CN108494769A - 一种Tor匿名网络中隐藏服务的溯源方法 - Google Patents

Abstract

本发明公开了一种Tor匿名网络中隐藏服务的溯源方法，先通过侧信道识别Tor隐藏服务的Guard节点，然后利用已发现的Guard节点和流水印技术检测疑似Tor隐藏服务的主机IP地址集合，最后利用交集攻击确定该隐藏服务的IP地址。本发明技术方案具有更高的准确性，能够有效破解Tor匿名网络隐藏服务的位置信息(IP地址)，对于国际、国内执法机构联合打击网络犯罪提供了很好的技术支撑，具有较好的可行性和实用性。

Description

一种Tor匿名网络中隐藏服务的溯源方法

技术领域

本发明涉及互联网安全技术领域，尤其涉及一种Tor隐藏服务的入口节点侦测方法。

背景技术

随着互联网用户隐私保护意识的提高，互联网用户越来越追求网络访问的安全性、隐私性和匿名性。匿名通信技术作为一种主要的隐私增强技术被广泛应用于互联网各个方面，现有的匿名通信技术实现的机制主要有匿名与假名代理、广播与暗示地址、匿名链接、洋葱路由等。典型的低时延匿名通信系统包括Tor、JAP、I2P等。

Tor的全称是“The Second Generation Onion Router”，它是当前最为流行、应用最为广泛的低时延匿名通信系统之一。Tor不仅能够抵御窃听和流量分析等攻击，还具有前向安全、拥塞控制、可变出口策略、端到端的完整性检测等特点。Tor匿名通信系统不仅提供客户端匿名(保护Internet用户的隐私)，同时还提供服务端匿名(保护服务提供者的身份信息)，它们能够确保服务器IP地址不被泄漏的前提下提供网络服务。我们将这些构建与匿名通信系统之上的隐藏网络服务称之为为Tor暗网(Tor的Hidden Service)。TOR等匿名网络独特的匿名性在保护正常用户隐私的同时，也为恐怖分子、谣言制造者、网络攻击者以及毒品、色情等非法交易提供了便利。

因此，匿名通信的追踪溯源极其重要，现有的追踪溯源技术主要可以分为流量分析、协议缺陷和漏洞利用三种方法。而由于Tor匿名网络的隐藏服务具有高匿名性，其匿名服务地的位置信息很难被追踪，现有的追踪溯源技术实用性较低。

发明内容

本发明实施例提出一种Tor匿名网络中隐藏服务的溯源方法，能有效破解Tor匿名网络隐藏服务地的位置信息，具有良好的准确性和实用性

本发明实施例提供一种Tor匿名网络中隐藏服务的溯源方法，包括：

在Tor网络中植入若干个中继节点，作为攻击者控制的RP节点和Guard节点；

控制若干个Tor客户端并行执行Tor隐藏服务的入口节点侦测操作，根据所述攻击者控制的中继节点的侦测信息，确定所述Tor隐藏服务的入口节点；

根据所述攻击者控制的Guard节点和被所述Tor隐藏服务选中的入口节点，确定所述Tor隐藏服务的疑似IP地址集合；

通过交集攻击在所述疑似IP地址集合中找到所述Tor隐藏服务的IP地址。

进一步的，所述控制若干个Tor客户端并行执行Tor隐藏服务的入口节点侦测操作，根据所述攻击者控制的RP节点和Guard节点的侦测信息，确定所述Tor隐藏服务的入口节点，具体为：

控制所述若干个Tor客户端向所述Tor隐藏服务的IP节点发送链路建立报文，以使所述IP节点将所述链接建立报文转发给所述Tor隐藏服务；所述链路建立报文包含所述攻击者控制的第一RP节点的地址信息；

