网络信任保护名字网络的网络追踪

网络信任保护名字网络的网络追踪

随着社会的进步和网络的普及，信息安全和个人隐私的保护越来越受到重视。在电子商务、在线阅读等网络服务中，用户个人数据的安全性已成为安全面临的新领域。传统基于密码技术的安全注重保护信息，无法有效隐藏通信双方的身份和通信模式。攻击者可以通过ip消息轻易接收源地址、目的地地址和用户id信息。为充分保护用户自由言论和个人隐私不被泄露,匿名网络成为互联网上用于保护用户隐私的重要而有效手段,从网络通信层面防止信息泄露、流量分析和用户身份特征分析,保护双方通信关系等.到目前为止,业界已设计出了多种匿名网络,如Crowds,Tor,Anonymizer等.匿名网络采用重路由、数据流混淆、加密等多种匿名技术手段隐藏通信双方关系等信息,达到保护通信者身份及隐私的目的.然而,匿名网络在保护用户隐私信息的同时,也为不法分子所利用,保护自身信息,逃避追查,而肆意进行网络犯罪活动.匿名网络给网络犯罪调查与追踪带来了极大的困难和严峻的挑战.本文概述了匿名网络的结构与工作机制,重点分析典型匿名网络的工作原理,然后对匿名网络的追踪问题进行了总体描述,并分析有效的匿名网络追踪技术和分类等问题,展望匿名网络追踪溯源的发展趋势.1相关研究1.1tor匿名网络匿名(anonymity)一般是指通信实体的一种状态,“在一组对象的集合(匿名集合)中不可识别的状态”,即无法从一组对象中确定其中某个对象与某事件相关联.因此,匿名网络就由能够为网络通信用户提供匿名服务的软硬件组件构成的网络.匿名网络的先驱Chaum在1981年提出了基于节点混淆(mix)的通信方式,混合多个发送者的消息,传送给接受者,借以解决电子邮件不可追踪问题.1985年,Chaum又提出了以叠加发送的DC-链为基础的网络匿名方案.1998年Reed等人在OnionRouting算法的基础上,实现了一种名为洋葱路由匿名网络.该匿名网络通过层层加密技术将用户的标识信息进行多层加密,按事先指定的路由信息发送给接受者,以提供双向、低延时的匿名通信.起源于2003年的第2代Tor(TheSecondOnionRouter)系统是第2代基于OnionRouting算法的匿名网络.Tor匿名网络是一个低延时、基于TCP流,具有抵御流量分析,保护用户隐私不泄露的分布式匿名网络.目前在全球召集志愿者的方式运行并维护中继节点,广泛分布在Internet中,是最成功的公共匿名网络之一.Tor匿名网络属于一种混合网络(overlaynetwork),支持SOCKS5和动态代理链的匿名网络,能够实现匿名的Web浏览与发布、即时通讯、IRC、SSH和其他基于TCP协议的应用.Tor匿名网络本身采用集中目录式管理结构,其组成包括目录服务器(directoryserver)、洋葱路由器OR(onionrouter)和部署在用户端的洋葱代理程序OP(onionproxy).如图1所示.每一个洋葱路由器分别TLS(安全传输层协议)连接其前后每一个洋葱路由器.每一个用户运行本地的洋葱代理(onionproxy,OP)获取目录,建立网络链路,并处理用户应用的连接.实际中,洋葱代理、路由和目录服务都集成在Tor匿名网络软件中.Alice与Bob进行匿名通信前,先下载目录服务器中的洋葱路由等信息,选择匿名传输出口(OR3),然后确认匿名传输的入口(OR1)和中继节点(OR2);确定通信节点后,通过匿名协议构建匿名信道,实现匿名通信.在Tor匿名网络中将使用两类长度固定的消息格式,如图2所示,分为控制和传输两类.控制消息在建立匿名通信时使用,传输消息用于匿名通信过程中的数据传输.匿名网络的通信流程如图3所示,由发起匿名通信端(Alice)与通信方(Bob)建立匿名通信通道,通过匿名代理节点逐级完成匿名通道建立;完成匿名通道建立后,可通过该通道收发数据报文.匿名网络将按照匿名通信的消息格式进行数据分割、加密、解密,将数据匿名送达接收端(Bob).匿名通信结束,通过控制消息关闭该匿名信道,释放资源.1.2tor匿名网络的技术框架根据Pfitzmann和Waidner对匿名处理机理分类,可以将网络匿名机理分为发送者匿名、接收者匿名和通信链路匿名.顾名思义,发送者匿名是指在通信过程中,对发送者身份等信息进行匿名处理,使得无法识别确定发送者信息.接收者匿名与发送者匿名处理相同,只是隐藏处理的是接收者信息.