網(wǎng)絡信任保護名字網(wǎng)絡的網(wǎng)絡追蹤

隨著社會的進步和網(wǎng)絡的普及，信息安全和個人隱私的保護越來越受到重視。在電子商務、在線閱讀等網(wǎng)絡服務中，用戶個人數(shù)據(jù)的安全性已成為安全面臨的新領域。傳統(tǒng)基于密碼技術的安全注重保護信息，無法有效隱藏通信雙方的身份和通信模式。攻擊者可以通過ip消息輕易接收源地址、目的地地址和用戶id信息。為充分保護用戶自由言論和個人隱私不被泄露,匿名網(wǎng)絡成為互聯(lián)網(wǎng)上用于保護用戶隱私的重要而有效手段,從網(wǎng)絡通信層面防止信息泄露、流量分析和用戶身份特征分析,保護雙方通信關系等.到目前為止,業(yè)界已設計出了多種匿名網(wǎng)絡,如Crowds,Tor,Anonymizer等.匿名網(wǎng)絡采用重路由、數(shù)據(jù)流混淆、加密等多種匿名技術手段隱藏通信雙方關系等信息,達到保護通信者身份及隱私的目的.然而,匿名網(wǎng)絡在保護用戶隱私信息的同時,也為不法分子所利用,保護自身信息,逃避追查,而肆意進行網(wǎng)絡犯罪活動.匿名網(wǎng)絡給網(wǎng)絡犯罪調查與追蹤帶來了極大的困難和嚴峻的挑戰(zhàn).本文概述了匿名網(wǎng)絡的結構與工作機制,重點分析典型匿名網(wǎng)絡的工作原理,然后對匿名網(wǎng)絡的追蹤問題進行了總體描述,并分析有效的匿名網(wǎng)絡追蹤技術和分類等問題,展望匿名網(wǎng)絡追蹤溯源的發(fā)展趨勢.1相關研究1.1tor匿名網(wǎng)絡匿名(anonymity)一般是指通信實體的一種狀態(tài),“在一組對象的集合(匿名集合)中不可識別的狀態(tài)”,即無法從一組對象中確定其中某個對象與某事件相關聯(lián).因此,匿名網(wǎng)絡就由能夠為網(wǎng)絡通信用戶提供匿名服務的軟硬件組件構成的網(wǎng)絡.匿名網(wǎng)絡的先驅Chaum在1981年提出了基于節(jié)點混淆(mix)的通信方式,混合多個發(fā)送者的消息,傳送給接受者,借以解決電子郵件不可追蹤問題.1985年,Chaum又提出了以疊加發(fā)送的DC-鏈為基礎的網(wǎng)絡匿名方案.1998年Reed等人在OnionRouting算法的基礎上,實現(xiàn)了一種名為洋蔥路由匿名網(wǎng)絡.該匿名網(wǎng)絡通過層層加密技術將用戶的標識信息進行多層加密,按事先指定的路由信息發(fā)送給接受者,以提供雙向、低延時的匿名通信.起源于2003年的第2代Tor(TheSecondOnionRouter)系統(tǒng)是第2代基于OnionRouting算法的匿名網(wǎng)絡.Tor匿名網(wǎng)絡是一個低延時、基于TCP流,具有抵御流量分析,保護用戶隱私不泄露的分布式匿名網(wǎng)絡.目前在全球召集志愿者的方式運行并維護中繼節(jié)點,廣泛分布在Internet中,是最成功的公共匿名網(wǎng)絡之一.Tor匿名網(wǎng)絡屬于一種混合網(wǎng)絡(overlaynetwork),支持SOCKS5和動態(tài)代理鏈的匿名網(wǎng)絡,能夠實現(xiàn)匿名的Web瀏覽與發(fā)布、即時通訊、IRC、SSH和其他基于TCP協(xié)議的應用.Tor匿名網(wǎng)絡本身采用集中目錄式管理結構,其組成包括目錄服務器(directoryserver)、洋蔥路由器OR(onionrouter)和部署在用戶端的洋蔥代理程序OP(onionproxy).如圖1所示.每一個洋蔥路由器分別TLS(安全傳輸層協(xié)議)連接其前后每一個洋蔥路由器.每一個用戶運行本地的洋蔥代理(onionproxy,OP)獲取目錄,建立網(wǎng)絡鏈路,并處理用戶應用的連接.實際中,洋蔥代理、路由和目錄服務都集成在Tor匿名網(wǎng)絡軟件中.Alice與Bob進行匿名通信前,先下載目錄服務器中的洋蔥路由等信息,選擇匿名傳輸出口(OR3),然后確認匿名傳輸?shù)娜肟?OR1)和中繼節(jié)點(OR2);確定通信節(jié)點后,通過匿名協(xié)議構建匿名信道,實現(xiàn)匿名通信.