網(wǎng)絡(luò)信任保護(hù)名字網(wǎng)絡(luò)的網(wǎng)絡(luò)追蹤

網(wǎng)絡(luò)信任保護(hù)名字網(wǎng)絡(luò)的網(wǎng)絡(luò)追蹤

隨著社會(huì)的進(jìn)步和網(wǎng)絡(luò)的普及，信息安全和個(gè)人隱私的保護(hù)越來越受到重視。在電子商務(wù)、在線閱讀等網(wǎng)絡(luò)服務(wù)中，用戶個(gè)人數(shù)據(jù)的安全性已成為安全面臨的新領(lǐng)域。傳統(tǒng)基于密碼技術(shù)的安全注重保護(hù)信息，無法有效隱藏通信雙方的身份和通信模式。攻擊者可以通過ip消息輕易接收源地址、目的地地址和用戶id信息。為充分保護(hù)用戶自由言論和個(gè)人隱私不被泄露,匿名網(wǎng)絡(luò)成為互聯(lián)網(wǎng)上用于保護(hù)用戶隱私的重要而有效手段,從網(wǎng)絡(luò)通信層面防止信息泄露、流量分析和用戶身份特征分析,保護(hù)雙方通信關(guān)系等.到目前為止,業(yè)界已設(shè)計(jì)出了多種匿名網(wǎng)絡(luò),如Crowds,Tor,Anonymizer等.匿名網(wǎng)絡(luò)采用重路由、數(shù)據(jù)流混淆、加密等多種匿名技術(shù)手段隱藏通信雙方關(guān)系等信息,達(dá)到保護(hù)通信者身份及隱私的目的.然而,匿名網(wǎng)絡(luò)在保護(hù)用戶隱私信息的同時(shí),也為不法分子所利用,保護(hù)自身信息,逃避追查,而肆意進(jìn)行網(wǎng)絡(luò)犯罪活動(dòng).匿名網(wǎng)絡(luò)給網(wǎng)絡(luò)犯罪調(diào)查與追蹤帶來了極大的困難和嚴(yán)峻的挑戰(zhàn).本文概述了匿名網(wǎng)絡(luò)的結(jié)構(gòu)與工作機(jī)制,重點(diǎn)分析典型匿名網(wǎng)絡(luò)的工作原理,然后對(duì)匿名網(wǎng)絡(luò)的追蹤問題進(jìn)行了總體描述,并分析有效的匿名網(wǎng)絡(luò)追蹤技術(shù)和分類等問題,展望匿名網(wǎng)絡(luò)追蹤溯源的發(fā)展趨勢.1相關(guān)研究1.1tor匿名網(wǎng)絡(luò)匿名(anonymity)一般是指通信實(shí)體的一種狀態(tài),“在一組對(duì)象的集合(匿名集合)中不可識(shí)別的狀態(tài)”,即無法從一組對(duì)象中確定其中某個(gè)對(duì)象與某事件相關(guān)聯(lián).因此,匿名網(wǎng)絡(luò)就由能夠?yàn)榫W(wǎng)絡(luò)通信用戶提供匿名服務(wù)的軟硬件組件構(gòu)成的網(wǎng)絡(luò).匿名網(wǎng)絡(luò)的先驅(qū)Chaum在1981年提出了基于節(jié)點(diǎn)混淆(mix)的通信方式,混合多個(gè)發(fā)送者的消息,傳送給接受者,借以解決電子郵件不可追蹤問題.1985年,Chaum又提出了以疊加發(fā)送的DC-鏈為基礎(chǔ)的網(wǎng)絡(luò)匿名方案.1998年Reed等人在OnionRouting算法的基礎(chǔ)上,實(shí)現(xiàn)了一種名為洋蔥路由匿名網(wǎng)絡(luò).該匿名網(wǎng)絡(luò)通過層層加密技術(shù)將用戶的標(biāo)識(shí)信息進(jìn)行多層加密,按事先指定的路由信息發(fā)送給接受者,以提供雙向、低延時(shí)的匿名通信.