通信链路匿名是对通信双方的通信链路的匿名处理,隐藏通信链路,达到即便已知通信双方,也无法识别确认其相互通信链路的目的.显然,仅依靠加密技术是不能保证匿名处理的有效性.大量的数据分析处理技术证明,通过数据的相关分析,能够实现加密数据与其源数据间的关联,从而确认发送者与接收者的关系.具体的匿名技术有代理技术、混淆技术和流处理技术,流处理包括流分割(flowspliting)、流合并(flowmerging)等方法.Wang等人在《NetworkFlowWatermarkingAttackonLow-LatencyAnonymousCommunicationSystems》一文中从流处理的角度对当前主要的匿名技术进行了分析归类,将流匿名技术细分为数据流内(intra-flow)匿名处理和数据流间(inter-flow)匿名处理.其中,数据流内匿名处理是指匿名处理只针对数据流本身,与其他数据流无关,具体方法包括加扰(addingchaff)、丢弃(packetdropping)和重组(repacketization),其原理如图4所示:数据流间匿名处理指在数据流匿名处理过程中与网络中其他数据流相关联,通过数据流间的相互操作实现数据流的匿名处理,具体方法包括流混淆(flow-mixing)、流分割(flow-spliting)和流合并(flow-merging),其原理如图5所示:当前主要的匿名网络都采用流处理和加密技术相结合的方式进行匿名处理,实现身份信息的高度匿名化.Tor匿名网络使用固定的数据包长度传输信息,属于包重组匿名处理方式;NetCamo和Tarzan匿名网络则故意在传输的数据流中加入扰动,实现链路匿名化处理;Work使用随机的丢弃数据包的方式,达到匿名化处理和防止时间相关攻击,实现链路隐藏,Hordes使用组播方式,可以视为一种数据流分割技术,实现发送者的匿名化.所有基于混淆技术的匿名网络则综合使用了包重组、流混淆技术,实现发送者、接收者和通信链路的隐藏.综上所述,可以看到匿名网络的发展使得新型的匿名网络总是混合使用多种匿名机制和技术实现更为复杂的匿名.匿名网络正呈现出混合使用多种匿名机制,从信息数据匿名、路由匿名、接收者匿名、发送者匿名等网络通信涉及的各个环节进行匿名处理,实现网络通信全方位的匿名.1.3采取匿名化技术网络追踪溯源指确定网络攻击者身份或位置,以及攻击的中间介质的过程.身份指攻击者名字、帐号或与之有关系的类似信息;位置包括其地理位置或虚拟地址,如IP地址、MAC地址等.由于匿名网络对通信双方信息及通信链路,采取多种匿名化处理技术和加密技术进行处理,防止信息泄露和追踪定位.匿名网络中传输的数据具有较强的匿名性,长度一致,且无任何相关性(时间、信息等),无法直接通过数据相关分析识别各通信链路的关联;而信息的机密性由加密技术保证.随着技术的发展,各种匿名器、匿名软件、代理和匿名网络发展迅速,为网络攻击者提供了良好的身份隐匿工具,网络攻击者利用匿名网络的特性,隐藏自身信息,使得网络管理部门及司法部门难于确定网络攻击者信息,取证困难,防范困难.网络追踪溯源技术可大致分为日志类、包标记等方法.由于匿名网络的上述特点,通常所使用的网络追踪溯源技术在匿名网络中根本无法发挥其功能,无法有效获取匿名网络中数据传输路径信息,实现追踪定位.2通过渗透性能的渗透追踪方式确认局域网的相关性匿名网络的追踪溯源可分为调制追踪和渗透追踪两类.调制追踪是通过对匿名网络中传输数据进行调制处理,将诸如水印等标识信息嵌入匿名网络数据中,在接收端解调处理,获取水印标识信息,以此确认网络数据流关系.渗透追踪是采用网络渗透方式,进入匿名网络或其节点,参与或破坏匿名网络通信活动,进而观测匿名网络通信的变化,以此确认网络通信的相关性,实现匿名网络的追踪.2.1扩频调制技术匿名网络调制追踪是将匿名网络视为“黑盒”处理,利用网络数据流的特征或在流中加入标记,将进出这个“黑盒”的输入流和输出流加以关联分析,从而识别出网络主体间的通信关系.基于数据流水印调制追踪技术先后出现了Wang等人提出的VoIP匿名流识别的主动水印技术;Fu等人提出的无线匿名通信网络的流标记追踪技术;Wang等人提出的基于包抵达时间的流水印技术.2007年Yu等人提出直序扩频技术,将水印信号扩频后调制流速率的方式嵌入通信流中,提高了流水印的检测率.2009年Houmansadr等人提出一种非盲检测流水印,减小流的调制幅度,增强了流水印的隐秘性.