Interneta cenzÅ«ra kļūst arvien svarÄ«gÄka problÄma visÄ pasaulÄ. Tas izraisa pastiprinoÅ”u ābruÅoÅ”anÄs sacensÄ«buā, jo valdÄ«bas aÄ£entÅ«ras un privÄtÄs korporÄcijas dažÄdÄs valstÄ«s cenÅ”as bloÄ·Ät dažÄdu saturu un cÄ«nÄs ar veidiem, kÄ apiet Å”Ädus ierobežojumus, savukÄrt izstrÄdÄtÄji un pÄtnieki cenÅ”as radÄ«t efektÄ«vus instrumentus cÄ«Åai pret cenzÅ«ru.
ZinÄtnieki no KÄrnegija Melona, āāStenfordas UniversitÄtes un SRI StarptautiskajÄm universitÄtÄm veica , kura laikÄ viÅi izstrÄdÄja Ä«paÅ”u pakalpojumu, lai maskÄtu Tor izmantoÅ”anu, kas ir viens no populÄrÄkajiem rÄ«kiem bloku apieÅ”anai. PiedÄvÄjam jums stÄstu par pÄtnieku paveikto.
Tor pret bloÄ·ÄÅ”anu
Tor nodroÅ”ina lietotÄju anonimitÄti, izmantojot Ä«paÅ”us relejus - tas ir, starpserverus starp lietotÄju un viÅam nepiecieÅ”amo vietni. Parasti starp lietotÄju un vietni atrodas vairÄki releji, no kuriem katrs var atÅ”ifrÄt tikai nelielu datu apjomu pÄrsÅ«tÄ«tajÄ paketÄ - tikai tik daudz, lai uzzinÄtu nÄkamo Ä·Ädes punktu un nosÅ«tÄ«tu to uz turieni. RezultÄtÄ, pat ja Ä·Ädei tiek pievienots uzbrucÄju vai cenzoru kontrolÄts relejs, viÅi nevarÄs noskaidrot trafika adresÄtu un galamÄrÄ·i.
Tor darbojas efektÄ«vi kÄ pretcenzÅ«ras rÄ«ks, taÄu cenzoriem joprojÄm ir iespÄja to pilnÄ«bÄ bloÄ·Ät. IrÄna un Ķīna ir veikuÅ”as veiksmÄ«gas bloÄ·ÄÅ”anas kampaÅas. ViÅi varÄja identificÄt Tor trafiku, skenÄjot TLS rokasspiedienus un citus atŔķirÄ«gus Tor raksturlielumus.
PÄc tam izstrÄdÄtÄjiem izdevÄs pielÄgot sistÄmu, lai apietu bloÄ·ÄÅ”anu. Censori atbildÄja, bloÄ·Äjot HTTPS savienojumus ar dažÄdÄm vietnÄm, tostarp Tor. Projekta izstrÄdÄtÄji izveidoja obfsproxy programmu, kas papildus Å”ifrÄ trafiku. Å Ä«s sacensÄ«bas turpinÄs nepÄrtraukti.
Eksperimenta sÄkotnÄjie dati
PÄtnieki nolÄma izstrÄdÄt rÄ«ku, kas maskÄtu Tor izmantoÅ”anu, padarot to iespÄjamu pat reÄ£ionos, kur sistÄma ir pilnÄ«bÄ bloÄ·Äta.
- KÄ sÄkotnÄjie pieÅÄmumi zinÄtnieki izvirzÄ«ja sekojoÅ”o:
- Cenzors kontrolÄ izolÄtu tÄ«kla iekÅ”Äjo segmentu, kas savienojas ar ÄrÄjo, necenzÄto internetu.
- BloÄ·ÄÅ”anas iestÄdes kontrolÄ visu tÄ«kla infrastruktÅ«ru cenzÄtÄ tÄ«kla segmentÄ, bet ne programmatÅ«ru galalietotÄju datoros.
- Censors cenÅ”as neļaut lietotÄjiem piekļūt materiÄliem, kas no viÅa viedokļa ir nevÄlami; tiek pieÅemts, ka visi Å”Ädi materiÄli atrodas serveros Ärpus kontrolÄtÄ tÄ«kla segmenta.
- MarÅ”rutÄtÄji Ŕī segmenta perimetrÄ analizÄ visu pakeÅ”u neÅ”ifrÄtos datus, lai bloÄ·Ätu nevÄlamu saturu un novÄrstu attiecÄ«go pakeÅ”u iekļūŔanu perimetrÄ.
- Visi Tor releji atrodas Ärpus perimetra.
KÄ tas darbojas
Lai slÄptu Tor izmantoÅ”anu, pÄtnieki izveidoja StegoTorus rÄ«ku. TÄs galvenais mÄrÄ·is ir uzlabot Tor spÄju pretoties automatizÄtai protokolu analÄ«zei. RÄ«ks atrodas starp klientu un Ä·Ädes pirmo releju, izmanto savu Å”ifrÄÅ”anas protokolu un steganogrÄfijas moduļus, lai apgrÅ«tinÄtu Tor trafika identificÄÅ”anu.
PirmajÄ darbÄ«bÄ tiek izmantots modulis, ko sauc par chopper ā tas pÄrvÄrÅ” trafiku dažÄda garuma bloku secÄ«bÄ, kas tiek sÅ«tÄ«ti tÄlÄk Ärpus ierindas.
Dati tiek Å”ifrÄti, izmantojot AES GCM režīmÄ. Bloka galvenÄ ir 32 bitu kÄrtas numurs, divi garuma lauki (d un p) - tie norÄda datu apjomu, Ä«paÅ”s lauks F un 56 bitu pÄrbaudes lauks, kura vÄrtÄ«bai jÄbÅ«t nullei. MinimÄlais bloka garums ir 32 baiti, bet maksimÄlais - 217+32 baiti. Garumu kontrolÄ steganogrÄfijas moduļi.