起源于2003年的第2代Tor(TheSecondOnionRouter)系統(tǒng)是第2代基于OnionRouting算法的匿名網(wǎng)絡(luò).Tor匿名網(wǎng)絡(luò)是一個(gè)低延時(shí)、基于TCP流,具有抵御流量分析,保護(hù)用戶隱私不泄露的分布式匿名網(wǎng)絡(luò).目前在全球召集志愿者的方式運(yùn)行并維護(hù)中繼節(jié)點(diǎn),廣泛分布在Internet中,是最成功的公共匿名網(wǎng)絡(luò)之一.Tor匿名網(wǎng)絡(luò)屬于一種混合網(wǎng)絡(luò)(overlaynetwork),支持SOCKS5和動(dòng)態(tài)代理鏈的匿名網(wǎng)絡(luò),能夠?qū)崿F(xiàn)匿名的Web瀏覽與發(fā)布、即時(shí)通訊、IRC、SSH和其他基于TCP協(xié)議的應(yīng)用.Tor匿名網(wǎng)絡(luò)本身采用集中目錄式管理結(jié)構(gòu),其組成包括目錄服務(wù)器(directoryserver)、洋蔥路由器OR(onionrouter)和部署在用戶端的洋蔥代理程序OP(onionproxy).如圖1所示.每一個(gè)洋蔥路由器分別TLS(安全傳輸層協(xié)議)連接其前后每一個(gè)洋蔥路由器.每一個(gè)用戶運(yùn)行本地的洋蔥代理(onionproxy,OP)獲取目錄,建立網(wǎng)絡(luò)鏈路,并處理用戶應(yīng)用的連接.實(shí)際中,洋蔥代理、路由和目錄服務(wù)都集成在Tor匿名網(wǎng)絡(luò)軟件中.Alice與Bob進(jìn)行匿名通信前,先下載目錄服務(wù)器中的洋蔥路由等信息,選擇匿名傳輸出口(OR3),然后確認(rèn)匿名傳輸?shù)娜肟?OR1)和中繼節(jié)點(diǎn)(OR2);確定通信節(jié)點(diǎn)后,通過匿名協(xié)議構(gòu)建匿名信道,實(shí)現(xiàn)匿名通信.在Tor匿名網(wǎng)絡(luò)中將使用兩類長度固定的消息格式,如圖2所示,分為控制和傳輸兩類.控制消息在建立匿名通信時(shí)使用,傳輸消息用于匿名通信過程中的數(shù)據(jù)傳輸.匿名網(wǎng)絡(luò)的通信流程如圖3所示,由發(fā)起匿名通信端(Alice)與通信方(Bob)建立匿名通信通道,通過匿名代理節(jié)點(diǎn)逐級(jí)完成匿名通道建立;完成匿名通道建立后,可通過該通道收發(fā)數(shù)據(jù)報(bào)文.匿名網(wǎng)絡(luò)將按照匿名通信的消息格式進(jìn)行數(shù)據(jù)分割、加密、解密,將數(shù)據(jù)匿名送達(dá)接收端(Bob).匿名通信結(jié)束,通過控制消息關(guān)閉該匿名信道,釋放資源.1.2tor匿名網(wǎng)絡(luò)的技術(shù)框架根據(jù)Pfitzmann和Waidner對(duì)匿名處理機(jī)理分類,可以將網(wǎng)絡(luò)匿名機(jī)理分為發(fā)送者匿名、接收者匿名和通信鏈路匿名.顧名思義,發(fā)送者匿名是指在通信過程中,對(duì)發(fā)送者身份等信息進(jìn)行匿名處理,使得無法識(shí)別確定發(fā)送者信息.接收者匿名與發(fā)送者匿名處理相同,只是隱藏處理的是接收者信息.通信鏈路匿名是對(duì)通信雙方的通信鏈路的匿名處理,隱藏通信鏈路,達(dá)到即便已知通信雙方,也無法識(shí)別確認(rèn)其相互通信鏈路的目的.顯然,僅依靠加密技術(shù)是不能保證匿名處理的有效性.