Niebezpiecznik

Opublikowana niedawno praca naukowców na temat deanonimizacji użytkowników sieci Tor poprzez analizę korelacji ruchu przy użyciu informacji z NetFlowa wzbudziła żywą dyskusję. Badacze informują o 80% skuteczności w identyfikacji tożsamości osoby “kryjącej” się za Torem …ale należy pamiętać, że można to osiągnąć jedynie przy spełnieniu kilku — nie zawsze łatwych do spełnienia — warunków.

Deanonimizacja Tora przez Netflow

Na czym polega atak?

Sam raport znajdziecie tutaj. Praca autorstwa zespołu Sambuddho Chakravarty z Uniwersytetu Columbia opiera się na korelacji ruchu wchodzącego i wychodzącego z sieci Tor (tzw. traffic confirmation attack), gdzie atakujący ma kontrolę nad n węzłami w sieci i zbiera informacje na temat połączeń, które przez nie przechodzą (tu właśnie przydaje się wspomniany protokół NetFlow, który — w skrócie — służy do analizy i opisu ruchu sieciowego).

Warto jednak zauważyć, że metoda korelacji tego typu nie jest nowa, a wysoka skuteczność ataku (81,4%) dotyczy nie skuteczności metody w całej sieci Tor, a w środowisku eksperymentalnym badaczy (co jasno i uczciwie podkreślają w swoim opracowaniu).

Co musi zrobić atakujący?

Atakujący musi kontrolować zarówno serwer, z którym łączy się ofiara, jak i tzw. węzeł wejściowy, przez który z siecią Tor łączy się ofiara. Już samo to dość mocno ogranicza ataki w realnym świecie… Z kolei koniecznej do identyfikacji korelacji dokonuje się poprzez wstrzykiwanie pewnego wzorca w połączenia Torowe (np. dzięki dołączaniu dodatkowych plików HTML lub wprowadzaniu celowych opóźnień w transmisji poprzez modulacje jej prędkości w czasie) od serwera do węzła wyjściowego. Następnie wzorca tego szuka się w danych zebranych przez NetFlow na kontrolowanych węzłach wejściowych, które jako jedyne znają prawdziwy adres IP łączącej się z siecią Tor ofiary. Na tej podstawie z n łączących się do danego węzła wejściowego klientów można wyłuskać tego jednego, któremu celowo modyfikowano dane “od serwera”.

Odpowiedź projektu Tor

Zespół Tora już odniósł się do doniesień badaczy; zauważając, że sieć Tora nie jest w stanie chronić przed atakującymi, którzy jednocześnie widzą ruch wejściowy i wyjściowy do sieci Tor dla danego połączenia (tzw. atak end-to-end correlation) — zawsze bowiem można wtedy łatwo określić, czy wejściepasuje do wyjścia.

Dodatkowo, należy zwrócić uwagę na wysokość false positive w metodzie opracowanej przez zespół Sambuddho, a jest to aż 6%. To oznacza, że w próbce zebranych 100 000 danych na temat połączeń, do badanego połączenia pasować będzie aż 6 000 z nich… A im więcej ruchu w sieci Tor tym więcej potencjalnych pasujących połączeń (jest to tzw. błąd zaniedbywania miarodajności).

Na koniec warto wspomnieć o tym, że pojawiające się w internecie rady, aby używać VPN-ów w połączeniu z klientem Tora, nie są zbyt celne w tej sytuacji. Połączenia VPN-owe zachowają zmodyfikowaną charakterystykę ruchu i nie wpłyną znacznie na możliwości identyfikacji klienta Tora.

Krótko mówiąc, nie osoby korzystające z Tora nie powinny wpadać w panikę. Wymagania konieczne do przeprowadzenia ataku oraz jego dość wysoki współczynnik false positive nie czynią z niego idealnego narzędzia w rękach służb do deanonimizacji “wywrotowców”.