在Tor匿名網(wǎng)絡中將使用兩類長度固定的消息格式,如圖2所示,分為控制和傳輸兩類.控制消息在建立匿名通信時使用,傳輸消息用于匿名通信過程中的數(shù)據(jù)傳輸.匿名網(wǎng)絡的通信流程如圖3所示,由發(fā)起匿名通信端(Alice)與通信方(Bob)建立匿名通信通道,通過匿名代理節(jié)點逐級完成匿名通道建立;完成匿名通道建立后,可通過該通道收發(fā)數(shù)據(jù)報文.匿名網(wǎng)絡將按照匿名通信的消息格式進行數(shù)據(jù)分割、加密、解密,將數(shù)據(jù)匿名送達接收端(Bob).匿名通信結束,通過控制消息關閉該匿名信道,釋放資源.1.2tor匿名網(wǎng)絡的技術框架根據(jù)Pfitzmann和Waidner對匿名處理機理分類,可以將網(wǎng)絡匿名機理分為發(fā)送者匿名、接收者匿名和通信鏈路匿名.顧名思義,發(fā)送者匿名是指在通信過程中,對發(fā)送者身份等信息進行匿名處理,使得無法識別確定發(fā)送者信息.接收者匿名與發(fā)送者匿名處理相同,只是隱藏處理的是接收者信息.通信鏈路匿名是對通信雙方的通信鏈路的匿名處理,隱藏通信鏈路,達到即便已知通信雙方,也無法識別確認其相互通信鏈路的目的.顯然,僅依靠加密技術是不能保證匿名處理的有效性.大量的數(shù)據(jù)分析處理技術證明,通過數(shù)據(jù)的相關分析,能夠實現(xiàn)加密數(shù)據(jù)與其源數(shù)據(jù)間的關聯(lián),從而確認發(fā)送者與接收者的關系.具體的匿名技術有代理技術、混淆技術和流處理技術,流處理包括流分割(flowspliting)、流合并(flowmerging)等方法.Wang等人在《NetworkFlowWatermarkingAttackonLow-LatencyAnonymousCommunicationSystems》一文中從流處理的角度對當前主要的匿名技術進行了分析歸類,將流匿名技術細分為數(shù)據(jù)流內(intra-flow)匿名處理和數(shù)據(jù)流間(inter-flow)匿名處理.其中,數(shù)據(jù)流內匿名處理是指匿名處理只針對數(shù)據(jù)流本身,與其他數(shù)據(jù)流無關,具體方法包括加擾(addingchaff)、丟棄(packetdropping)和重組(repacketization),其原理如圖4所示:數(shù)據(jù)流間匿名處理指在數(shù)據(jù)流匿名處理過程中與網(wǎng)絡中其他數(shù)據(jù)流相關聯(lián),通過數(shù)據(jù)流間的相互操作實現(xiàn)數(shù)據(jù)流的匿名處理,具體方法包括流混淆(flow-mixing)、流分割(flow-spliting)和流合并(flow-merging),其原理如圖5所示:當前主要的匿名網(wǎng)絡都采用流處理和加密技術相結合的方式進行匿名處理,實現(xiàn)身份信息的高度匿名化.Tor匿名網(wǎng)絡使用固定的數(shù)據(jù)包長度傳輸信息,屬于包重組匿名處理方式;NetCamo和Tarzan匿名網(wǎng)絡則故意在傳輸?shù)臄?shù)據(jù)流中加入擾動,實現(xiàn)鏈路匿名化處理;Work使用隨機的丟棄數(shù)據(jù)包的方式,達到匿名化處理和防止時間相關攻擊,實現(xiàn)鏈路隱藏,Hordes使用組播方式,可以視為一種數(shù)據(jù)流分割技術,實現(xiàn)發(fā)送者的匿名化.所有基于混淆技術的匿名網(wǎng)絡則綜合使用了包重組、流混淆技術,實現(xiàn)發(fā)送者、接收者和通信鏈路的隱藏.綜上所述,可以看到匿名網(wǎng)絡的發(fā)展使得新型的匿名網(wǎng)絡總是混合使用多種匿名機制和技術實現(xiàn)更為復雜的匿名.匿名網(wǎng)絡正呈現(xiàn)出混合使用多種匿名機制,從信息數(shù)據(jù)匿名、路由匿名、接收者匿名、發(fā)送者匿名等網(wǎng)絡通信涉及的各個環(huán)節(jié)進行匿名處理,實現(xiàn)網(wǎng)絡通信全方位的匿名.1.3采取匿名化技術網(wǎng)絡追蹤溯源指確定網(wǎng)絡攻擊者身份或位置,以及攻擊的中間介質的過程.