CN114978781A - 一种面向Tor网络的混合匿名链路通信方法及系统 - Google Patents

Abstract

本发明涉及计算机网络技术领域，公开了一种面向Tor网络的混合匿名链路通信方法及系统，该通信方法，在自定义协议的基础上，根据Tor网络协议的分析，对自定义协议的数据报文进行格式转换和处理，使自定义协议兼容Tor网络节点协议，利用Tor网络节点和自定义网络节点构建混合匿名链路进行匿名数据传输。本发明解决了现有技术存在的数据传输的安全性不够高、资源投入大等问题。

Description

一种面向Tor网络的混合匿名链路通信方法及系统

技术领域

本发明涉及计算机网络技术领域，具体是一种面向Tor网络的混合匿名链路通信方法及系统。

背景技术

学术界和工业界在面对各种互联网各种用户隐私泄露威胁研究中，提出了各类通信模型和软件工具，如单代理匿名通信、Mix匿名通信模型、基于广播的匿名通信以及洋葱路由匿名机制等相关技术和网络，当前最为著名的类似于OpenVpn、V2ray、Tor以及I2P等工具和网络，通过加密、混淆及伪装等技术，保护通信数据安全和通信行为。

安全通信链路除了更深层次保护了用户的行为隐私数据之外，在国家安全领域、军事领域也越来越倚重于基于网络的通信传输，以保护我国公民在全球范围内的通信安全性，防止被监听和追踪溯源，避免泄露更多的个人网络行为信息。因此，对安全通信链路的研究对于保护个人、国家或者组织的信息安全都有着重要的意义。虽然从技术角度，安全通信协议构建的通信链路确保了数据的机密性以及通信关系的匿名性，但也存在用户量较少、通信链路单一的弱点，在中间节点存在安全风险时，存在被大数据检测和关联溯源的风险。

而Tor作为全球公认的安全性最高的开源的第二代洋葱路由，是一款低延迟匿名通信系统，建立于国际互联网之上，通过遍布全球的中继路由节点，构建多跳的通信链路，向全球用户提供匿名互联网访问服务。Tor网络的中继路由节点由全球的志愿者贡献并维护，为公共用户提供服务。外部的网络攻击无法通过节点属性以及通信数据对真实的用户进行关联追踪。同时，随着互联网用户规模的日益扩大、用户保护隐私意识的加强，Tor网络的规模也在不断的增长。根据Tor Metircs网站的统计信息显示：截至2021年，Tor网络中继路由节点数超过7000个，总带宽超过10GBytes/s，用户分布在76个不同的国家。

各类技术在使用过程中，存在链路单一且固定导致数据传输的安全性不够高、资源投入大等问题。

发明内容

为克服现有技术的不足，本发明提供了一种面向Tor网络的混合匿名链路通信方法及系统，解决现有技术存在的数据传输的安全性不够高、资源投入大等问题。

本发明解决上述问题所采用的技术方案是：

一种面向Tor网络的混合匿名链路通信方法，在自定义协议的基础上，根据Tor网络协议的分析，对自定义协议的数据报文进行格式转换和处理，使自定义协议兼容Tor网络节点协议，利用Tor网络节点和自定义网络节点构建混合匿名链路进行匿名数据传输。

作为一种优选的技术方案，包括以下步骤：

S1，Tor网络节点获取与选择：自定义匿名通信协议，利用匿名通信协议部署网络节点，以及，获取Tor网络全网节点信息并挑选Tor中继节点；

S2，链路扩展：将自定义的匿名通信协议与洋葱网络通信协议进行协议转换实现兼容，融合Tor网络资源，从而构建混合匿名链路；

S3，数据传输：发送端通过构建的混合链路，根据Tor网络节点在混合链路中的位置，采用匿名通信协议或洋葱网络通信协议对网络报文载荷进行格式封装，然后通过混合链路传输给目的主机。

