一个对 Tor 的新型重放攻击方法

Tor 是一个旨在抵御流量分析的匿名网络访问服务，它也可以被用为穿透网络 censorship 的工具，它的官方网站为：http://torproject.org (很可惜的是，大陆用户已经无法正常访问这个站点了)。

由于 Tor 在中国的使用还算比较广泛，我的朋友中也有不少使用它作为穿墙工具的，我想关于它的安全问题应该有人感兴趣。这篇博客将简要介绍 ICC(International Conference on Communications, 世界通信大会) 2008 的一篇论文 A New Replay Attack Against Anonymous Communication Networks 中描述的对 Tor 匿名性的一个很有效的攻击方法，这篇论文荣获了 ICC 2008 Best Paper Award(好好好好羡慕啊~~~)。

Tor 网络是由洋葱路由器(下简称路由器)、目录服务器和洋葱代理服务器(下简称代理服务器)组成的。所谓洋葱路由，就是用户发出的消息会被多层加密，每到一个路由节点，路由器解密一层来获得下一跳信息，就像剥洋葱一样一层一层解密，到最后一层才是用户的原始消息。

Tor 的工作方式是经过多次转发消息来保护原始地址不被侦知。其进行一次通信的流程是：用户在 PC 机上安装洋葱 socks 代理服务器，设置浏览器或应用程序通过本机的代理服务器访问网络；代理服务器从目录服务器得到可用的路由器列表，在用户发起 TCP 请求时，本机代理服务器选择中间通过哪些路由器转发消息，然后将用户的 TCP 包多层加密后发送出去；转发路径上经过的路由器对消息逐层解密转发，最后一跳的路由器(出口路由器)和目的主机进行正常的 TCP 通信，然后将返回的消息按照原始路径发送给用户。

这样入口路由器知道通信的发起者却不知道接收者，中间路由器只管转发，而出口洋葱路由器知道通信的接收者却不知道发起者，这就保证了用户访问网络的匿名性。

A 文中采取的攻击方法是：假定攻击者可以控制入口路由器和出口路由器，由于 Tor 采用计数器模式的 AES 加密算法(能否解密和包的顺序有关)，那么在入口路由器处重放已经发送过的消息(包的顺序被打乱)，就会造成出口路由器解密失败，收到错误的数据包。由于攻击者控制了入口和出口路由器，那么通过将入口路由器重放消息的时间和出口路由器检测到错误的时间联系起来，就能确定这次通信的源和目的地，破坏了网络访问的匿名性。

更坏的是如果消息的重放发生在用户通信的末尾，在用户结束通信后和 TCP 连接断开之间，用户甚至都不知道他的网络行为已经被发现。

虽然假定攻击者可以控制入口和出口路由器看起来是一个很强的条件，但 A 文中通过实验验证了拥有洋葱路由网络的路由器并成为入口并不算很难(Tor 网络本身就是由许多志愿者的主机组成的)，再加上一个修改过的代理服务器软件，完全可以实现对使用该软件的用户的路由选择策略的控制。如果攻击者拥有足够的资源(比如某些强力部门)，使用足够多的主机加入 Tor 网络，根据 Tor 的路径选择策略优化这些路由器的分布，我觉得也有可能实现上述条件。

总的来说，相比与其它一些对匿名网络流量进行监控的攻击方法，A 文的攻击是相当简单直接并且高效的。我简单查看了 Tor 软件的 ChangeLog，没有发现它对这一攻击进行有针对性的修改(也许是我看的不认真)。

所以呢，对中国用户来说，通过 Tor 来穿墙是可以的，但是过于相信 Tor 的匿名性并且用其去发布敏感信息或者进行其它不法行为是要三思而后行的，这也就是为什么 Tor 软件自己也说：
This is experimental software. Do not rely on it for strong anonymity.