身份指攻擊者名字、帳號或與之有關系的類似信息;位置包括其地理位置或虛擬地址,如IP地址、MAC地址等.由于匿名網(wǎng)絡對通信雙方信息及通信鏈路,采取多種匿名化處理技術和加密技術進行處理,防止信息泄露和追蹤定位.匿名網(wǎng)絡中傳輸?shù)臄?shù)據(jù)具有較強的匿名性,長度一致,且無任何相關性(時間、信息等),無法直接通過數(shù)據(jù)相關分析識別各通信鏈路的關聯(lián);而信息的機密性由加密技術保證.隨著技術的發(fā)展,各種匿名器、匿名軟件、代理和匿名網(wǎng)絡發(fā)展迅速,為網(wǎng)絡攻擊者提供了良好的身份隱匿工具,網(wǎng)絡攻擊者利用匿名網(wǎng)絡的特性,隱藏自身信息,使得網(wǎng)絡管理部門及司法部門難于確定網(wǎng)絡攻擊者信息,取證困難,防范困難.網(wǎng)絡追蹤溯源技術可大致分為日志類、包標記等方法.由于匿名網(wǎng)絡的上述特點,通常所使用的網(wǎng)絡追蹤溯源技術在匿名網(wǎng)絡中根本無法發(fā)揮其功能,無法有效獲取匿名網(wǎng)絡中數(shù)據(jù)傳輸路徑信息,實現(xiàn)追蹤定位.2通過滲透性能的滲透追蹤方式確認局域網(wǎng)的相關性匿名網(wǎng)絡的追蹤溯源可分為調制追蹤和滲透追蹤兩類.調制追蹤是通過對匿名網(wǎng)絡中傳輸數(shù)據(jù)進行調制處理,將諸如水印等標識信息嵌入匿名網(wǎng)絡數(shù)據(jù)中,在接收端解調處理,獲取水印標識信息,以此確認網(wǎng)絡數(shù)據(jù)流關系.滲透追蹤是采用網(wǎng)絡滲透方式,進入匿名網(wǎng)絡或其節(jié)點,參與或破壞匿名網(wǎng)絡通信活動,進而觀測匿名網(wǎng)絡通信的變化,以此確認網(wǎng)絡通信的相關性,實現(xiàn)匿名網(wǎng)絡的追蹤.2.1擴頻調制技術匿名網(wǎng)絡調制追蹤是將匿名網(wǎng)絡視為“黑盒”處理,利用網(wǎng)絡數(shù)據(jù)流的特征或在流中加入標記,將進出這個“黑盒”的輸入流和輸出流加以關聯(lián)分析,從而識別出網(wǎng)絡主體間的通信關系.基于數(shù)據(jù)流水印調制追蹤技術先后出現(xiàn)了Wang等人提出的VoIP匿名流識別的主動水印技術;Fu等人提出的無線匿名通信網(wǎng)絡的流標記追蹤技術;Wang等人提出的基于包抵達時間的流水印技術.2007年Yu等人提出直序擴頻技術,將水印信號擴頻后調制流速率的方式嵌入通信流中,提高了流水印的檢測率.2009年Houmansadr等人提出一種非盲檢測流水印,減小流的調制幅度,增強了流水印的隱秘性.流水印技術的基本原理如圖6所示,為確定Alice和Bob之間的通信關系,位于Alice處的調制器將水印嵌入需追蹤的通信流中,當通信流經(jīng)過匿名系統(tǒng)后,位于Bob處的網(wǎng)絡解調器從流中提取水印.若兩端的水印信號相匹配,則可確認Alice和Bob之間存在著通信聯(lián)系.調制追蹤技術中,較為著名的是Yu等人提出的直序擴頻(DSSS)技術,其原理如圖7所示:直序擴頻技術將水印信息擴頻后調制網(wǎng)絡數(shù)據(jù)流速率,將水印信息嵌入通信流中,提高了水印檢測的成功率.發(fā)送端使用偽隨機數(shù)序列對源數(shù)據(jù)流進行擴頻調制,接收端通過解擴頻處理,恢復原始數(shù)據(jù),以此確定雙方的通信關系.在DSSS中使用偽隨機數(shù)ct擴頻處理原始數(shù)據(jù)dt獲得tb,ct是一個一維矩陣(1×Nc),則tb=dt·ct.dr=∑(rb?cr)Nc=dt∑(ct?cr)Nc.dr=∑(rb?cr)Νc=dt∑(ct?cr)Νc.假設通信良好,可保證接收端收到的數(shù)據(jù)流rb與發(fā)送端tb相同,通過解擴頻處理可得原始數(shù)據(jù)流dr.