Interneta cenzūra kļūst arvien svarīgāka problēma visā pasaulē. Tas izraisa pastiprinošu “bruņošanās sacensību”, jo valdības aģentūras un privātās korporācijas dažādās valstīs cenšas bloķēt dažādu saturu un cīnās ar veidiem, kā apiet šādus ierobežojumus, savukārt izstrādātāji un pētnieki cenšas radīt efektīvus instrumentus cīņai pret cenzūru.
Zinātnieki no Kārnegija Melona, Stenfordas Universitātes un SRI Starptautiskajām universitātēm veica , kura laikā viņi izstrādāja īpašu pakalpojumu, lai maskētu Tor izmantošanu, kas ir viens no populārākajiem rīkiem bloku apiešanai. Piedāvājam jums stāstu par pētnieku paveikto.
Tor pret bloķēšanu
Tor nodrošina lietotāju anonimitāti, izmantojot īpašus relejus - tas ir, starpserverus starp lietotāju un viņam nepieciešamo vietni. Parasti starp lietotāju un vietni atrodas vairāki releji, no kuriem katrs var atšifrēt tikai nelielu datu apjomu pārsūtītajā paketē - tikai tik daudz, lai uzzinātu nākamo ķēdes punktu un nosūtītu to uz turieni. Rezultātā, pat ja ķēdei tiek pievienots uzbrucēju vai cenzoru kontrolēts relejs, viņi nevarēs noskaidrot trafika adresātu un galamērķi.
Tor darbojas efektīvi kā pretcenzūras rīks, taču cenzoriem joprojām ir iespēja to pilnībā bloķēt. Irāna un Ķīna ir veikušas veiksmīgas bloķēšanas kampaņas. Viņi varēja identificēt Tor trafiku, skenējot TLS rokasspiedienus un citus atšķirīgus Tor raksturlielumus.
Pēc tam izstrādātājiem izdevās pielāgot sistēmu, lai apietu bloķēšanu. Censori atbildēja, bloķējot HTTPS savienojumus ar dažādām vietnēm, tostarp Tor. Projekta izstrādātāji izveidoja obfsproxy programmu, kas papildus šifrē trafiku. Šīs sacensības turpinās nepārtraukti.
Eksperimenta sākotnējie dati
Pētnieki nolēma izstrādāt rīku, kas maskētu Tor izmantošanu, padarot to iespējamu pat reģionos, kur sistēma ir pilnībā bloķēta.
- Kā sākotnējie pieņēmumi zinātnieki izvirzīja sekojošo:
- Cenzors kontrolē izolētu tīkla iekšējo segmentu, kas savienojas ar ārējo, necenzēto internetu.
- Bloķēšanas iestādes kontrolē visu tīkla infrastruktūru cenzētā tīkla segmentā, bet ne programmatūru galalietotāju datoros.
- Censors cenšas neļaut lietotājiem piekļūt materiāliem, kas no viņa viedokļa ir nevēlami; tiek pieņemts, ka visi šādi materiāli atrodas serveros ārpus kontrolētā tīkla segmenta.
- Maršrutētāji šī segmenta perimetrā analizē visu pakešu nešifrētos datus, lai bloķētu nevēlamu saturu un novērstu attiecīgo pakešu iekļūšanu perimetrā.
- Visi Tor releji atrodas ārpus perimetra.
Kā tas darbojas
Lai slēptu Tor izmantošanu, pētnieki izveidoja StegoTorus rīku. Tās galvenais mērķis ir uzlabot Tor spēju pretoties automatizētai protokolu analīzei. Rīks atrodas starp klientu un ķēdes pirmo releju, izmanto savu šifrēšanas protokolu un steganogrāfijas moduļus, lai apgrūtinātu Tor trafika identificēšanu.
Pirmajā darbībā tiek izmantots modulis, ko sauc par chopper — tas pārvērš trafiku dažāda garuma bloku secībā, kas tiek sūtīti tālāk ārpus ierindas.
Dati tiek šifrēti, izmantojot AES GCM režīmā. Bloka galvenē ir 32 bitu kārtas numurs, divi garuma lauki (d un p) - tie norāda datu apjomu, īpašs lauks F un 56 bitu pārbaudes lauks, kura vērtībai jābūt nullei. Minimālais bloka garums ir 32 baiti, bet maksimālais - 217+32 baiti. Garumu kontrolē steganogrāfijas moduļi.
