Internetcensuur is over de hele wereld een steeds belangrijker probleem. Dit leidt tot een intensivering van de ‘wapenwedloop’, omdat overheidsinstanties en particuliere bedrijven in verschillende landen verschillende inhoud proberen te blokkeren en worstelen met manieren om dergelijke beperkingen te omzeilen, terwijl ontwikkelaars en onderzoekers ernaar streven effectieve instrumenten te creëren om censuur te bestrijden.
Wetenschappers van de universiteiten Carnegie Mellon, Stanford University en SRI International voerden dit onderzoek uit , waarin ze een speciale dienst ontwikkelden om het gebruik van Tor te maskeren, een van de meest populaire tools om blokkades te omzeilen. Wij presenteren u een verhaal over het werk van de onderzoekers.
Tor tegen blokkeren
Tor garandeert de anonimiteit van gebruikers door het gebruik van speciale relais, dat wil zeggen tussenliggende servers tussen de gebruiker en de site die hij nodig heeft. Normaal gesproken bevinden zich tussen de gebruiker en de site meerdere relais, die elk slechts een kleine hoeveelheid gegevens in het doorgestuurde pakket kunnen ontsleutelen - net genoeg om het volgende punt in de keten te vinden en deze daarheen te sturen. Als gevolg hiervan zullen ze, zelfs als een door aanvallers of censors gecontroleerd relais aan de keten wordt toegevoegd, niet in staat zijn de geadresseerde en bestemming van het verkeer te achterhalen.
Tor werkt effectief als een middel tegen censuur, maar censuur heeft nog steeds de mogelijkheid om het volledig te blokkeren. Iran en China hebben succesvolle blokkeringscampagnes gevoerd. Ze konden Tor-verkeer identificeren door TLS-handshakes en andere onderscheidende Tor-kenmerken te scannen.
Vervolgens slaagden de ontwikkelaars erin het systeem aan te passen om de blokkering te omzeilen. Censoren reageerden door HTTPS-verbindingen met verschillende sites, waaronder Tor, te blokkeren. De projectontwikkelaars hebben het obfsproxy-programma gemaakt, dat bovendien het verkeer codeert. Deze concurrentie gaat voortdurend door.
Eerste gegevens van het experiment
De onderzoekers besloten een tool te ontwikkelen die het gebruik van Tor zou maskeren, waardoor het gebruik ervan zelfs mogelijk zou worden in regio’s waar het systeem volledig geblokkeerd is.
- Als initiële aannames hebben wetenschappers het volgende naar voren gebracht:
- De censor controleert een geïsoleerd intern segment van het netwerk, dat verbinding maakt met het externe, ongecensureerde internet.
- Blokkerende autoriteiten controleren de gehele netwerkinfrastructuur binnen het gecensureerde netwerksegment, maar niet de software op eindgebruikerscomputers.
- De censor probeert te voorkomen dat gebruikers toegang krijgen tot materiaal dat vanuit zijn standpunt ongewenst is; er wordt van uitgegaan dat al dit materiaal zich op servers buiten het gecontroleerde netwerksegment bevindt.
- Routers aan de rand van dit segment analyseren de niet-gecodeerde gegevens van alle pakketten om ongewenste inhoud te blokkeren en te voorkomen dat relevante pakketten de perimeter binnendringen.
- Alle Tor-relais bevinden zich buiten de perimeter.
Hoe werkt dit
Om het gebruik van Tor te verhullen, hebben onderzoekers de StegoTorus-tool gemaakt. Het belangrijkste doel is om het vermogen van Tor om geautomatiseerde protocolanalyse te weerstaan te verbeteren. De tool bevindt zich tussen de client en het eerste relais in de keten en gebruikt een eigen encryptieprotocol en steganografiemodules om het moeilijk te maken Tor-verkeer te identificeren.
Bij de eerste stap komt een module genaamd Chopper in actie: deze zet verkeer om in een reeks blokken van verschillende lengtes, die verder in de verkeerde volgorde worden verzonden.
Gegevens worden gecodeerd met AES in de GCM-modus. De blokheader bevat een 32-bits volgnummer, twee lengtevelden (d en p) - deze geven de hoeveelheid gegevens aan, een speciaal veld F en een 56-bits controleveld, waarvan de waarde nul moet zijn. De minimale bloklengte is 32 bytes en de maximale bloklengte is 217+32 bytes. De lengte wordt geregeld door steganografiemodules.