作为一种优选的技术方案，步骤S1包括以下步骤：

S11，定义匿名通信协议，利用匿名通信协议部署网络节点，然后利用部署的网络节点构建单跳的通信链路；

S12，客户端软件通过单跳的通信链路与Tor网络权威目录服务器进行网络连接，然后客户端软件下载Tor网络节点信息；

S13，随机挑选Tor中继节点，并下载该Tor中继节点身份信息。

作为一种优选的技术方案，步骤S2包括以下步骤：

S21，TLS建立：由跳转节点进行协议适配和转换；具体包括：在步骤S13的基础上，由入口节点将链路扩展到Tor网络节点，然后在入口节点与Tor网络节点TLS连接完成建立和认证；

S22，虚链路建立：由客户端软件进行协议适配。

作为一种优选的技术方案，步骤S22具体包括：

在入口节点与Tor网络节点TLS连接完成建立和认证后，由客户端与Tor网络节点进行密钥协商；然后，客户端与Tor网络节点完成密钥协商后，通过Tor网络节点再次扩展到自定义出口节点。

作为一种优选的技术方案，步骤S21中，当自定义节点与Tor网络节点间完成TLS连接后，双方需要通过交互认证相关的报文进行双方身份的认证；自定义节点与Tor网络节点握手的认证握手过程包括以下步骤：

S211，发起者首先发送版本报文来发起协商；

S212，响应者收到后返回版本报文、证书报文、认证挑战报文、网络信息报文给发起者用以认证身份；

S213，发起者根据收到的版本报文协商通信的Tor网络的版本，解析网络报文载荷并提取网络报文载荷的版本字段；然后，根据版本字段判定响应者为自定义网络节点还是Tor网络节点；

S214，发起者选择对响应者认证身份或不对响应者认证身份：若连接的是Tor网络节点，则不对响应者进行身份认证；若节点的是自定义节点，则对响应者认证身份；

S215，当发起者收到响应者发送的报文组合后，发起者通过认证算法来确认响应者的身份，并将自身的证书信息封装在证书报文中，将认证的结果放在认证挑战报文中，并同样发送报文组合到响应者，响应者通过同样的认证算法来确认发起者的身份。

作为一种优选的技术方案，步骤S22中，密钥协商采用Tor网络的NTor协议和Curve25519密钥协商算法进行数据报文封装，具体包括以下步骤：

S221，客户端适配Tor链路密钥协商报文，由客户端软件发送密钥协商报文，密钥协商报文的DATA字段的格式与Tor网络中链路创建报文的DATA字段格式一致，密钥协商报文的其他字段为自定义字段；

S222，自定义入口节点进行协议转换，自定义入口节点接收到链路扩展报文时，将密钥协商报文按照链路创建报文增加报文控制命令字段进行封装，转换成为Tor网络协议报文；

S223，Tor网络节点接收到数据后，回复链路创建确认报文给自定义入口节点完成协商；

S224，自定义入口节点在接收到链路创建确认报文后，将链路创建确认报文转换成自定义协议的报文格式，然后将转换后的报文数据转发至客户端。

作为一种优选的技术方案，步骤S3包括以下步骤：

S31，客户端使用自定协议报文格式将封装协商得到的密钥加密报文，然后将密钥加密报文发送至自定义入口节点；

S32，自定义入口节点使用本层密钥解密加密报文，然后根据Tor网络协议对密钥加密报文进行封装，将封装后的密钥加密报文转换成Tor网络协议报文；

S33，Tor网络节点同样对加密报文进行解密处理，然后将解密完成后的数据报文按照Tor网络协议方式发送至自定义出口节点或者Tor出口节点；

S34，出口节点对报文载荷进行最后一层数据解密，发送至目标主机中，完成数据传输。

一种面向Tor网络的混合匿名链路通信系统，基于所述的一种面向Tor网络的混合匿名链路通信方法，包括依次电相连的以下模块：

Tor网络节点获取与选择模块：用以，自定义匿名通信协议，利用匿名通信协议部署网络节点，以及，获取Tor网络全网节点信息并挑选Tor中继节点；

链路扩展模块：用以，将自定义的匿名通信协议与洋葱网络通信协议进行协议转换实现兼容，融合Tor网络资源，从而构建混合匿名链路；

数据传输模块：用以，发送端通过构建的混合链路，根据Tor网络节点在混合链路中的位置，采用匿名通信协议或洋葱网络通信协议对网络报文载荷进行格式封装，然后通过混合链路传输给目的主机。