所述Tor隐藏服务根据所述第一RP节点的地址信息，与所述第一PR节点建立包含三跳的链路，并向所述第一RP节点发送通知报文；

所述第一RP节点在接收到所述通知报文后，通过所述链路向所述Tor隐藏服务发送若干个padding数据包，并在所有padding数据包发送完成后断开所述链路；

获取所述攻击者控制的中继节点的侦测信息，并根据所述侦测信息，确定所述Tor隐藏服务的入口节点。

进一步的，所述获取所述攻击者控制的中继节点的侦测信息，并根据所述侦测信息，确定所述Tor隐藏服务的入口节点，具体为：

查看所述中继节点的日志文件，获取所述侦测信息，并根据所述侦测信息，确定第一中继节点；所述第一中继节点为侦测到所述若干个padding数据包的中继节点；

如果所述第一中继节点为所述攻击者控制的第一Guard节点，则所述Tor隐藏服务的入口节点为所述第一Guard节点；

如果所述第一中继节点不为所述第一Guard节点，则通过所述第一中继节点的前一跳IP地址，识别所述Tor隐藏服务的入口节点IP地址信息，并根据所述入口节点IP地址信息，确定所述Tor隐藏服务的入口节点。

进一步的，所述Tor匿名网络中隐藏服务的溯源方法，还包括：将确定的所述Tor隐藏服务的入口节点作为所述攻击者控制的Guard节点，并控制若干个Tor客户端并行执行Tor隐藏服务的入口节点侦测操作，根据所述攻击者控制的中继节点的侦测信息，确定所述Tor隐藏服务的第二入口节点。

进一步的，根据所述攻击者控制的Guard节点和被所述Tor隐藏服务选中的入口节点，确定所述Tor隐藏服务的疑似IP地址集合，具体为：

如果所述Tor隐藏服务的入口节点为所述攻击者控制的Guard节点，则所述第一Guard节点相连的前一跳节点的IP地址为所述Tor隐藏服务的IP地址；

如果所述Tor隐藏服务的入口节点不是所述攻击者控制的Guard节点，则控制所述Tor客户端通过所述攻击者控制的RP节点注入流水印信号，并在攻击者控制的Guard节点和所述Tor隐藏服务的路由路径之间，监视并分析网络流模式、检测所述流水印信号；其中，所述流水印信号用于根据padding Cell频率控制Tor网络流模式；

当检测到所述流水印信号时，根据所述流水印信号，确定所述Tor隐藏服务的IP地址；当没有检测到所述流水印信号，则通过计时攻击监测所述Tor隐藏服务建立所述链路的时间，并将在该时刻连接所述攻击者控制的Guard节点的IP地址集合作为所述疑似IP地址集合。

实施本发明实施例，具有如下有益效果：

本发明实施例提供的Tor匿名网络中隐藏服务的溯源方法，先通过侧信道识别Tor隐藏服务的Guard节点，然后利用已发现的Guard节点和流水印技术检测疑似Tor隐藏服务的IP地址集合，最后利用交集攻击确定该隐藏服务的IP地址。相比于现有技术的溯源方法，本发明技术方案具有更高的准确性，能够有效破解Tor匿名网络隐藏服务的位置信息，对于国际、国内执法机构联合打击网络犯罪提供了很好的技术支撑，具有较好的可行性和实用性。

附图说明

图1是本发明提供的Tor匿名网络中隐藏服务的溯源方法的一种实施例的流程示意图；

图2是本发明提供的确定Tor隐藏服务的入口节点的一种实施例的流程示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

参见图1，是本发明提供的Tor匿名网络中隐藏服务的溯源方法的一种实施例的流程示意图。本发明的Tor匿名网络中隐藏服务的溯源方法可以但不限于运用在攻击者的终端上，该方法包括步骤101至步骤104，各步骤具体如下：

步骤101：在Tor网络中植入若干个中继节点，作为攻击者控制的RP节点和Guard节点。

在本实施例中，攻击者在Tor网络中植入多个高带宽、高性能的Tor中继节点，以便成为Tor网络的(Rendezvous point)RP节点、Guard节点(入口节点)。本发明选择高带宽、高性能的中继节点的目的在于能够较快加入到Tor匿名网络，并成为Tor网络的RP节点和Guard节点。

步骤102：控制若干个Tor客户端并行执行Tor隐藏服务的入口节点侦测操作，根据攻击者控制的中继节点的侦测信息，确定Tor隐藏服务的入口节点。

在本实施例中，步骤102具体包括步骤1021至步骤1024，各步骤如下：

步骤1021：控制若干个Tor客户端向Tor隐藏服务的IP节点发送链路建立报文，以使IP节点将链接建立报文转发给Tor隐藏服务；链路建立报文包含攻击者控制的第一RP节点的地址信息。