Kad savienojums ir izveidots, daži pirmie informācijas baiti ir rokasspiediena ziņojums, ar kura palīdzību serveris saprot, vai tam ir darīšana ar esošu vai jaunu savienojumu. Ja savienojums pieder jaunai saitei, serveris atbild ar rokasspiedienu, un katrs apmaiņas dalībnieks no tā iegūst sesijas atslēgas. Turklāt sistēma ievieš atkārtotas atslēgas mehānismu – tas ir līdzīgs sesijas atslēgas piešķiršanai, bet rokasspiediena ziņojumu vietā tiek izmantoti bloki. Šis mehānisms maina kārtas numuru, bet neietekmē saites ID.
Kad abi saziņas dalībnieki ir nosūtījuši un saņēmuši spuru bloku, saite tiek aizvērta. Lai aizsargātu pret atkārtošanas uzbrukumiem vai bloķētu piegādes kavēšanos, abiem dalībniekiem ir jāatceras ID, cik ilgi pēc slēgšanas.
Iebūvētais steganogrāfijas modulis slēpj Tor trafiku p2p protokolā — līdzīgi kā Skype darbojas drošos VoIP sakaros. HTTP steganogrāfijas modulis simulē nešifrētu HTTP trafiku. Sistēma atdarina reālu lietotāju ar parastu pārlūkprogrammu.
Izturība pret uzbrukumiem
Lai pārbaudītu, cik ļoti piedāvātā metode uzlabo Tor efektivitāti, pētnieki izstrādāja divu veidu uzbrukumus.
Pirmais no tiem ir Tor straumju atdalīšana no TCP straumēm, pamatojoties uz Tor protokola pamatīpašībām – šī ir metode, ko izmanto Ķīnas valdības sistēmas bloķēšanai. Otrais uzbrukums ietver jau zināmo Tor straumju izpēti, lai iegūtu informāciju par to, kuras vietnes lietotājs ir apmeklējis.
Pētnieki apstiprināja pirmā veida uzbrukuma pret “vaniļas Tor” efektivitāti – šim nolūkam viņi divdesmit reizes apkopoja vietņu apmeklējumu pēdas no Alexa.com desmit populārākajām vietnēm, izmantojot parasto Tor, obfsproxy un StegoTorus ar HTTP steganogrāfijas moduli. CAIDA datu kopa ar datiem par 10. portu tika izmantota kā atsauce salīdzināšanai — gandrīz noteikti visi šie ir HTTP savienojumi.
Eksperiments parādīja, ka ir diezgan viegli aprēķināt parasto Tor. Tor protokols ir pārāk specifisks, un tam ir vairākas īpašības, kuras ir viegli aprēķināt - piemēram, to lietojot, TCP savienojumi ilgst 20-30 sekundes. Obfsproxy rīks arī maz palīdz paslēpt šos acīmredzamos punktus. Savukārt StegoTorus ģenerē trafiku, kas ir daudz tuvāks CAIDA atsaucei.
Apmeklēto vietņu uzbrukuma gadījumā pētnieki salīdzināja šādas datu izpaušanas iespējamību “vanilla Tor” un viņu StegoTorus risinājuma gadījumā. Novērtēšanai tika izmantota skala (Apgabals zem līknes). Balstoties uz analīzes rezultātiem, izrādījās, ka parastā Tor bez papildu aizsardzības gadījumā iespēja atklāt datus par apmeklētajām vietnēm ir ievērojami lielāka.
Secinājums
Konfrontācijas vēsture starp to valstu iestādēm, kuras ievieš cenzūru internetā, un bloķēšanas apiešanas sistēmu izstrādātājiem liecina, ka efektīvi var būt tikai visaptveroši aizsardzības pasākumi. Izmantojot tikai vienu rīku, nevar garantēt piekļuvi nepieciešamajiem datiem un ka informācija par bloka apiešanu cenzoriem nekļūs zināma.
Tāpēc, izmantojot jebkurus privātuma un satura piekļuves rīkus, ir svarīgi neaizmirst, ka ideālu risinājumu nav, un, kur iespējams, kombinēt dažādas metodes, lai panāktu vislielāko efektivitāti.
Noderīgas saites un materiāli no :
Avots: www.habr.com