Comment un gouvernement ingénieux bloquerait-il Tor?
Je suis tombé sur cet article en disant qu'après les attentats de Paris en novembre 2015 , certains policiers français ont proposé d'interdire Tor.
Tor est utilisé pour contourner la censure! Quelles techniques de sécurité les gouvernements utiliseraient-ils pour bloquer Tor?
Pour bloquer Tor, il suffit d'avoir la liste actuelle des nœuds Tor qui se trouve sur le lien suivant:
http://torstatus.blutmagie.de/ip_list_all.php/Tor_ip_list_ALL.csv
puis les bloquer dans les deux sens via les routeurs ou les pare-feu.
Cela dit, il y aura de nombreuses façons de contourner ces efforts, les gens peuvent toujours utiliser des VPN pour se connecter en dehors d'une zone donnée, puis exécuter le trafic Tor à partir d'un autre emplacement ou tunneler le trafic, mais cela bloquera efficacement la plupart des personnes les moins techniques de accéder à Tor.
De même, la liste suivante de nœuds de sortie Tor pourrait être utile pour empêcher le trafic Tor de se connecter à des sites Web donnés: https://check.torproject.org/exit-addresses
Je dirais qu'il est facile de rendre Tor difficile à utiliser, mais qu'il est extrêmement difficile de le rendre impossible à utiliser.
Gardez à l'esprit que les gouvernements disposant de ressources financières importantes peuvent dépenser de l'argent pour exécuter des outils tels que ZMAP.io pour trouver des serveurs Tor potentiels, y compris des ponts Tor, quelques minutes après leur démarrage. L'analyse continue de tout l'espace d'adressage IPv4 est devenue triviale pour ceux qui ont même un petit budget, donc une campagne pour trouver et bloquer les nœuds Tor pourrait facilement être très efficace, mais elle ne sera jamais absolue.
Enfin, gardez à l'esprit qu'une fois les utilisateurs de Tor identifiés, le gouvernement surveillera probablement les connexions futures de cet utilisateur pour localiser de nouveaux ponts Tor ou des connexions similaires.
Remarque: La tâche d'analyse d'IPv4 est devenue triviale mais le processus d'analyse de tout l'espace d'adressage IPv6 public serait radicalement ingérable en raison de l'échelle. Cela dit, un grand projet gouvernemental corrélant d'autres types de données tels que Netflow, un certain type de signatures de trafic ou une autre forme d'identification serait nécessaire pour identifier et bloquer le trafic Tor sur les réseaux IPv6.
Encore une fois, les gouvernements peuvent rendre Tor difficile à utiliser, mais il est extrêmement difficile de le rendre impossible à utiliser.
Il convient également de noter que les gouvernements utilisent également des tactiques supplémentaires pour identifier les utilisateurs anonymes. Pour protéger les utilisateurs finaux contre les risques liés aux cookies ou autres signatures susceptibles de fournir des informations supplémentaires sur les utilisateurs de Tor, il peut être judicieux d'utiliser un CD live anonyme tel que le suivant:
La visualisation Torflow peut également être intéressante:
https://torflow.uncharted.software
Article connexe: 81% des utilisateurs de Tor peuvent être facilement démasqués en analysant les informations du routeur
http://thehackernews.com/2014/11/81-of-tor-users-can-be-easily-unmasked_18.html
Un autre article connexe sur un problème beaucoup plus dangereux mais connexe: le navigateur Tor exposé
https://hackernoon.com/tor-browser-exposed-anti-privacy-implantation-at-mass-scale-bd68e9eb1e95
Tor est utilisé pour contourner la censure!
Non, pas directement. Tor concerne l'anonymat , pas la disponibilité. Tor seul n'aide pas ses utilisateurs à accéder au contenu bloqué. Tor aide en rendant difficile le lien entre les clients et les visites du site, afin que les gens puissent publier ou lire contenu sans être identifiés. Il est utilisé pour éviter d'être pris en relation avec un contenu interdit, et non directement pour diffuser du contenu interdit.
Un gouvernement qui contrôle tout l'équipement réseau des FAI dans le pays peut décider quels sites Web et services les résidents sont autorisés à accéder, et peut savoir qui accède à quoi. Si quelqu'un utilise Tor, son ordinateur établit des connexions avec des hôtes qui offrent des services Tor (relais Tor). Le filtre de niveau ISP peut détecter si la cible de la connexion est un relais Tor et le refuser s'il l'est.
