Bagaimana Tor menggunakan entry guards untuk melindungi pengguna dari serangan korelasi

Tor (seperti semua desain anonimitas latensi rendah praktis saat ini) gagal ketika penyerang dapat melihat kedua ujung saluran komunikasi. Misalnya, penyerang mengontrol atau mengawasi relay Tor yang Anda pilih untuk masuk ke jaringan, dan juga mengontrol atau mengawasi situs web yang Anda kunjungi. Dalam hal ini, komunitas riset tidak mengetahui desain latensi rendah praktis yang dapat secara andal menghentikan penyerang dari menghubungkan informasi volume dan waktu di kedua sisi.

Jadi, apa yang harus dilakukan? Misalkan penyerang mengontrol, atau dapat mengamati, relay C. Misalkan ada total N relay. Jika Anda memilih relay masuk dan keluar yang baru setiap kali Anda menggunakan jaringan, penyerang akan dapat mengkorelasikan semua trafik yang Anda kirimkan dengan probabilitas sekitar (c/n)^2. Namun profiling, untuk beberapa user, sama buruknya dengan dilacak pada setiap waktu: mereka ingin melakukan sesuatu seringkali tanpa diketahui penyerang, dan penyerang mengetahuinya sekali saja sama buruknya dengan penyerang mengetahuinya secara sering. Jadi, memilih banyak entri dan keluar secara acak tidak memberi pengguna kesempatan untuk meloloskan diri dari pembuatan profil oleh penyerang semacam ini.

Solusinya adalah dengan "penjaga entri": setiap klien Tor memilih beberapa relay secara acak untuk digunakan sebagai titik masuk, dan menggunakan relay tersebut hanya untuk hop pertama mereka. Jika relay tersebut tidak dikontrol atau diobservasi, penyerang tidak akan menang, dan pengguna aman. Jika relay tersebut diobservasi dan dikontrol oleh penyerang, penyerang melihat sebagian besar lalu-lintas pengguna - namun tetap pengguna tidak akan lebih ter-profile daripada sebelumnya. Jadi, pengguna memiliki beberapa kesempatan (pada orde (n-c)/n) untuk menghindari profilling, sedangkan mereka tidak memiliki kesempatan sama sekali dulu.

Anda bisa membaca lebih lanjut pada Sebuah analisa dari degradasi protokol anonim, Mempertahankan komunikasi anonim terhadap serangan login pasif, dan khususnya Menemukan server tersembunyi.

Membatasi node masuk Anda mungkin akan membantu Anda terhadap penyerang yang ingin menjalankan beberapa node Tor dan dengan mudah mengenumerasi semua alamat IP pengguna Tor. (Meskipun mereka tidak bisa mempelajari destinasi mana pengguna berbicara, mereka masih bisa melakukan hal-hal buruk dengan beberapa daftar pengguna.) Namun, fitur tersebut tidak akan benar-benar berguna sebelum kami berpindah ke desain "directory guard" juga.