本发明相比于现有技术，具有以下有益效果：

（1）本发明采用Tor网络作为公开的公共网络，其节点由全球志愿者提供，节点本身与用户无任何关联，能够更好地提供链路的隐蔽性；

（2）本发明采用能够极大扩充自定义的链路资源，极大地提高了链路的复杂性；

（3）本发明极大地提高了链路背景流量的隐蔽性；

（4）本发明相对于直接使用Tor网络，能够采用自定义协议仅利用Tor网络单个节点，在保证传输效率的前提下，提升通信链路的安全性，绕过Tor网络的监控。

附图说明

图1为本发明所述的一种面向Tor网络的混合匿名链路通信方法的步骤示意图；

图2为实现本发明所述的一种面向Tor网络的混合匿名链路通信方法的网络拓扑图；

图3为本发明所述的一种面向Tor网络的混合匿名链路通信方法的总体流程示意图；

图4为与Tor网络节点握手过程示意图；

图5为CREATE DATA报文格式图；

图6为CREATED DATA报文格式；

图7为EXTENDED DATA报文格式图。

具体实施方式

下面结合实施例及附图，对本发明作进一步的详细说明，但本发明的实施方式不限于此。

实施例

如图1至图7所示，本方法提出一种面向Tor网络的混合匿名链路通信方法，充分利用Tor等公共平台的公开网络资源，有效补充自建资源池，减少资源投入成本，同时，利用外部节点和海量背景流量的优势，增加通信链路的复杂性，进而来提高数据传输的安全性。

如图1所示，本发明一种面向Tor网络的混合匿名链路通信方法，利用Tor网络的节点资源构建混合匿名链路，包括以下过程：

1）Tor网络节点获取与选择：首先利用自建节点构建单跳的通信链路，连接Tor网络公开的权威目录服务器下载Tor网络全网节点信息，然后根据本地节点选择策略随机挑选Tor中继节点，并下载该节点身份信息。

2）链路扩展：在自定义协议的基础上，融合Tor网络资源需兼容洋葱网络通信协议，主要分为TLS建立过程和虚链路建立过程。TLS建立过程主要由跳转节点进行协议适配和转换，主要包括：版本协商、证书认证、网络信息校验以及链路扩展等；应用虚链路建立过程主要由客户端软件进行协议适配，主要包括虚链路密钥协商和数据流传输。

3）数据传输：发送端通过构建的混合链路，根据Tor节点在链路中的位置，由终端软件采用不同的协议对数据进行格式封装，若Tor节点作为链路的出口节点，则数据报文创建需按照Tor Relay报文（中继数据报文）格式封装数据；若Tor节点仅作为中继节点，则数据报文直接使用自定义协议报文封装格式，Tor节点仅检验虚链路相关命令进行转发即可。

本实施例提供了一种面向Tor网络的混合匿名链路通信方法，在自定义协议的基础上，根据Tor网络协议的分析，通过数据报文的格式转换和处理，适配和兼容Tor网络节点协议，从而达到利用Tor网络节点和自定义节点构建混合匿名链路进行匿名数据传输的目的。

本发明旨在利用Tor网络的节点，通过与Tor节点构建链路来扩充自定义协议构建链路的网络资源，并利用Tor的海量用户和通信链路隐藏自定义的通信链路，本实施例将以3跳链路为例进行描述，其方法实现的网络拓扑图如图2所示：

自定义出口和入口均为自定义部署节点，采用自定义协议。Tor路由则是Tor网络中继路由节点。整体过程包括3个阶段：节点获取和选择、链路扩展以及数据传输，其总体流程如图3所示。

本方法的具体实现流程描述如下：

步骤1：在节点获取阶段，使用自定义协议与自定义入口节点创建单跳的加密通信链路，访问Tor网络权威目录服务获取网络路由节点，其路径为：http://<hostname>:<port>/tor/status-vote/current/consensus.z，同时加载Tor网络节点描述文件，根据节点的Flag标志位选取中继节点，其Tor网络权威目录服务如下表所示：