大量的數(shù)據(jù)分析處理技術(shù)證明,通過數(shù)據(jù)的相關(guān)分析,能夠?qū)崿F(xiàn)加密數(shù)據(jù)與其源數(shù)據(jù)間的關(guān)聯(lián),從而確認(rèn)發(fā)送者與接收者的關(guān)系.具體的匿名技術(shù)有代理技術(shù)、混淆技術(shù)和流處理技術(shù),流處理包括流分割(flowspliting)、流合并(flowmerging)等方法.Wang等人在《NetworkFlowWatermarkingAttackonLow-LatencyAnonymousCommunicationSystems》一文中從流處理的角度對(duì)當(dāng)前主要的匿名技術(shù)進(jìn)行了分析歸類,將流匿名技術(shù)細(xì)分為數(shù)據(jù)流內(nèi)(intra-flow)匿名處理和數(shù)據(jù)流間(inter-flow)匿名處理.其中,數(shù)據(jù)流內(nèi)匿名處理是指匿名處理只針對(duì)數(shù)據(jù)流本身,與其他數(shù)據(jù)流無關(guān),具體方法包括加擾(addingchaff)、丟棄(packetdropping)和重組(repacketization),其原理如圖4所示:數(shù)據(jù)流間匿名處理指在數(shù)據(jù)流匿名處理過程中與網(wǎng)絡(luò)中其他數(shù)據(jù)流相關(guān)聯(lián),通過數(shù)據(jù)流間的相互操作實(shí)現(xiàn)數(shù)據(jù)流的匿名處理,具體方法包括流混淆(flow-mixing)、流分割(flow-spliting)和流合并(flow-merging),其原理如圖5所示:當(dāng)前主要的匿名網(wǎng)絡(luò)都采用流處理和加密技術(shù)相結(jié)合的方式進(jìn)行匿名處理,實(shí)現(xiàn)身份信息的高度匿名化.Tor匿名網(wǎng)絡(luò)使用固定的數(shù)據(jù)包長度傳輸信息,屬于包重組匿名處理方式;NetCamo和Tarzan匿名網(wǎng)絡(luò)則故意在傳輸?shù)臄?shù)據(jù)流中加入擾動(dòng),實(shí)現(xiàn)鏈路匿名化處理;Work使用隨機(jī)的丟棄數(shù)據(jù)包的方式,達(dá)到匿名化處理和防止時(shí)間相關(guān)攻擊,實(shí)現(xiàn)鏈路隱藏,Hordes使用組播方式,可以視為一種數(shù)據(jù)流分割技術(shù),實(shí)現(xiàn)發(fā)送者的匿名化.所有基于混淆技術(shù)的匿名網(wǎng)絡(luò)則綜合使用了包重組、流混淆技術(shù),實(shí)現(xiàn)發(fā)送者、接收者和通信鏈路的隱藏.綜上所述,可以看到匿名網(wǎng)絡(luò)的發(fā)展使得新型的匿名網(wǎng)絡(luò)總是混合使用多種匿名機(jī)制和技術(shù)實(shí)現(xiàn)更為復(fù)雜的匿名.匿名網(wǎng)絡(luò)正呈現(xiàn)出混合使用多種匿名機(jī)制,從信息數(shù)據(jù)匿名、路由匿名、接收者匿名、發(fā)送者匿名等網(wǎng)絡(luò)通信涉及的各個(gè)環(huán)節(jié)進(jìn)行匿名處理,實(shí)現(xiàn)網(wǎng)絡(luò)通信全方位的匿名.1.3采取匿名化技術(shù)網(wǎng)絡(luò)追蹤溯源指確定網(wǎng)絡(luò)攻擊者身份或位置,以及攻擊的中間介質(zhì)的過程.身份指攻擊者名字、帳號(hào)或與之有關(guān)系的類似信息;位置包括其地理位置或虛擬地址,如IP地址、MAC地址等.