Wanneer een verbinding tot stand is gebracht, zijn de eerste paar bytes aan informatie een handshake-bericht. Met behulp hiervan begrijpt de server of het om een bestaande of een nieuwe verbinding gaat. Als de verbinding bij een nieuwe link hoort, reageert de server met een handshake en haalt elk van de uitwisselingsdeelnemers er sessiesleutels uit. Bovendien implementeert het systeem een mechanisme voor het opnieuw versleutelen van de sleutel: het is vergelijkbaar met de toewijzing van een sessiesleutel, maar er worden blokken gebruikt in plaats van handshake-berichten. Dit mechanisme verandert het volgnummer, maar heeft geen invloed op de link-ID.
Zodra beide deelnemers aan de communicatie het vinblok hebben verzonden en ontvangen, wordt de link gesloten. Ter bescherming tegen replay-aanvallen of om vertragingen bij de levering te blokkeren, moeten beide deelnemers de ID onthouden voor hoe lang na sluiting.
De ingebouwde steganografiemodule verbergt Tor-verkeer binnen het p2p-protocol - vergelijkbaar met hoe Skype werkt bij beveiligde VoIP-communicatie. De HTTP-steganografiemodule simuleert niet-gecodeerd HTTP-verkeer. Het systeem bootst een echte gebruiker na met een gewone browser.
Weerstand tegen aanvallen
Om te testen hoeveel de voorgestelde methode de efficiëntie van Tor verbetert, ontwikkelden de onderzoekers twee soorten aanvallen.
De eerste hiervan is het scheiden van Tor-streams van TCP-streams op basis van de fundamentele kenmerken van het Tor-protocol - dit is de methode die wordt gebruikt om het Chinese overheidssysteem te blokkeren. De tweede aanval omvat het bestuderen van reeds bekende Tor-streams om informatie te verkrijgen over welke sites de gebruiker heeft bezocht.
Onderzoekers bevestigden de effectiviteit van het eerste type aanval op "vanilla Tor" - hiervoor verzamelden ze twintig keer sporen van bezoeken aan sites uit de top 10 Alexa.com via reguliere Tor, obfsproxy en StegoTorus met een HTTP-steganografiemodule. De CAIDA-dataset met gegevens op poort 80 werd gebruikt als referentie voor vergelijking - vrijwel zeker zijn dit allemaal HTTP-verbindingen.
Uit het experiment bleek dat het vrij eenvoudig is om reguliere Tor te berekenen. Het Tor-protocol is te specifiek en heeft een aantal kenmerken die gemakkelijk te berekenen zijn. Bij gebruik ervan duren TCP-verbindingen bijvoorbeeld 20-30 seconden. De Obfsproxy-tool doet ook weinig om deze voor de hand liggende momenten te verbergen. StegoTorus genereert op zijn beurt verkeer dat veel dichter bij de CAIDA-referentie ligt.
In het geval van een aanval op bezochte sites vergeleken de onderzoekers de waarschijnlijkheid van een dergelijke openbaarmaking van gegevens in het geval van “vanilla Tor” en hun StegoTorus-oplossing. Voor de beoordeling werd gebruik gemaakt van de schaal (Gebied onder curve). Op basis van de resultaten van de analyse bleek dat in het geval van reguliere Tor zonder aanvullende bescherming de kans op het vrijgeven van gegevens over bezochte sites aanzienlijk groter is.
Conclusie
De geschiedenis van confrontaties tussen de autoriteiten van landen die censuur op internet invoeren en ontwikkelaars van systemen om blokkeringen te omzeilen, suggereert dat alleen alomvattende beschermingsmaatregelen effectief kunnen zijn. Het gebruik van slechts één tool kan de toegang tot de benodigde gegevens niet garanderen en informatie over het omzeilen van de blokkering zal niet bekend worden bij de censuur.
Daarom is het belangrijk om bij het gebruik van tools voor privacy en toegang tot inhoud niet te vergeten dat er geen ideale oplossingen bestaan, en waar mogelijk verschillende methoden te combineren om de grootste effectiviteit te bereiken.
Nuttige links en materialen van :
Bron: www.habr.com