Grupa badaczy z Uniwersytetu Georgetown i badawczej laboratorium US Navy odporność anonimowej sieci Tor na ataki prowadzące do odmowy usługi (DoS). Badania nad kompromitacją sieci Tor koncentrują się głównie na cenzurowaniu (blokowaniu dostępu do Tor), identyfikacji żądań przez Tor w ruchu tranzytowym oraz analizie korelacji przepływów ruchu przed wejściowym węzłem i po wyjściowym węźle Tor w celu deanimizacji użytkowników. Przedstawione badanie pokazuje, że organizacja ataków DoS na Tor jest niedostrzegana, a przy kosztach kilku tysięcy dolarów miesięcznie można stworzyć warunki do zakłócenia normalnego funkcjonowania Tor, które mogą zmusić użytkowników do zaprzestania korzystania z Tor z powodu złej wydajności.
Badacze zaproponowali trzy scenariusze przeprowadzenia ataków DoS: tworzenie zatorów między węzłami mostowymi, nierównomierne obciążenie oraz tworzenie zatorów między relayerami, do realizacji których atakujący musi mieć przepustowość 30, 5 i 3 Gbit/s. W przeliczeniu na pieniądze koszt przeprowadzenia ataku przez miesiąc wyniesie odpowiednio 17, 2.8 i 1.6 tysiąca dolarów. Dla porównania, przeprowadzenie frontalnego ataku DDoS na zakłócenie działania Tor wymagałoby przepustowości 512.73 Gbit/s i kosztowałoby 7.2 miliona dolarów miesięcznie.
Pierwsza metoda, przy kosztach wynoszących 17 tysięcy dolarów miesięcznie, polegająca na floodowaniu ograniczonego zestawu węzłów mostowych z intensywnością 30 Gbit/s, obniży prędkość pobierania danych przez klientów o 44%. W trakcie testów aktywne były tylko 12 węzłów obfs4 z 38 (nie uwzględnionych na listach publicznych serwerów katalogów i wykorzystywanych do omijania blokady węzłów strażniczych), co pozwala na selektywne wyłączenie pozostałych aktywnych węzłów floodem. Twórcy Tor mogą podwoić wydatki na utrzymanie i przywrócić działanie brakujących węzłów, jednak atakującemu wystarczy zwiększyć swoje wydatki do 31 tysięcy dolarów miesięcznie, aby przeprowadzić atak na wszystkie 38 węzłów mostowych.
Druga metoda, która wymaga do ataku 5 Gbit/s, opiera się na zakłóceniu działania scentralizowanego systemu pomiaru przepustowości TorFlow i pozwala na zmniejszenie średniej prędkości pobierania danych przez klientów o 80%. TorFlow jest używane do rozkładu obciążenia, co pozwala w ramach ataku na zakłócenie rozkładu ruchu i zorganizowanie jego przechodzenia przez ograniczoną liczbę serwerów, powodując ich przeciążenie.
Trzecia metoda, dla której wystarczy 3 Gbit/s, opiera się na wykorzystaniu zmodyfikowanego klienta Tor do generowania obciążenia pasożytniczego, co pozwala na obniżenie prędkości pobierania przez klientów o 47% przy wydatku 1,6 tys. dolarów miesięcznie. Przy zwiększeniu wydatków na atak do 6,3 tys. dolarów można osiągnąć obniżenie prędkości pobierania klientów o 120%. Zmodyfikowany klient, zamiast standardowej budowy łańcucha z trzech węzłów (wejściowego, pośredniego i wyjściowego), stosuje dozwolony przez protokół łańcuch z 8 węzłów z maksymalną liczbą hopów między węzłami, po czym żąda pobierania dużych plików i wstrzymuje operacje odczytu po wysłaniu żądań, ale nadal wysyła komendy kontrolne SENDME, instruując węzły wejściowe do kontynuowania przesyłania danych.
Zauważono, że inicjowanie odmowy usługi jest znacznie skuteczniejsze niż organizowanie ataku DoS metodą Sybil przy podobnych wydatkach. Metoda Sybil polega na umieszczaniu w sieci Tor dużej liczby własnych przekaźników, na których można odrzucać łańcuchy lub ograniczać przepustowość. Przy budżecie na atak wynoszącym 30, 5 i 3 Gbit/s metoda Sybil pozwala na osiągnięcie obniżenia wydajności dla 32%, 7,2% i 4,5% węzłów wychodzących, odpowiednio. Podczas gdy zaproponowane w ramach badania ataki DoS obejmują wszystkie węzły.
Porównując wydatki z innymi rodzajami ataków, przeprowadzenie ataku deanonimizacyjnego użytkowników z budżetem 30 Gbit/s umożliwi kontrolę nad 21% węzłów wejściowych i 5,3% węzłów wychodzących oraz osiągnięcie objęcia wszystkich węzłów w 1,1% przypadków. Przy budżetach 5 i 3 Gbit/s efektywność wyniesie 0,06% (4,5% węzłów wejściowych, 1,2% węzłów wychodzących) i 0,02% (2,8% węzłów wejściowych, 0,8% węzłów wychodzących).
Źródło: opennet.ru