由于匿名網(wǎng)絡(luò)對(duì)通信雙方信息及通信鏈路,采取多種匿名化處理技術(shù)和加密技術(shù)進(jìn)行處理,防止信息泄露和追蹤定位.匿名網(wǎng)絡(luò)中傳輸?shù)臄?shù)據(jù)具有較強(qiáng)的匿名性,長度一致,且無任何相關(guān)性(時(shí)間、信息等),無法直接通過數(shù)據(jù)相關(guān)分析識(shí)別各通信鏈路的關(guān)聯(lián);而信息的機(jī)密性由加密技術(shù)保證.隨著技術(shù)的發(fā)展,各種匿名器、匿名軟件、代理和匿名網(wǎng)絡(luò)發(fā)展迅速,為網(wǎng)絡(luò)攻擊者提供了良好的身份隱匿工具,網(wǎng)絡(luò)攻擊者利用匿名網(wǎng)絡(luò)的特性,隱藏自身信息,使得網(wǎng)絡(luò)管理部門及司法部門難于確定網(wǎng)絡(luò)攻擊者信息,取證困難,防范困難.網(wǎng)絡(luò)追蹤溯源技術(shù)可大致分為日志類、包標(biāo)記等方法.由于匿名網(wǎng)絡(luò)的上述特點(diǎn),通常所使用的網(wǎng)絡(luò)追蹤溯源技術(shù)在匿名網(wǎng)絡(luò)中根本無法發(fā)揮其功能,無法有效獲取匿名網(wǎng)絡(luò)中數(shù)據(jù)傳輸路徑信息,實(shí)現(xiàn)追蹤定位.2通過滲透性能的滲透追蹤方式確認(rèn)局域網(wǎng)的相關(guān)性匿名網(wǎng)絡(luò)的追蹤溯源可分為調(diào)制追蹤和滲透追蹤兩類.調(diào)制追蹤是通過對(duì)匿名網(wǎng)絡(luò)中傳輸數(shù)據(jù)進(jìn)行調(diào)制處理,將諸如水印等標(biāo)識(shí)信息嵌入匿名網(wǎng)絡(luò)數(shù)據(jù)中,在接收端解調(diào)處理,獲取水印標(biāo)識(shí)信息,以此確認(rèn)網(wǎng)絡(luò)數(shù)據(jù)流關(guān)系.滲透追蹤是采用網(wǎng)絡(luò)滲透方式,進(jìn)入匿名網(wǎng)絡(luò)或其節(jié)點(diǎn),參與或破壞匿名網(wǎng)絡(luò)通信活動(dòng),進(jìn)而觀測匿名網(wǎng)絡(luò)通信的變化,以此確認(rèn)網(wǎng)絡(luò)通信的相關(guān)性,實(shí)現(xiàn)匿名網(wǎng)絡(luò)的追蹤.2.1擴(kuò)頻調(diào)制技術(shù)匿名網(wǎng)絡(luò)調(diào)制追蹤是將匿名網(wǎng)絡(luò)視為“黑盒”處理,利用網(wǎng)絡(luò)數(shù)據(jù)流的特征或在流中加入標(biāo)記,將進(jìn)出這個(gè)“黑盒”的輸入流和輸出流加以關(guān)聯(lián)分析,從而識(shí)別出網(wǎng)絡(luò)主體間的通信關(guān)系.基于數(shù)據(jù)流水印調(diào)制追蹤技術(shù)先后出現(xiàn)了Wang等人提出的VoIP匿名流識(shí)別的主動(dòng)水印技術(shù);Fu等人提出的無線匿名通信網(wǎng)絡(luò)的流標(biāo)記追蹤技術(shù);Wang等人提出的基于包抵達(dá)時(shí)間的流水印技術(shù).2007年Yu等人提出直序擴(kuò)頻技術(shù),將水印信號(hào)擴(kuò)頻后調(diào)制流速率的方式嵌入通信流中,提高了流水印的檢測率.2009年Houmansadr等人提出一種非盲檢測流水印,減小流的調(diào)制幅度,增強(qiáng)了流水印的隱秘性.