步骤2：根据自定义选路算法，结合本地节点选取情况，选择可用、安全的Tor网络节点资源，具体策略包括以下几点：

1)国家/地区：指定、排斥以及互斥国家或地区节点的策略；

2)IP及IP段：指定单个IP或者互斥相关的IP段；

3)节点性能：包括带宽以及稳定性等参数；

4)节点类型及策略：节点在Tor网络中的角色；

5)节点限制：节点的限制策略。

步骤3：在Tor网络节点选择完成并获取描述信息（包括：IP、端口、证书、公约、指纹以及OnionKey等信息，其中，OnionKey指临时密钥）的基础上，在链路扩展阶段首先由入口节点将链路扩展到Tor网络节点。

根据Tor网络协议，自定义节点首先需准备以下证书文件：

tmpIDCert：自签发证书，用于兼容Tor协议，连接Tor节点（Tor协议要求签发证书为自签发）；

tmpLinkCert：用于兼容Tor协议的Link证书，由自签发的tmpIDCert签发，用于节点认证阶段中服务端发送；

tmpAuthCert：用于兼容Tor协议的Auth证书，由自签发的tmpIDCert签发，用于节点认证阶段中客户端发送。

链路扩展具体包括：

1）TLS连接：

自定义协议构建的网络中采用TLS/SSLv3对系统节点在做链路认证与加密，节点与节点之间的TLS握手采用v3握手，创建TLS连接时，发起者不发送认证证书，响应者回复一个单独的认证证书。发起者收到认证证书后将对其进行验证。在这里，认证证书选择tmpIDCert签发的tmpLinkCert，以保证对Tor节点的兼容。

2）节点认证：

Tor网络协议的报文格式如下表所示：

当自定义节点与Tor节点间完成TLS连接后，需要进行身份认证，通过双方认证相关的报文的交换确认双方的身份。与Tor网络节点握手，需根据其版本信息选择相应的认证方式，其认证握手协议过程如图4所示：

（1）发起者首先发送VERSIONS Cell（版本报文）来发起协商。

（2）响应者收到后返回一个VERSIONS Cell，一个CERTS Cell（证书报文），一个AUTH_CHALLENGE Cell（认证挑战报文），NETINFO Cell（网络信息报文）给发起者用以认证身份。

（3）发起者根据收到的VERSIONS Cell协商版本，解析Payload字段中包含255版本，可判定对方为自定义节点；否则为Tor节点。

（4）发起者可选择对响应者认证身份或不对响应者认证身份，若连接的是Tor节点，则不对响应者进行身份认证；若节点的是自定义节点，则对响应者认证身份。VERSIONSCell包含各自支持的协议版本，CERTS Cell包含响应者的身份证书，发起者收到后通过对证书的认证和解析确定响应者的身份，AUTH_CHALLENGE Cell包含响应者随机生成的字符串，发起者收到后使用相同的算法对字符串做hash计算并作为结果返回给响应者，NETINFOCell包含各自的IP地址和端口。

当发起者收到响应者发送的报文组合后，发起者通过认证算法来确认响应者的身份。并将自身的证书信息封装在CERTS Cell中，将认证的结果放在AUTHENTICATE Cell（认证挑战响应报文）中，并同样的发送报文组合到响应者。响应者通过同样的认证算法来确认发起者的身份。

步骤4：在入口节点与Tor网络节点TLS连接完成建立和认证后，则由客户端与Tor节点进行密钥协商。密钥协商方式采用Tor网络最新的NTor协议和Curve25519密钥协商算法进行实现和数据报文封装。

1）客户端适配Tor链路密钥协商报文，由客户端软件发送密钥协商报文，其报文格式为Tor网络中CREATE DATA字段格式，其他字段为自定义字段，如图5所示。

HTYPE取值为0x0002；

HDATA包括节点指纹（20字节），OnionKey（32字节），临时公钥（32字节）总长度为84字节，因此HLEN取值为84；

2）自定义入口节点进行协议转换，在自定义入口节点接收到链路扩展报文时，将报文按照CREATE报文（链路创建报文）增加报文控制命令字段进行封装，转换成为Tor网络协议报文。