步骤1022：Tor隐藏服务根据第一RP节点的地址信息，与第一PR节点建立包含三跳的链路，并向第一RP节点发送通知报文。

步骤1023：第一RP节点在接收到通知报文后，通过链路向Tor隐藏服务发送若干个padding数据包，并在padding数据包发送完成后断开链路。

步骤1024：获取攻击者控制的中继节点的侦测信息，并根据侦测信息，确定Tor隐藏服务的入口节点。

在本实施例中，步骤1024具体为：查看中继节点的日志文件，获取侦测信息，并根据侦测信息，确定第一中继节点；第一中继节点为侦测到若干个padding数据包的中继节点；如果第一中继节点为攻击者控制的第一Guard节点，则Tor隐藏服务的入口节点为第一Guard节点；如果第一中继节点不为第一Guard节点，则通过第一中继节点的前一跳IP地址，识别Tor隐藏服务的入口节点IP地址信息，并根据入口节点IP地址信息，确定Tor隐藏服务的入口节点。

在本实施例中，如果中继节点没有侦测到注入信号，则同样的方法继续迫使Tor隐藏服务向攻击者控制的RP节点建立三跳链路，然后检测该信号是否出现在攻击者控制的Guard节点或者是中继节点，直到Tor的隐藏服务选中攻击者控制的Guard节点或者是中继节点。

为了更好的说明步骤102，参见图2，图2是本发明提供的确定Tor隐藏服务的入口节点的一种实施例的流程示意图。通过图2所示的例子能更清楚说明步骤102的流程。

1)首先，给定任意Tor隐藏服务地址，攻击者可通过不同的Tor客户端通知该隐藏服务与多个RP节点建立链接，具体方法是向Tor隐藏服务的三个介绍节点(introductionpoints，IP节点)之一发送RELAY_COMMAND_INTRODUCE1报文，以告知其RP节点的地址信息。

2)IP节点在收到RELAY_COMMAND_INTRODUCE1信息之后，则将里面的信息封装在RELAY_COMMAND_INTRODUCE2中，并转发给Tor隐藏服务(HS)。

3)HS收到该数据包后，会与RP节点建立一条包含3个节点的链路，并且向RP节点发送RELAY_COMMAND_RENDEZVOUS1数据包。

4)一旦RP节点收到RELAY_COMMAND_RENDEZVOUS1报文，攻击者控制的RP节点可使用Padding包对隐藏服务发送50个PADDING数据包。数据包数量可根据用户需求设置。

5)最后RP发送一个DESTORY命令关闭当前链路。

6)查看受控节点的日志文件，如果发现在RP节点收到RELAY_COMMAND_RENDEZVOUS1之后，受控节点收到了一个DESTORY命令，并且当前链路发送了3个数据包并且接收了53个数据包，则说明当前链路的Guard或者中间节点是攻击者控制的节点。如果在Guard节点处检测到注入的信号，则可以判定攻击者控制的Guard节点位于Tor隐藏服务构建的三跳链路的入口位置(即攻击者控制的Guard节点已经被Tor隐藏服务选中作为自己的Guard节点)。如果在攻击者控制的中继节点处检测到该信号，则可以通过关联中继节点的前一跳IP地址，识别Tor隐藏服务的Guard节点IP地址信息，从而间接找到Tor隐藏服务的Guard节点。

作为本实施例的一种举例，在确定Tor隐藏服务的Guard节点后，可以但不限于将确定的Tor隐藏服务的入口节点作为攻击者控制的Guard节点，并控制若干个Tor客户端并行执行Tor隐藏服务的入口节点侦测操作，根据攻击者控制的中继节点的侦测信息，确定Tor隐藏服务的第二入口节点。在图2所示的例子中，将Tor隐藏服务已经暴露的第一个Guard节点作为RP节点，迫使Tor隐藏服务已经暴露的第二个Guard节点位置。

此外，Tor协议支持动态代理链路构建。通过Tor访问隐藏服务时，客户端和隐藏服务都会在中继节点中随机挑选节点，构建自己的路由路径。为了兼顾速度与安全性，访问Tor隐藏服务的通信路径长度通常为6跳。通信路径越长，路径中节点的响应速度越慢，访问速度则越慢。因此，想要提高连接速度，可通过以下两种方式：缩短通信路径，减小路径中的节点个数；排除响应速度慢的节点，本发明可以综合应用这两种方法，以提高侦测效率。

