Луковая маршрутизация

Ключевая особенность системы — каждый промежуточный узел маршрута знает строго минимальный объём информации: только, откуда получено сообщение, и только, куда его следует переслать. Таким образом, ни один промежуточный маршрутизатор не может знать одновременно отправителя и получателя, а содержимое сообщения известно лишь конечному получателю^[4].

Схема работы включает следующие этапы:

• Инициатор создает соединение с прокси приложений (англ. Application Proxy), который транслирует специфический прикладной протокол пользователя во внутренний, пригодный для передачи по сети маршрутизаторов.
• Далее прокси отправляет сообщения на луковый прокси (англ. Onion Proxy, OP), который определяет маршрут, строит структуру данных — собственно «луковицу» (англ. onion/onion forward), содержащую отдельный слой шифра для каждого маршрутизатора.
• Если E_{PK}(data) — шифрование публичным ключом PK, D_{SK}(data) — расшифровка приватным ключом,

 если маршрут — узлы 4, 3, 5, то структура шифрования будет:
 : E_{PK_4}(адрес_3, E_{PK_3}(адрес_5, E_{PK_5}(данные)))

• Луковый прокси отправляет «луковицу» во входной узел маршрута (entry funnel), который снимает свой слой, определяет адрес следующего, передаёт сообщение ему.
• Итоговый (выходной) маршрутизатор (exit funnel) извлекает исходное сообщение, адресованное получателю, и пересылает его.
• Ответное сообщение проходит обратный путь, заворачиваясь новым слоем шифрования на каждом маршрутизаторе (reply onion) до OP, который расшифровывает все слои.

Обеспечение безопасности луковых сетей — область активных исследований. Хотя предложены действенные методы повышения безопасности и производительности, проблемы сохраняются.

Если наблюдать входящий и выходящий трафик маршрутизатора, можно попытаться сопоставить пакеты и частично деанонимизировать связь. Для усложнения анализа применяются:

• Введение искусственных задержек обработки сообщений;
• Добавление «пустых» — бесполезных, но маскирующих — пакетов (трафик-заполнитель);
• Передача сообщений фиксированного размера (так называемые ячейки);
• Группировка пакетов и объединение с управляющим трафиком и заполнительными сообщениями (по принципу чесночной маршрутизации, используемой, например, в I2P и Perfect Dark)^[5][6].

Каждый прикладной протокол требует отдельного прокси. Это ограничивает совместимость. В новых проектах (например, в Tor) используют универсальный прокси-интерфейс (например, SOCKS), позволяя проксировать любые приложения, поддерживающие этот стандарт.

К луковым сетям применимы атаки повторного воспроизведения (англ. replay attacks), когда записанное сообщение снова вводится в сеть для создания перегрузки или рассогласования (атаки отказа в обслуживании — DoS). Для защиты роутеры отслеживают, обрабатывалось ли уже данное сообщение, и присваивают срок действия пакету, по истечении которого он уничтожается^[6].

Узлы должны знать параметры работы (например, список активных маршутизаторов, их адреса и ключи). В ряде систем они распространяются через специальные веб-страницы или службы каталогов (Directory Service), администрируемые доверенными лицами (например, в Tor или Mixminion). Также возможно зеркалирование (репликация справочников), что снижает нагрузку на каталог.

Функция службы каталогов, кроме обеспечения работоспособности, позволяет предотвращать атаку путём внедрения злонамеренных узлов — каждый новый маршрутизатор утверждается через службу^[7].

В некоторых системах (например, Tor) поддерживаются политики выхода (англ. exit policies) — набор разрешённых для использования IP-адресов и портов для конкретного узла (exit node); также могут применяться политики входа (entry policy), например, в организациях^[8].

В реальных сетях необходимо балансировать нагрузку и контролировать потоки данных. Некоторые системы (например, Tor) позволяют обнаруживать перегрузку и временно ограничивать поступление данных на перегруженные участки^[8].

Многие луковые сети (например, Tor) реализуют контроль целостности сообщений для предотвращения вмешательства в их содержимое какими-либо промежуточными узлами. Проверка выполняется перед выходом исходящих данных из сети^[8].

Для повышения эффективности и анонимности возможна мультиплексированная передача нескольких потоков по одному луковому каналу^[8].

В некоторых сетях возможно динамическое изменение числа промежуточных узлов. Например, Tor реализует топологию leaky-pipe, позволяя покидать цепочку через промежуточный узел, что усложняет атаки, нацеленные на выходные узлы^[8].

Использование асимметричного (публичного) шифрования для каждого слоя крайне ресурсоёмко для низколатентных приложений. Поэтому на практике используют симметричное шифрование для передачи данных внутри уже установленных каналов, ключи для которых договариваются с помощью асимметричного шифрования (сеансовый ключ)^[3].

Процесс работы схемы с симметричными ключами:

• Между участниками канала договариваются симметричные ключи;
• Каждый узел снимает свой симметричный слой защиты с поступающего сообщения;
• Ответ формируется аналогично — на каждом узле добавляется новый слой симметричного шифрования^[3].

Существует ряд подходов к организации канала передачи с использованием симметричных и асимметричных схем; однако каждый из них имеет свои ограничения, и эта задача остаётся открытой^[3].

Важнейшее отличие различных систем луковой маршрутизации — выбор типа криптографии и способа её применения, что критично для эффективности и безопасности.