3）Tor节点接收到数据后回复CREATED报文（链路创建确认报文）完成协商，报文格式如图6所示。

HDATA包括返回的临时公钥（32字节），计算Hash值Auth（32字节）因此，HLEN值为64。

4）自定义入口节点在接收到CREATED报文后，转换成自定义协议的报文格式将数据转发至客户端。

步骤5：客户端与Tor网络节点完成密钥协商后，也即是完成了到Tor路由节点的链路扩展，下一步将通过Tor网络节点再次扩展到自定义出口节点，其中TLS连接和认证握手与步骤3一致，不同的是客户端须向Tor路由节点发送EXTEND命令，告诉Tor路由节点下一步的扩展目标，其报文格式如图7所示。

其中HTYPE+HLEN+HDATA与步骤4中的密钥协商参数一致。

NSPEC值为0x02，通常有2个连接说明符，主要采用第2个连接说明符。

第2个连接说明符：LSTYPE值为0x00，表示使用TCP+TLS，IP为IPv4；LEPEC主要包括4字节IP地址和2字节端口，因此，LSLEN值为6。

同样，在自定义出口节点处理完成之后，返回相应的EXTENDED报文，其格式与CREATED报文。

步骤6：在步骤5中已经完成了混合链路的构建，本步骤简要描述数据发送过程，当出口节点为自定义节点时，发送的数据报文利用自定义的数据报文；而当出口节点为Tor网络节点时，则采用Tor网络的数据流报文格式。

过程中主要的处理流程如下：

（1）客户端发送采用不同密钥加密的报文，使用自定协议报文格式封装发送至自定义入口节点；

（2）自定义入口节点在报文使用本层密钥解密后，根据Tor网络协议对报文进行封装，转换成Tor网络协议报文。

（3）Tor网络节点同样对本次数据进行解密处理完成之后，将数据报文按照Tor网络接口发送至自定义出口节点或者Tor出口节点。

出口节点则对数据进行最后一层数据解密，发送至目标主机中，完成数据传输。

如上所述，可较好地实现本发明。

本说明书中所有实施例公开的所有特征，或隐含公开的所有方法或过程中的步骤，除了互相排斥的特征和/或步骤以外，均可以以任何方式组合和/或扩展、替换。

以上所述，仅是本发明的较佳实施例而已，并非对本发明作任何形式上的限制，依据本发明的技术实质，在本发明的精神和原则之内，对以上实施例所作的任何简单的修改、等同替换与改进等，均仍属于本发明技术方案的保护范围之内。

Claims (9)

1.一种面向Tor网络的混合匿名链路通信方法，其特征在于，在自定义协议的基础上，根据Tor网络协议的分析，对自定义协议的数据报文进行格式转换和处理，使自定义协议兼容Tor网络节点协议，利用Tor网络节点和自定义网络节点构建混合匿名链路进行匿名数据传输。

2.根据权利要求1所述的一种面向Tor网络的混合匿名链路通信方法，其特征在于，包括以下步骤：

S1，Tor网络节点获取与选择：自定义匿名通信协议，利用匿名通信协议部署网络节点，以及，获取Tor网络全网节点信息并挑选Tor中继节点；

S2，链路扩展：将自定义的匿名通信协议与洋葱网络通信协议进行协议转换实现兼容，融合Tor网络资源，从而构建混合匿名链路；

S3，数据传输：发送端通过构建的混合链路，根据Tor网络节点在混合链路中的位置，采用匿名通信协议或洋葱网络通信协议对网络报文载荷进行格式封装，然后通过混合链路传输给目的主机。

3.根据权利要求2所述的一种面向Tor网络的混合匿名链路通信方法，其特征在于，步骤S1包括以下步骤：

S11，定义匿名通信协议，利用匿名通信协议部署网络节点，然后利用部署的网络节点构建单跳的通信链路；

S12，客户端软件通过单跳的通信链路与Tor网络权威目录服务器进行网络连接，然后客户端软件下载Tor网络节点信息；

S13，随机挑选Tor中继节点，并下载该Tor中继节点身份信息。

4.根据权利要求3所述的一种面向Tor网络的混合匿名链路通信方法，其特征在于，步骤S2包括以下步骤：

S21，TLS建立：由跳转节点进行协议适配和转换；具体包括：在步骤S13的基础上，由入口节点将链路扩展到Tor网络节点，然后在入口节点与Tor网络节点TLS连接完成建立和认证；