步骤103：根据攻击者控制的Guard节点和被Tor隐藏服务选中的入口节点，确定Tor隐藏服务的疑似IP地址集合。

在本实施例中，步骤103具体为：

如果Tor隐藏服务的入口节点为攻击者控制的Guard节点，则第一Guard节点相连的前一跳节点的IP地址为Tor隐藏服务的IP地址；如果Tor隐藏服务的入口节点不是攻击者控制的Guard节点，则控制Tor客户端通过攻击者控制的RP节点注入流水印信号，并在攻击者控制的Guard节点和Tor隐藏服务的路由路径之间，监视并分析网络流模式、检测流水印信号；其中，流水印信号用于根据padding Cell频率控制Tor网络流模式；

当检测到流水印信号时，根据流水印信号，确定Tor隐藏服务的IP地址；当没有检测到所述流水印信号，则通过计时攻击监测Tor隐藏服务建立链路的时间，并将在该时刻连接攻击者控制的Guard节点的IP地址集合作为疑似IP地址集合。

为了更好地说明步骤103，通过下面例子说明步骤103的详细流程：

1)如果Tor隐藏服务选中的是攻击者控制的Guard节点，则与该Guard节点相连的前一跳的IP地址为Tor隐藏服务地址。因此，攻击者可直接记录连接关系来关联出Tor隐藏服务的IP地址。

2)Tor隐藏服务选中的是非攻击者控制的Guard节点，则攻击者在受控的RP节点处将流水印嵌入到通信链路，具体地，通过注入不同的Padding Cell频率来控制Tor流模式，如编码0代表间隔500ms发送一个Padding Cell数据包，1代表间隔300ms发送一个Paddingcell数据，则客户端可以将需要发送地数据包编码成01二进制字符串。

3)如果攻击者控制的网络在Guard节点和Tor隐藏服务的路由路径之间，攻击者监视并分析网络流模式、检测流水印，一旦检测到RP节点注入的流水印，则可以侦测到Tor匿名网络隐藏服务的IP地址。

4)如果攻击者控制的网络不在Guard节点和Tor隐藏服务的路由路径之上，则需要通过计时攻击监测Tor隐藏服务建立三跳隧道的时间及其在该时刻连接Guard节点的IP地址集合(该步骤需要Guard节点所在运营商或者执法部门配合)，具体地，用户模拟Tor客户端访问Tor隐藏服务的过程，通过选择受控的RP节点，并迫使Tor隐藏服务与RP建立连接，然后记录Tor客户端发出RELAY_COMMAND_INTRODUCE1数据包的时间，以及RP节点收到RELAY_COMMAND_RENDEZVOUS1数据包的时间，然后记录在该时间范围内访问Guard节点的IP地址集合

5)最后随机等待T时间，重复执行步骤1至4若干次。

步骤104：通过交集攻击在疑似IP地址集合中找到Tor隐藏服务的IP地址。

在本实施例中，通过步骤103，攻击者可以快速找到多个疑似Tor隐藏服务的IP地址集合，此后攻击者可以通过交集攻击快速找到Tor隐藏服务的IP地址。交集攻击为现有技术，在此不再赘述。

由上可见，本发明实施例提供的Tor匿名网络中隐藏服务的溯源方法，先通过侧信道识别Tor隐藏服务的Guard节点，然后利用已发现的Guard节点和流水印技术检测疑似Tor隐藏服务的IP地址集合，最后利用交集攻击确定该隐藏服务的IP地址。相比于现有技术的溯源方法，本发明技术方案具有更高的准确性，能够有效破解Tor匿名网络隐藏服务的位置信息，对于国际、国内执法机构联合打击网络犯罪提供了很好的技术支撑，具有较好的可行性和实用性。

本领域普通技术人员可以理解实现上述实施例方法中的全部或部分流程，是可以通过计算机程序来指令相关的硬件来完成，所述的程序可存储于一计算机可读取存储介质中，该程序在执行时，可包括如上述各方法的实施例的流程。其中，所述的存储介质可为磁碟、光盘、只读存储记忆体(Read-Only Memory，ROM)或随机存储记忆体(Random AccessMemory，RAM)等。