Un outil qui aide directement à contourner la censure est un VPN . Le filtre au niveau du FAI peut bloquer les connexions à un VPN, mais uniquement s'il sait que le service est un VPN. Les relais Tor sont pour la plupart publics et doivent faire partie d'une infrastructure lourde (ils doivent être connus des autres Tor connus). Au contraire, un VPN fonctionne de manière autonome, il est donc très facile d'en créer de nouveaux: le blocage total de VPN est pratiquement impossible (le blocage de tous les protocoles cryptés bloque la plupart des VPN courants, mais il est toujours possible de créer un VPN à faible bande passante à l'aide de la stéganographie si rien d'autre).
VPN et Tor peuvent bien sûr être combinés (et le sont souvent). Un FAI peut bloquer l'utilisation directe de Tor, mais ne peut pas bloquer l'utilisation de Tor via des VPN. Il existe même des services de type VPN spécialisés pour utiliser Tor: ponts Tor . Il y a une course aux armements ici où l'ISP/le gouvernement peut bloquer les ponts Tor au fur et à mesure qu'ils les découvrent, mais de nouveaux ponts peuvent apparaître facilement.
La France va interdire Tor
Non, ce n'est pas ce que dit l'article original et ce n'est pas non plus ce que dit l'article THN. L'article original dit que l'administration de la police (et non le gouvernement) a demandé un large éventail de mesures de réalisme variable, y compris l'interdiction de Tor. Même l'article que vous citez prétend que cette demande est une proposition de loi (ce qui n'est pas encore le cas), pas une loi sur le point d'entrer en vigueur.
Tor sera en fait assez difficile à bloquer à cause de ponts tor :
Les relais de pont (ou "ponts" en abrégé) sont des relais Tor qui ne sont pas répertoriés dans le répertoire Tor principal. Comme il n'y a pas de liste publique complète d'entre eux, même si votre FAI filtre les connexions à tous les relais Tor connus, il ne sera probablement pas en mesure de bloquer tous les ponts.
Pour interdire complètement Tor, la France devra effectuer une inspection approfondie des paquets (similaire au pare-feu chinois), mais même de telles mesures pourraient être annulées par des outils spécialisés tels que Obfsproxy . Ce qui empêche effectivement les Chinois d'utiliser Tor est la menace d'une peine de prison; J'espère que la France ne suivra pas cette voie.
De plus, je ne comprends pas très bien comment l'interdiction de Tor nuirait aux terroristes, car il existe d'innombrables options qui leur permettent de rester sous le radar. Ils pourraient heureusement passer à OwnCloud ou à un service similaire qui ne peut pas être bloqué dans son ensemble. Ou ils pourraient communiquer via GMail en envoyant des pièces jointes 7Zip cryptées. Etc.
Gardez à l'esprit que la France vient de passer des sondages régionaux, et des annonces comme celle-ci apparaissent en période électorale comme des champignons après une pluie d'été.
Une course aux armements de censure
Des tentatives de censure du réseau Tor ont eu lieu dans différents pays. Jusqu'à présent, la Chine a été la plus performante. Mais d'autres pays/gouvernements ont également connu du succès. Indépendamment de ces succès, la censure est une course aux armements technologiques et chaque camp continue d'améliorer ses attaques et ses défenses.
Une excellente ressource particulièrement pertinente pour votre question est une présentation de Jacob Appelbaum et Roger Dingledine intitulée Comment les gouvernements ont essayé de bloquer Tor . (Cette conférence est également disponible sur YouTube .) En tant que développeurs Tor, ils fournissent un aperçu rapide du réseau Tor avant de continuer pour montrer l'évolution des attaques contre lui. Les attaques couvertes vont du simple blocage de port et DNS aux techniques modernes, y compris l'inspection approfondie des paquets et le sondage actif.
Je vais résumer le contenu de cette présentation ci-dessous avant d'aborder brièvement les futures technologies susceptibles d'être utilisées dans cette course aux armements.
Attaques en cours maintenant
Voici un résumé des méthodes de blocage discutées dans la présentation mentionnée ci-dessus, ainsi que quelques commentaires et informations supplémentaires sur les limites de chaque méthode:
- Bloquer les autorités de répertoire: les binaires Tor ont une liste codée en dur des adresses IP qu'ils utilisent pour le bootstrap (le processus de recherche d'autres nœuds sur le réseau Tor ). Normalement, le client Tor se connectera à l'un de ces serveurs au démarrage pour télécharger la liste des relais. Le blocage de cette connexion empêchera l'échange d'avoir lieu. La limitation est que ponts peut être utilisé pour router vos connexions d'annuaire via une autre adresse IP.