S22，虚链路建立：由客户端软件进行协议适配。

5.根据权利要求4所述的一种面向Tor网络的混合匿名链路通信方法，其特征在于，步骤S22具体包括：

在入口节点与Tor网络节点TLS连接完成建立和认证后，由客户端与Tor网络节点进行密钥协商；然后，客户端与Tor网络节点完成密钥协商后，通过Tor网络节点再次扩展到自定义出口节点。

6.根据权利要求5所述的一种面向Tor网络的混合匿名链路通信方法，其特征在于，步骤S21中，当自定义节点与Tor网络节点间完成TLS连接后，双方需要通过交互认证相关的报文进行双方身份的认证；自定义节点与Tor网络节点握手的认证握手过程包括以下步骤：

S211，发起者首先发送版本报文来发起协商；

S212，响应者收到后返回版本报文、证书报文、认证挑战报文、网络信息报文给发起者用以认证身份；

S213，发起者根据收到的版本报文协商通信的Tor网络的版本，解析网络报文载荷并提取网络报文载荷的版本字段；然后，根据版本字段判定响应者为自定义网络节点还是Tor网络节点；

S214，发起者选择对响应者认证身份或不对响应者认证身份：若连接的是Tor网络节点，则不对响应者进行身份认证；若节点的是自定义节点，则对响应者认证身份；

S215，当发起者收到响应者发送的报文组合后，发起者通过认证算法来确认响应者的身份，并将自身的证书信息封装在证书报文中，将认证的结果放在认证挑战报文中，并同样发送报文组合到响应者，响应者通过同样的认证算法来确认发起者的身份。

7.根据权利要求6所述的一种面向Tor网络的混合匿名链路通信方法，其特征在于，步骤S22中，密钥协商采用Tor网络的NTor协议和Curve25519密钥协商算法进行数据报文封装，具体包括以下步骤：

S221，客户端适配Tor链路密钥协商报文，由客户端软件发送密钥协商报文，密钥协商报文的DATA字段的格式与Tor网络中链路创建报文的DATA字段格式一致，密钥协商报文的其他字段为自定义字段；

S222，自定义入口节点进行协议转换，自定义入口节点接收到链路扩展报文时，将密钥协商报文按照链路创建报文增加报文控制命令字段进行封装，转换成为Tor网络协议报文；

S223，Tor网络节点接收到数据后，回复链路创建确认报文给自定义入口节点完成协商；

S224，自定义入口节点在接收到链路创建确认报文后，将链路创建确认报文转换成自定义协议的报文格式，然后将转换后的报文数据转发至客户端。

8.根据权利要求1至7任一项所述的一种面向Tor网络的混合匿名链路通信方法，其特征在于，步骤S3包括以下步骤：

S31，客户端使用自定协议报文格式将封装协商得到的密钥加密报文，然后将密钥加密报文发送至自定义入口节点；

S32，自定义入口节点使用本层密钥解密加密报文，然后根据Tor网络协议对密钥加密报文进行封装，将封装后的密钥加密报文转换成Tor网络协议报文；

S33，Tor网络节点同样对加密报文进行解密处理，然后将解密完成后的数据报文按照Tor网络协议方式发送至自定义出口节点或者Tor出口节点；

S34，出口节点对报文载荷进行最后一层数据解密，发送至目标主机中，完成数据传输。

9.一种面向Tor网络的混合匿名链路通信系统，其特征在于，基于权利要求1至8任一项所述的一种面向Tor网络的混合匿名链路通信方法，包括依次电相连的以下模块：

Tor网络节点获取与选择模块：用以，自定义匿名通信协议，利用匿名通信协议部署网络节点，以及，获取Tor网络全网节点信息并挑选Tor中继节点；

链路扩展模块：用以，将自定义的匿名通信协议与洋葱网络通信协议进行协议转换实现兼容，融合Tor网络资源，从而构建混合匿名链路；

数据传输模块：用以，发送端通过构建的混合链路，根据Tor网络节点在混合链路中的位置，采用匿名通信协议或洋葱网络通信协议对网络报文载荷进行格式封装，然后通过混合链路传输给目的主机。

Images