以上所述是本发明的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以做出若干改进和润饰，这些改进和润饰也视为本发明的保护范围。

Claims (5)

1.一种Tor匿名网络中隐藏服务的溯源方法，其特征在于，包括：

在Tor网络中植入若干个中继节点，作为攻击者控制的RP节点和Guard节点；

控制若干个Tor客户端并行执行Tor隐藏服务的入口节点侦测操作，根据所述攻击者控制的中继节点的侦测信息，确定所述Tor隐藏服务的入口节点；

根据所述攻击者控制的Guard节点和被所述Tor隐藏服务选中的入口节点，确定所述Tor隐藏服务的疑似IP地址集合；

通过交集攻击在所述疑似IP地址集合中找到所述Tor隐藏服务的IP地址。

2.根据权利要求1所述的Tor匿名网络中隐藏服务的溯源方法，其特征在于，所述控制若干个Tor客户端并行执行Tor隐藏服务的入口节点侦测操作，根据所述攻击者控制的RP节点和Guard节点的侦测信息，确定所述Tor隐藏服务的入口节点，具体为：

控制所述若干个Tor客户端向所述Tor隐藏服务的IP节点发送链路建立报文，以使所述IP节点将所述链接建立报文转发给所述Tor隐藏服务；所述链路建立报文包含所述攻击者控制的第一RP节点的地址信息；

所述Tor隐藏服务根据所述第一RP节点的地址信息，与所述第一PR节点建立包含三跳的链路，并向所述第一RP节点发送通知报文；

所述第一RP节点在接收到所述通知报文后，通过所述链路向所述Tor隐藏服务发送若干个padding数据包，并在所有padding数据包发送完成后断开所述链路；

获取所述攻击者控制的中继节点的侦测信息，并根据所述侦测信息，确定所述Tor隐藏服务的入口节点。

3.根据权利要求2所述的Tor匿名网络中隐藏服务的溯源方法，其特征在于，所述获取所述攻击者控制的中继节点的侦测信息，并根据所述侦测信息，确定所述Tor隐藏服务的入口节点，具体为：

查看所述中继节点的日志文件，获取所述侦测信息，并根据所述侦测信息，确定第一中继节点；所述第一中继节点为侦测到所述若干个padding数据包的中继节点；

如果所述第一中继节点为所述攻击者控制的第一Guard节点，则所述Tor隐藏服务的入口节点为所述第一Guard节点；

如果所述第一中继节点不为所述第一Guard节点，则通过所述第一中继节点的前一跳IP地址，识别所述Tor隐藏服务的入口节点IP地址信息，并根据所述入口节点IP地址信息，确定所述Tor隐藏服务的入口节点。

4.根据权利要求3所述的Tor匿名网络中隐藏服务的溯源方法，其特征在于，还包括：将确定的所述Tor隐藏服务的入口节点作为所述攻击者控制的Guard节点，并控制若干个Tor客户端并行执行Tor隐藏服务的入口节点侦测操作，根据所述攻击者控制的中继节点的侦测信息，确定所述Tor隐藏服务的第二入口节点。

5.根据权利要求3所述的Tor匿名网络中隐藏服务的溯源方法，其特征在于，根据所述攻击者控制的Guard节点和被所述Tor隐藏服务选中的入口节点，确定所述Tor隐藏服务的疑似IP地址集合，具体为：

如果所述Tor隐藏服务的入口节点为所述攻击者控制的Guard节点，则所述第一Guard节点相连的前一跳节点的IP地址为所述Tor隐藏服务的IP地址；

如果所述Tor隐藏服务的入口节点不是所述攻击者控制的Guard节点，则控制所述Tor客户端通过所述攻击者控制的RP节点注入流水印信号，并在攻击者控制的Guard节点和所述Tor隐藏服务的路由路径之间，监视并分析网络流模式、检测所述流水印信号；其中，所述流水印信号用于根据padding Cell频率控制Tor网络流模式；

当检测到所述流水印信号时，根据所述流水印信号，确定所述Tor隐藏服务的IP地址；当没有检测到所述流水印信号，则通过计时攻击监测所述Tor隐藏服务建立所述链路的时间，并将在该时刻连接所述攻击者控制的Guard节点的IP地址集合作为所述疑似IP地址集合。