如果cr=ct,即收發(fā)兩端的偽隨機序列完全同步,則cr·ct=1,1是一個所有元素等于1的矩陣(1×Nc),接收端將能夠恢復出原始數(shù)據(jù)流:dr=∑(rb?cr)Nc=dt∑(ct?cr)Nc=dtNcNc=dt.dr=∑(rb?cr)Νc=dt∑(ct?cr)Νc=dtΝcΝc=dt.如果cr≠ct,即收發(fā)兩端不同步,接收端沒有相同的隨機序列,dr≠dt則無法恢復出原始數(shù)據(jù)流.基于擴頻調制的流水印通過擴頻技術對水印信號進行編碼,將其嵌入通信流中以確認網(wǎng)絡主體間的通信關系,可以有效地對匿名網(wǎng)絡進行追蹤.流水印的實施分為編碼、調制、解調、解碼等步驟.其中,水印載體的選擇尤為重要,關系到水印的健壯性和隱秘性.由于大部分匿名通信應用,如Web瀏覽、即時通信、遠程登錄等均產(chǎn)生交互式流量,其速率是不穩(wěn)定的.若流速率波動較大,對慢速流施加弱干涉,其速率仍然相對較慢;對快速流施加強干涉,其速率仍然相對較快.由于對水印載體的調制并未產(chǎn)生預期的效果,在濾去直流分量后將無法準確識別出對流施加的是何種干涉,從而無法提取出正確的水印信號,導致追蹤時產(chǎn)生漏報或誤報.因此,要保證追蹤的準確性,穩(wěn)定的水印載體至關重要.在擴頻流水印模型的基礎上,Wang等人、張路等人引入與特定流無關的基于時隙質心的水印載體,增強水印的穩(wěn)定性和有效性.在調制追蹤中還有一種基于網(wǎng)絡溫度的時間抖動分析技術,于2006年Murdoch提出,用來確認匿名網(wǎng)絡中的通信關系.該技術以網(wǎng)絡信息設備硬件芯片溫度變化導致網(wǎng)絡數(shù)據(jù)傳輸處理過程產(chǎn)生一定的時間抖動為事實依據(jù).通過向匿名網(wǎng)絡發(fā)送大量數(shù)據(jù),致使網(wǎng)絡信息設備數(shù)據(jù)處理負荷增加,使得設備處理芯片溫度增加,從而影響其數(shù)據(jù)傳輸處理時間,增大數(shù)據(jù)網(wǎng)絡傳輸?shù)臅r間抖動.據(jù)此通過對網(wǎng)絡中傳輸數(shù)據(jù)的時間相關分析,能夠識別同一處理節(jié)點前后的數(shù)據(jù)相關性,進而確定網(wǎng)絡中數(shù)據(jù)傳輸鏈路的關系.2.2分布式匿名網(wǎng)絡追蹤匿名網(wǎng)絡滲透追蹤是指采用網(wǎng)絡滲透攻擊方式,進入匿名網(wǎng)絡或匿名網(wǎng)絡中的節(jié)點,參與或破壞匿名網(wǎng)絡通信活動,進而觀測匿名網(wǎng)絡通信的變化,以此確認網(wǎng)絡通信的相關性,實現(xiàn)匿名網(wǎng)絡的追蹤.1基于重放的匿名通信2008年Pries等人提出了一種采用重放攻擊的Tor匿名網(wǎng)絡追蹤技術.該重放攻擊針對Tor匿名網(wǎng)絡采用AES計數(shù)器加密模式(AES-CTR)的情景.由于AES計數(shù)器模式要求收發(fā)兩端的計數(shù)器同步,中途計數(shù)器一旦失步將導致后續(xù)加解密操作失敗.基于此,Pries等人提出重放攻擊,人為改變匿名網(wǎng)絡中的計數(shù)器,使得計數(shù)器失步影響匿名通信過程.該方法通過網(wǎng)絡滲透方式控制Tor匿名網(wǎng)絡中的一個或多個節(jié)點,對Tor匿名網(wǎng)絡傳輸?shù)臄?shù)據(jù)進行重放,使得接收端匿名通信失敗,據(jù)此分析判定發(fā)送方與接收方之間的通信關系.Pries等人對重放數(shù)據(jù)的選取進行深入分析,以不影響匿名通信通道建立為前提的準則選取重放數(shù)據(jù)單元,否則將大大降低通信追蹤效率和準確率.2基于數(shù)據(jù)注入的追蹤定位技術2006年Christensen在《PracticalOnionHacking:FindingtherealaddressofTorclients》一文中詳細描述了一種采用數(shù)據(jù)注入的方式實現(xiàn)對Tor匿名網(wǎng)絡的追蹤定位.其原理如圖9所示,該技術類似與中間人攻擊,通過中間人攻擊,在