流水印技術(shù)的基本原理如圖6所示,為確定Alice和Bob之間的通信關(guān)系,位于Alice處的調(diào)制器將水印嵌入需追蹤的通信流中,當(dāng)通信流經(jīng)過匿名系統(tǒng)后,位于Bob處的網(wǎng)絡(luò)解調(diào)器從流中提取水印.若兩端的水印信號(hào)相匹配,則可確認(rèn)Alice和Bob之間存在著通信聯(lián)系.調(diào)制追蹤技術(shù)中,較為著名的是Yu等人提出的直序擴(kuò)頻(DSSS)技術(shù),其原理如圖7所示:直序擴(kuò)頻技術(shù)將水印信息擴(kuò)頻后調(diào)制網(wǎng)絡(luò)數(shù)據(jù)流速率,將水印信息嵌入通信流中,提高了水印檢測的成功率.發(fā)送端使用偽隨機(jī)數(shù)序列對(duì)源數(shù)據(jù)流進(jìn)行擴(kuò)頻調(diào)制,接收端通過解擴(kuò)頻處理,恢復(fù)原始數(shù)據(jù),以此確定雙方的通信關(guān)系.在DSSS中使用偽隨機(jī)數(shù)ct擴(kuò)頻處理原始數(shù)據(jù)dt獲得tb,ct是一個(gè)一維矩陣(1×Nc),則tb=dt·ct.dr=∑(rb?cr)Nc=dt∑(ct?cr)Nc.dr=∑(rb?cr)Νc=dt∑(ct?cr)Νc.假設(shè)通信良好,可保證接收端收到的數(shù)據(jù)流rb與發(fā)送端tb相同,通過解擴(kuò)頻處理可得原始數(shù)據(jù)流dr.如果cr=ct,即收發(fā)兩端的偽隨機(jī)序列完全同步,則cr·ct=1,1是一個(gè)所有元素等于1的矩陣(1×Nc),接收端將能夠恢復(fù)出原始數(shù)據(jù)流:dr=∑(rb?cr)Nc=dt∑(ct?cr)Nc=dtNcNc=dt.dr=∑(rb?cr)Νc=dt∑(ct?cr)Νc=dtΝcΝc=dt.如果cr≠ct,即收發(fā)兩端不同步,接收端沒有相同的隨機(jī)序列,dr≠dt則無法恢復(fù)出原始數(shù)據(jù)流.基于擴(kuò)頻調(diào)制的流水印通過擴(kuò)頻技術(shù)對(duì)水印信號(hào)進(jìn)行編碼,將其嵌入通信流中以確認(rèn)網(wǎng)絡(luò)主體間的通信關(guān)系,可以有效地對(duì)匿名網(wǎng)絡(luò)進(jìn)行追蹤.流水印的實(shí)施分為編碼、調(diào)制、解調(diào)、解碼等步驟.其中,水印載體的選擇尤為重要,關(guān)系到水印的健壯性和隱秘性.由于大部分匿名通信應(yīng)用,如Web瀏覽、即時(shí)通信、遠(yuǎn)程登錄等均產(chǎn)生交互式流量,其速率是不穩(wěn)定的.若流速率波動(dòng)較大,對(duì)慢速流施加弱干涉,其速率仍然相對(duì)較慢;對(duì)快速流施加強(qiáng)干涉,其速率仍然相對(duì)較快.由于對(duì)水印載體的調(diào)制并未產(chǎn)生預(yù)期的效果,在濾去直流分量后將無法準(zhǔn)確識(shí)別出對(duì)流施加的是何種干涉,從而無法提取出正確的水印信號(hào),導(dǎo)致追蹤時(shí)產(chǎn)生漏報(bào)或誤報(bào).因此,要保證追蹤的準(zhǔn)確性,穩(wěn)定的水印載體至關(guān)重要.在擴(kuò)頻流水印模型的基礎(chǔ)上,Wang等人、張路等人引入與特定流無關(guān)的基于時(shí)隙質(zhì)心的水印載體,增強(qiáng)水印的穩(wěn)定性和有效性.