Tor si trovano al di fuori del perimetro.
Come funziona
Per mascherare l'uso di Tor, i ricercatori hanno creato lo strumento StegoTorus. Il suo obiettivo principale è migliorare le capacità di Tor di resistere all'analisi automatizzata del protocollo. Lo strumento si colloca tra il client e il primo relay della catena, utilizzando un proprio protocollo di crittografia e moduli di steganografia per rendere difficile l'identificazione del traffico Tor.
Nella prima fase entra in gioco un modulo chiamato chopper: trasforma il traffico in una sequenza di blocchi di lunghezza variabile, che vengono poi inviati fuori ordine.
I dati vengono crittografati utilizzando AES in modalità GCM. L'intestazione del blocco contiene un numero di sequenza a 32 bit, due campi di lunghezza (d e p) – che indicano l'ammontare dei dati, un campo speciale F e un campo di controllo a 56 bit, il cui valore deve essere zero. La lunghezza minima del blocco è di 32 byte, mentre la massima è di 217+32 byte. La lunghezza è controllata dai moduli di steganografia.
Quando viene stabilita una connessione, i primi byte di informazione sono un messaggio di handshake, con il quale il server comprende se sta trattando con una connessione esistente o nuova. Se la connessione appartiene a un nuovo link, il server risponde con un handshake, e ciascuna delle parti coinvolte estrae da esso le chiavi di sessione. Inoltre, nel sistema è implementato un meccanismo di rekeying – simile all'assegnazione delle chiavi di sessione, ma vengono utilizzati blocchi anziché messaggi di handshake. Questo meccanismo cambia il numero di sequenza, ma non tocca l'ID del link.
Dopo che entrambe le parti coinvolte nello scambio di dati hanno inviato e ricevuto il blocco fin, il link viene chiuso. Per proteggersi da attacchi di replay o ritardi nella consegna dei blocchi, entrambe le parti devono ricordare l'ID per un certo periodo dopo la chiusura.
Il modulo di steganografia integrato nasconde il traffico Tor all'interno del protocollo p2p, analogamente al funzionamento di Skype durante le comunicazioni VoIP protette. Il modulo di steganografia HTTP simula il traffico HTTP non crittografato. Il sistema mimetizza un vero utente con un browser normale.
Resistenza agli attacchi
Per verificare quanto il metodo proposto aumenti l'efficacia di Tor, i ricercatori hanno sviluppato attacchi di due tipi.
Il primo consiste nell'estrazione dei flussi Tor dai flussi TCP basata sulle caratteristiche fondamentali del protocollo Tor – questo metodo è stato utilizzato per bloccare il sistema della Cina. Il secondo attacco consiste nello studio di flussi Tor già noti per estrarre informazioni sui siti visitati dall'utente.
I ricercatori hanno confermato l'efficacia dell'attacco di primo tipo contro il 'vanilla Tor' – a tal fine hanno raccolto tracce delle visite ai siti della top 10 di Alexa.com venti volte tramite Tor normale, obfsproxy e StegoTorus con il modulo di steganografia HTTP. Come riferimento per il confronto è stato utilizzato il dataset CAIDA con dati sulla porta 80 – quasi sicuramente tutte queste sono connessioni HTTP.
L'esperimento ha dimostrato che calcolare il normale Tor è abbastanza facile. Il protocollo Tor è troppo specifico e presenta alcune caratteristiche facili da individuare: per esempio, durante il suo utilizzo, le connessioni TCP durano 20-30 secondi. Lo strumento Obfsproxy, inoltre, non nasconde quasi affatto questi aspetti evidenti. StegoTorus, dal canto suo, genera del traffico che si avvicina molto al riferimento CAIDA.
In caso di attacco per calcolare i siti visitati, i ricercatori hanno confrontato la probabilità di una tale divulgazione dei dati tra il 'Tor vaniglia' e la loro soluzione StegoTorus. Per la valutazione sono state utilizzate le scale (Area Sotto la Curva). Dai risultati dell'analisi è emerso che, in caso di Tor normale senza protezione aggiuntiva, la probabilità di divulgazione dei dati sui siti visitati è significativamente più alta.
Conclusione
La storia della lotta tra i governi dei paesi che impongono la censura su Internet e gli sviluppatori di sistemi per eludere i blocchi dimostra che le sole misure difensive complesse possono risultare efficaci. L'uso di un solo strumento non può garantire l'accesso ai dati desiderati e che le informazioni sulla bypass della censura non diventino note ai censori.
Pertanto, quando si utilizzano strumenti per garantire la privacy e l'accesso ai contenuti, è importante non dimenticare che non esistono soluzioni ideali e, se possibile, combinare diversi metodi per ottenere la massima efficacia.
Link e materiali utili da :
Fonte: habr.com