- Téléchargez le répertoire réseau: également connu sous le nom consensus réseau, c'est la liste de tous les relais sur le réseau ( ponts exclus). Le blocage des adresses IP de tous les relais empêchera le client Tor de pouvoir acheminer le trafic à travers eux. Encore une fois, la limitation est que les ponts peuvent contourner cela car ils utilisent des adresses IP qui ne sont pas publiées sur une liste.
- Blocage des ponts: si vous pouvez obtenir toutes les adresses IP des ponts, vous pouvez également bloquer les connexions avec celles-ci. Le projet Tor divise son pool d'adresses de pont entre différents stratégies de distribution pour empêcher une personne d'obtenir toutes les adresses de pont, même s'il y a une faiblesse dans l'un des mécanismes de distribution. En plus de ces mécanismes, vous pouvez obtenir des ponts en communiquant avec un ami ou une autre organisation qui peut exécuter ses propres ponts non répertoriés.
- Inspection approfondie des paquets: cette méthode, également connue sous le nom de DPI, repose sur la distinction des différences infimes entre le protocole Tor et la prise de contact SSL/TLS que Tor tente d'imiter . Dans la présentation, Roger mentionne qu'il existe de nombreux différenciateurs de protocole dont le projet Tor est déjà au courant et qu'il est difficile de savoir s'ils doivent être réparés à titre préventif ou laissés comme fruits à suspendre pour de futures attaques.
- Bloquer le site Web de Tor: si les gens ne peuvent pas télécharger le logiciel Tor, ils ne peuvent pas se connecter au réseau. La limite est que les gens peuvent obtenir des logiciels via d'autres mécanismes, y compris différents miroirs ou en envoyant un e-mail à [email protected].
- Sondage actif des ponts: en Chine, lorsque quelqu'un se connecte à un pont Tor ou à un serveur SSH, une autre adresse IP établit une connexion de suivi essayant de parler le Protocole Tor ... Si cette tentative réussit, la connexion Tor d'origine est interrompue. Il s'agit de la dernière étape de la course aux armements, et il existe quelques approches possibles qui pourraient être utilisées pour y remédier. Une méthode mentionnée dans la vidéo consiste à protéger les ponts par mot de passe, mais cela a ses propres compromis.
- Limitations de la bande passante: en Iran, le gouvernement a réduit la bande passante allouée aux connexions cryptées. Avec l'utilisation croissante du cryptage sur les sites Web, cette méthode limitera de plus en plus l'accès aux sites Web couramment utilisés, y compris Google, Wikipedia, etc. En outre, comme indiqué ci-dessous, les protocoles ne semblent pas être cryptés avec l'utilisation du cryptage à transformation de format.
L'avenir de la course aux armements
Comme cela a été mentionné, la technologie de censure est une course aux armements, et elle est toujours en cours. Cela implique que des innovations continueront de se produire.
Beaucoup d'efforts de développement ont été mis dans transports enfichables , qui sont essentiellement une couche d'obscurcissement de protocole qui peut être appliquée sur les nœuds de pont Tor. Cela rend plus difficile la distinction entre le trafic Tor et le trafic non Tor et force le blocage de services/protocoles supplémentaires qui ne sont pas liés à Tor.
Pour sélectionner quelques exemples de transports enfichables:
- Meek: le transport Meek utilise une méthode appelée "domaine frontalier" pour falsifier la destination finale du trafic. En modifiant l'en-tête HTTP d'une demande sur google.com, il devient possible d'amener l'infrastructure de Google à rediriger vos paquets vers leur service App Engine. Il en va de même pour CloudFront d'Amazon et la plateforme Azure de Microsoft, entre autres .
- Flashproxy: a commencé comme un projet à l'Université de Stanford, ce projet utilise JavaScript et Web Sockets pour transformer les navigateurs Web ordinaires en ponts Tor, permettant une extrême diversité et un taux de désabonnement d'adresses de pont difficiles à bloquer en temps réel.
Enfin, je voudrais mentionner le cryptage à transformation de format (ETP). Cette technologie de cryptage permet de manipuler des données telles qu'elles apparaissent comme un autre protocole à un moteur DPI. Dans cet article , les chercheurs appliquent la technologie au réseau Tor pour créer une mauvaise identification de protocole par les moteurs DPI.