Як Tor використовує захист від входу для захисту користувачів від кореляційних атак
Вхідні охоронці – це перші реле, до яких підключається ваш клієнт Tor. Замість того, щоб щоразу вибирати новий запис, Tor вибирає невеликий набір захистів та повторно використовує їх, зменшуючи ймовірність того, що зловмисник корелює ваш трафік та деанонімізує вас.
Tor (як і всі поточні конструкції анонімності з низькою затримкою) не працює, коли зловмисник може бачити обидва кінці каналу зв’язку. Наприклад, припустимо, що зловмисник контролює або спостерігає за ретранслятором Tor, який ви вибрали для входу в мережу, а також контролює або спостерігає за вебсайтом, який ви відвідуєте. Поки не існує надійного способу запобігти такій атаці, оскільки нападник може зіставити час та обсяг трафіку на вході та виході.
Отже, що нам робити? Припустимо, що зловмисник контролює або може спостерігати за кількістю ретрансляторів C. Припустимо, що загальна кількість ретрансляторів дорівнює N. Якщо при вході в мережу ви використовуєте випадкові вхідні та вихідні ретранслятори, то ймовірність, що нападник отримає доступ до вашого вхідного та вихідного трафіку дорівнює (С/N)2. Але профілювання для більшості користувачів так само погано, як і постійне відстеження: вони хочуть робити щось часто без стеження з боку противника, проте противник, який стежив один раз, так само погано, як і постійне стеження. Тому перемикання між випадковими вхідними та вихідними вузлами врешті-решт дозволить нападнику розпочати профілювання.
Рішення — «охоронці входу» або вхідні вузли: кожен клієнт Tor випадковим чином вибирає кілька вузлів для використання точками входу, і використовує лише ці вузли для першого переходу. Якщо ці вузли не контролюються або не відстежуються, противник ніколи не зможе перемогти, отже користувач у безпеці. Якщо ці вузли контролюються або відстежуються противником, він бачить більшу частину трафіку користувача, але шанси на профілювання користувача все одно невеликі. Таким чином, користувач має певний шанс (за формулою (n-c)/n) уникнути профілювання, тоді як раніше у нього його не було.
Ви можете прочитати більше в Аналізі деградації анонімних протоколів, Захисті анонімного обміну даними від пасивних атак журналювання, та, особливо, у Пошуці прихованих серверів.
Обмеження ваших вхідних вузлів також допомагає проти зловмисників, які хочуть запустити кілька вузлів Tor і легко облікувати всі IP-адреси користувачів Tor. (Попри те, що зловмисники не можуть дізнатися які сайти відвідують користувачі, вони все одно можуть їм нашкодити, маючи тільки список IP адрес.) Однак навіть обмеження кількості вхідних вузлів лише проміжний етап до системи керівних вузлів.