Лоши новини за специалните служби. Tor затваря вратичка, през която теоретично е било възможно да се прочита чуждия трафик

Защо старата защита беше счетена за ненадеждна и какво я замени?

Проектът Tor се подготвя за сериозно обновяване на защитата на трафика: мрежата от анонимни възли ще разполага с новия алгоритъм за криптиране Counter Galois Onion (CGO), който ще замени остарялата схема Tor1. Разработчиците се надяват да засилят анонимността на потребителите и да направят мрежата по-устойчива на съвременните методи за прихващане и подмяна на данните.

Tor е разпределена мрежа от хиляди ретранслатори, през които трафикът преминава през верига от три възела – входен, междинен и изходен. Всеки преход добавя свой собствен слой на криптиране, в резултат на което се получават вериги тип „лук“ (onion). Браузърът Tor, базиран на Firefox, се основава на този модел и е предназначен за анонимен достъп до уеб сайтовете, заобикаляне на блокирането и скриване на дейността от доставчиците.

Старата схема на Tor1 е разработена във времената, когато съвременните криптографски стандарти все още не са формирани. Тя се основава на режима AES-CTR без удостоверяване при всеки преход, така че криптирането на ниво ретранслатор остава променливо. В този случай нНападател, който контролира част от възлите, а може това да са специалните служби, теоретично може да модифицира трафика и да възстанови необходимата информация чрез предвидимите промени – това принадлежи към класа на т.нар. tagging attacks (атаки с маркиране) и covert channels (скрити канали).

Освен това сигурността се подкопава от многократното използване на едни и същи AES ключове през целия живот на веригата, което при компрометиране на ключовете дава възможност за декриптиране на натрупания трафик. Друг слаб елемент е кратката 4-байтова контролна сума на SHA-1, която оставя вратичка за малко вероятна, но възможна фалшификация на клетката, без да бъде открита. В същото време самите разработчици подчертават, че именно първият от тези проблеми се разглежда като най-сериозен.

CGO е проектиран така, че да отстрани тези уязвимости. Новата схема се основава на конструкцията Rugged Pseudorandom Permutation UIV+, предложена от криптографите Жан-Пол Дегабриеле, Алесандро Мелони, Жан-Пиер Мюнх и Мартин Стам. Разработчиците на Tor отбелязват, че CGO отговаря на набор от строги изисквания: защитава от подправяне на клетките по пътя, осигурява незабавна пряка секретност, използва удължени маркери за автентичност, ефективен е по отношение на пропускателната способност и се основава на актуални криптографски алгоритми.

В новата схема широкообхватното криптиране и веригата от маркери са подредени така, че всяка промяна в данните води до загуба на възможността за възстановяване не само на текущата клетка, но и на следващите клетки, което обезсмисля taging атаките. Ключовете се актуализират след всяка клетка, така че дори ако текущите ключове са компрометирани, предишният трафик остава защитен.

Механизмът за удостоверяване е подсилен, като се изоставя SHA-1 в този цикъл и се преминава към 16-байтов код за проверка. Освен това се запазва целостта на веригата: параметрите на услугата, като например първоначалната стойност на брояча и криптираният таг, са свързани помежду си от клетка в клетка, така че всяка намеса в потока се открива съвсем лесно.

Внедряването на CGO вече е в ход както в класическата реализация на Tor на C, така и в клиента Arti, написан на Rust. Функционалността е отбелязана като експериментална: остава да се реализира съгласуване на конфигурацията за onion услугите и да се извършат оптимизации на производителността. На потребителите на браузъра Tor няма да се налага да включват нищо ръчно – преходът към новия алгоритъм ще се осъществи автоматично след приключване на внедряването. Разработчиците все още не са обявили конкретна дата, на която CGO ще стане схема по подразбиране.