在調(diào)制追蹤中還有一種基于網(wǎng)絡(luò)溫度的時(shí)間抖動(dòng)分析技術(shù),于2006年Murdoch提出,用來確認(rèn)匿名網(wǎng)絡(luò)中的通信關(guān)系.該技術(shù)以網(wǎng)絡(luò)信息設(shè)備硬件芯片溫度變化導(dǎo)致網(wǎng)絡(luò)數(shù)據(jù)傳輸處理過程產(chǎn)生一定的時(shí)間抖動(dòng)為事實(shí)依據(jù).通過向匿名網(wǎng)絡(luò)發(fā)送大量數(shù)據(jù),致使網(wǎng)絡(luò)信息設(shè)備數(shù)據(jù)處理負(fù)荷增加,使得設(shè)備處理芯片溫度增加,從而影響其數(shù)據(jù)傳輸處理時(shí)間,增大數(shù)據(jù)網(wǎng)絡(luò)傳輸?shù)臅r(shí)間抖動(dòng).據(jù)此通過對(duì)網(wǎng)絡(luò)中傳輸數(shù)據(jù)的時(shí)間相關(guān)分析,能夠識(shí)別同一處理節(jié)點(diǎn)前后的數(shù)據(jù)相關(guān)性,進(jìn)而確定網(wǎng)絡(luò)中數(shù)據(jù)傳輸鏈路的關(guān)系.2.2分布式匿名網(wǎng)絡(luò)追蹤匿名網(wǎng)絡(luò)滲透追蹤是指采用網(wǎng)絡(luò)滲透攻擊方式,進(jìn)入匿名網(wǎng)絡(luò)或匿名網(wǎng)絡(luò)中的節(jié)點(diǎn),參與或破壞匿名網(wǎng)絡(luò)通信活動(dòng),進(jìn)而觀測匿名網(wǎng)絡(luò)通信的變化,以此確認(rèn)網(wǎng)絡(luò)通信的相關(guān)性,實(shí)現(xiàn)匿名網(wǎng)絡(luò)的追蹤.1基于重放的匿名通信2008年P(guān)ries等人提出了一種采用重放攻擊的Tor匿名網(wǎng)絡(luò)追蹤技術(shù).該重放攻擊針對(duì)Tor匿名網(wǎng)絡(luò)采用AES計(jì)數(shù)器加密模式(AES-CTR)的情景.由于AES計(jì)數(shù)器模式要求收發(fā)兩端的計(jì)數(shù)器同步,中途計(jì)數(shù)器一旦失步將導(dǎo)致后續(xù)加解密操作失敗.基于此,Pries等人提出重放攻擊,人為改變匿名網(wǎng)絡(luò)中的計(jì)數(shù)器,使得計(jì)數(shù)器失步影響匿名通信過程.該方法通過網(wǎng)絡(luò)滲透方式控制Tor匿名網(wǎng)絡(luò)中的一個(gè)或多個(gè)節(jié)點(diǎn),對(duì)Tor匿名網(wǎng)絡(luò)傳輸?shù)臄?shù)據(jù)進(jìn)行重放,使得接收端匿名通信失敗,據(jù)此分析判定發(fā)送方與接收方之間的通信關(guān)系.Pries等人對(duì)重放數(shù)據(jù)的選取進(jìn)行深入分析,以不影響匿名通信通道建立為前提的準(zhǔn)則選取重放數(shù)據(jù)單元,否則將大大降低通信追蹤效率和準(zhǔn)確率.2基于數(shù)據(jù)注入的追蹤定位技術(shù)2006年Christensen在《PracticalOnionHacking:FindingtherealaddressofTorclients》一文中詳細(xì)描述了一種采用數(shù)據(jù)注入的方式實(shí)現(xiàn)對(duì)Tor匿名網(wǎng)絡(luò)的追蹤定位.其原理如圖9所示,該技術(shù)類似與中間人攻擊,通過中間人攻擊,在