流水印技术的基本原理如图6所示,为确定Alice和Bob之间的通信关系,位于Alice处的调制器将水印嵌入需追踪的通信流中,当通信流经过匿名系统后,位于Bob处的网络解调器从流中提取水印.若两端的水印信号相匹配,则可确认Alice和Bob之间存在着通信联系.调制追踪技术中,较为著名的是Yu等人提出的直序扩频(DSSS)技术,其原理如图7所示:直序扩频技术将水印信息扩频后调制网络数据流速率,将水印信息嵌入通信流中,提高了水印检测的成功率.发送端使用伪随机数序列对源数据流进行扩频调制,接收端通过解扩频处理,恢复原始数据,以此确定双方的通信关系.在DSSS中使用伪随机数ct扩频处理原始数据dt获得tb,ct是一个一维矩阵(1×Nc),则tb=dt·ct.dr=∑(rb⋅cr)Nc=dt∑(ct⋅cr)Nc.dr=∑(rb⋅cr)Νc=dt∑(ct⋅cr)Νc.假设通信良好,可保证接收端收到的数据流rb与发送端tb相同,通过解扩频处理可得原始数据流dr.如果cr=ct,即收发两端的伪随机序列完全同步,则cr·ct=1,1是一个所有元素等于1的矩阵(1×Nc),接收端将能够恢复出原始数据流:dr=∑(rb⋅cr)Nc=dt∑(ct⋅cr)Nc=dtNcNc=dt.dr=∑(rb⋅cr)Νc=dt∑(ct⋅cr)Νc=dtΝcΝc=dt.如果cr≠ct,即收发两端不同步,接收端没有相同的随机序列,dr≠dt则无法恢复出原始数据流.基于扩频调制的流水印通过扩频技术对水印信号进行编码,将其嵌入通信流中以确认网络主体间的通信关系,可以有效地对匿名网络进行追踪.流水印的实施分为编码、调制、解调、解码等步骤.其中,水印载体的选择尤为重要,关系到水印的健壮性和隐秘性.由于大部分匿名通信应用,如Web浏览、即时通信、远程登录等均产生交互式流量,其速率是不稳定的.若流速率波动较大,对慢速流施加弱干涉,其速率仍然相对较慢;对快速流施加强干涉,其速率仍然相对较快.由于对水印载体的调制并未产生预期的效果,在滤去直流分量后将无法准确识别出对流施加的是何种干涉,从而无法提取出正确的水印信号,导致追踪时产生漏报或误报.因此,要保证追踪的准确性,稳定的水印载体至关重要.在扩频流水印模型的基础上,Wang等人、张路等人引入与特定流无关的基于时隙质心的水印载体,增强水印的稳定性和有效性.在调制追踪中还有一种基于网络温度的时间抖动分析技术,于2006年Murdoch提出,用来确认匿名网络中的通信关系.该技术以网络信息设备硬件芯片温度变化导致网络数据传输处理过程产生一定的时间抖动为事实依据.通过向匿名网络发送大量数据,致使网络信息设备数据处理负荷增加,使得设备处理芯片温度增加,从而影响其数据传输处理时间,增大数据网络传输的时间抖动.据此通过对网络中传输数据的时间相关分析,能够识别同一处理节点前后的数据相关性,进而确定网络中数据传输链路的关系.2.2分布式匿名网络追踪匿名网络渗透追踪是指采用网络渗透攻击方式,进入匿名网络或匿名网络中的节点,参与或破坏匿名网络通信活动,进而观测匿名网络通信的变化,以此确认网络通信的相关性,实现匿名网络的追踪.1基于重放的匿名通信2008年Pries等人提出了一种采用重放攻击的Tor匿名网络追踪技术.该重放攻击针对Tor匿名网络采用AES计数器加密模式(AES-CTR)的情景.由于AES计数器模式要求收发两端的计数器同步,中途计数器一旦失步将导致后续加解密操作失败.基于此,Pries等人提出重放攻击,人为改变匿名网络中的计数器,使得计数器失步影响匿名通信过程.该方法通过网络渗透方式控制Tor匿名网络中的一个或多个节点,对Tor匿名网络传输的数据进行重放,使得接收端匿名通信失败,据此分析判定发送方与接收方之间的通信关系.Pries等人对重放数据的选取进行深入分析,以不影响匿名通信通道建立为前提的准则选取重放数据单元,否则将大大降低通信追踪效率和准确率.2基于数据注入的追踪定位技术2006年Christensen在《PracticalOnionHacking:FindingtherealaddressofTorclients》一文中详细描述了一种采用数据注入的方式实现对Tor匿名网络的追踪定位.其原理如图9所示,该技术类似与中间人攻击,通过中间人攻击,在