Kad savienojums ir izveidots, daži pirmie informÄcijas baiti ir rokasspiediena ziÅojums, ar kura palÄ«dzÄ«bu serveris saprot, vai tam ir darÄ«Å”ana ar esoÅ”u vai jaunu savienojumu. Ja savienojums pieder jaunai saitei, serveris atbild ar rokasspiedienu, un katrs apmaiÅas dalÄ«bnieks no tÄ iegÅ«st sesijas atslÄgas. TurklÄt sistÄma ievieÅ” atkÄrtotas atslÄgas mehÄnismu ā tas ir lÄ«dzÄ«gs sesijas atslÄgas pieŔķirÅ”anai, bet rokasspiediena ziÅojumu vietÄ tiek izmantoti bloki. Å is mehÄnisms maina kÄrtas numuru, bet neietekmÄ saites ID.
Kad abi saziÅas dalÄ«bnieki ir nosÅ«tÄ«juÅ”i un saÅÄmuÅ”i spuru bloku, saite tiek aizvÄrta. Lai aizsargÄtu pret atkÄrtoÅ”anas uzbrukumiem vai bloÄ·Ätu piegÄdes kavÄÅ”anos, abiem dalÄ«bniekiem ir jÄatceras ID, cik ilgi pÄc slÄgÅ”anas.
IebÅ«vÄtais steganogrÄfijas modulis slÄpj Tor trafiku p2p protokolÄ ā lÄ«dzÄ«gi kÄ Skype darbojas droÅ”os VoIP sakaros. HTTP steganogrÄfijas modulis simulÄ neÅ”ifrÄtu HTTP trafiku. SistÄma atdarina reÄlu lietotÄju ar parastu pÄrlÅ«kprogrammu.
Izturība pret uzbrukumiem
Lai pÄrbaudÄ«tu, cik ļoti piedÄvÄtÄ metode uzlabo Tor efektivitÄti, pÄtnieki izstrÄdÄja divu veidu uzbrukumus.
Pirmais no tiem ir Tor straumju atdalÄ«Å”ana no TCP straumÄm, pamatojoties uz Tor protokola pamatÄ«paŔībÄm ā Ŕī ir metode, ko izmanto Ķīnas valdÄ«bas sistÄmas bloÄ·ÄÅ”anai. Otrais uzbrukums ietver jau zinÄmo Tor straumju izpÄti, lai iegÅ«tu informÄciju par to, kuras vietnes lietotÄjs ir apmeklÄjis.
PÄtnieki apstiprinÄja pirmÄ veida uzbrukuma pret āvaniļas Torā efektivitÄti ā Å”im nolÅ«kam viÅi divdesmit reizes apkopoja vietÅu apmeklÄjumu pÄdas no Alexa.com desmit populÄrÄkajÄm vietnÄm, izmantojot parasto Tor, obfsproxy un StegoTorus ar HTTP steganogrÄfijas moduli. CAIDA datu kopa ar datiem par 10. portu tika izmantota kÄ atsauce salÄ«dzinÄÅ”anai ā gandrÄ«z noteikti visi Å”ie ir HTTP savienojumi.
Eksperiments parÄdÄ«ja, ka ir diezgan viegli aprÄÄ·inÄt parasto Tor. Tor protokols ir pÄrÄk specifisks, un tam ir vairÄkas Ä«paŔības, kuras ir viegli aprÄÄ·inÄt - piemÄram, to lietojot, TCP savienojumi ilgst 20-30 sekundes. Obfsproxy rÄ«ks arÄ« maz palÄ«dz paslÄpt Å”os acÄ«mredzamos punktus. SavukÄrt StegoTorus Ä£enerÄ trafiku, kas ir daudz tuvÄks CAIDA atsaucei.
ApmeklÄto vietÅu uzbrukuma gadÄ«jumÄ pÄtnieki salÄ«dzinÄja Å”Ädas datu izpauÅ”anas iespÄjamÄ«bu āvanilla Torā un viÅu StegoTorus risinÄjuma gadÄ«jumÄ. NovÄrtÄÅ”anai tika izmantota skala (Apgabals zem lÄ«knes). Balstoties uz analÄ«zes rezultÄtiem, izrÄdÄ«jÄs, ka parastÄ Tor bez papildu aizsardzÄ«bas gadÄ«jumÄ iespÄja atklÄt datus par apmeklÄtajÄm vietnÄm ir ievÄrojami lielÄka.
SecinÄjums
KonfrontÄcijas vÄsture starp to valstu iestÄdÄm, kuras ievieÅ” cenzÅ«ru internetÄ, un bloÄ·ÄÅ”anas apieÅ”anas sistÄmu izstrÄdÄtÄjiem liecina, ka efektÄ«vi var bÅ«t tikai visaptveroÅ”i aizsardzÄ«bas pasÄkumi. Izmantojot tikai vienu rÄ«ku, nevar garantÄt piekļuvi nepiecieÅ”amajiem datiem un ka informÄcija par bloka apieÅ”anu cenzoriem nekļūs zinÄma.
TÄpÄc, izmantojot jebkurus privÄtuma un satura piekļuves rÄ«kus, ir svarÄ«gi neaizmirst, ka ideÄlu risinÄjumu nav, un, kur iespÄjams, kombinÄt dažÄdas metodes, lai panÄktu vislielÄko efektivitÄti.
NoderÄ«gas saites un materiÄli no :
Avots: www.habr.com