По схеме, описанной в исходной концепции^[1], уязвимость заключается в следующем: если злоумышленник записывает всё взаимодействие маршрутизаторов, а затем получит их приватные ключи (например, через компрометацию), то может расшифровать прошлый трафик. Для смягчения угрозы ключи должны регулярно обновляться, а устаревшие — немедленно уничтожаться, что приводит к дополнительным накладным расходам и снижает масштабируемость системы^[9][10].

В ряде систем (например, Onion Routing) симметричные ключи для каждого участка цепи договариваются заранее (через публичные ключи) и используются для передачи данных^[11]. Главный недостаток подхода — отсутствие perfect forward secrecy (идеальной прямой секретности): если злоумышленник контролирует начальный маршрутизатор (или вскроет его ключ впоследствии), имеются сценарии компрометации всего канала^[9].

Другая схема построения канала (используемая в Tor и некоторых remailer-сетях) предполагает пошаговое установление симметричного канала с каждым маршрутизатором, в том числе за счёт последовательного туннелирования запросов с использованием протокола Диффи–Хеллмана^[12]. Такой подход обеспечивает perfect forward secrecy и эффективнее защищает прошлые сессии, даже если позже приватный ключ маршрутизатора скомпрометирован^[7].

Для упрощения обмена и снижения вычислительных затрат предлагаются схемы с формированием всего канала в один проход, но такие схемы не обеспечивают немедленной прямой секретности (immediate forward secrecy)^[13][14].

Альтернативные схемы (например, PB-OR, fs-ID-OR) используют криптографию на основе идентификаторов, ключи к которым выдаёт надёжный центр сертификации (англ. Key Generation Center), иногда с распределением полномочий по сети^[15]. Это даёт eventual forward secrecy (постепенную прямую секретность), но приводит к централизованным точкам отказа и иной специфике угроз^[13].

Каталано и др^[14]. предложили систему CL-OR, позволяющую формировать каналы без центра сертификации, но при этом проблемы масштабирования системы сохраняются^[10][13].

Луковая маршрутизация традиционно защищает инициатора, но существуют схемы для обеспечения анонимности получателя, например, через reply onions и точки встречи (англ. Rendezvous Points)^[8][16].

В Onion Routing реализована возможность использовать reply onions^[17][18]. Такой «ответный лук» создаётся инициатором и передаётся получателю для возможной обратной связи. Эта структура содержит маршрут и все необходимые ключевые данные для установления канала к отправителю^[18].

Концепция точек встречи (англ. Rendezvous Points) заключается в организации опосредованной связи через третье лицо, выступающее в качестве точки обмена сообщениями между анонимными сторонами. Данную технологию поддерживают Tor и ранее — Onion Routing^[3].

Сервисы, скрывающие своё расположение (например, IP-адрес), называются скрытыми сервисами (англ. hidden services) или сервисами скрытого расположения (англ. location-hidden services). Для анонимного доступа сервер генерирует пару ключей, регистрирует адрес формата <hash>.onion в каталоге и сообщает информацию о точках входа (introduction points). Клиент, используя каталог (через Tor), связывается с точкой входа, а затем канал устанавливается через точку встречи^[8][16].

• Сети высокой латентности — сознательно добавляют большие и переменные задержки, обеспечивая наивысший уровень анонимности ценой невозможности интерактивной работы (пример: MixMaster, Babel, Mixminion).
• Сети низкой латентности — минимизируют задержки ради скорости, что полезно для интерактивных сервисов (веб, чат, SSH), но затрудняет защиту от атак на основе анализа времени (пример: Freedom Network, Onion Routing, Tor)^[8].

• Сети с предварительно выстраиваемыми каналами (туннелями) — путь выбирается заранее (например, Freedom Network, Onion Routing).
• Сети с поэтапным построением маршрута — путь формируется постепенно в процессе (например, Tor).
• Сети с динамическим выбором маршрута для каждого пакета — так называемая Dynamic Multipath Onion Routing (пример: MORE)^[19].

• Статические сети с ограниченным числом известных луковых маршрутизаторов (пример: Onion Routing, Freedom Network, Tor). Класс подразделяется на:
  • Добровольческие — маршрутизаторы размещены добровольцами (MixMaster, Tor).
  • Коммерческие — маршрутизаторы предоставляются компанией как платный сервис (пример: Freedom Network).
• Динамические сети — новые маршрутизаторы появляются и исчезают постоянно (пример: Tarzan, MorphMix), часто реализуются на основе peer-to-peer.

• Анализ временных характеристик: сопоставление времени прохождения входящих и исходящих сообщений для вычисления цепочки передачи данных. Меры защиты — выравнивание размеров пакетов, пересадка сообщений, задержки^[8].
• Атаки отказа в обслуживании (DoS): вывод сети из строя через перегрузку криптографическими операциями или трафиком. Решения — внедрение систем «электронных монет» (например, Hashcash), требующих вычислительных усилий от клиента.

 ** Атаки повторного внедрения (replay): повторное введение записанных пакетов для перегрузки сети[6].

• Атаки пересечения (intersection attacks): анализ входа/выхода узлов в разные моменты для уменьшения пула возможных отправителей и их идентификации^[20][21].
• Атаки предшественника (predecessor attacks): задача заключается в анализе повторяющихся соединений между двумя абонентами; если один из маршрутизаторов скомпрометирован, он может построить вероятностную модель инициатора^[22].
• Контроль узлов выхода: перехват содержимого на выходных маршрутизаторах. Решение: использование сквозного шифрования (например, SSL)^[23].
• Дополнительные уязвимости — атаки на службу каталогов и точки встречи^[24].