方滨兴等研究如何识别Tor的混淆插件

前北邮校长方滨兴等人在《计算机研究与发展》上发表论文《匿名通信系统不可观测性度量方法》（PDF），报告他们能通过观察Tor混淆插件的流量模式将其识别出来。

为了躲避深度包检查，研究人员开发出了协议混淆工具，Tor匿名网络开发的传输层协议混淆插件包括obfsprox（obfsproxy3和obfsproxy4），meek和fte等。研究人员从Tor官网下载软件，对传输流量进行一番研究后很快发现Tor的混淆插件容易受到时间分析攻击。

他们发现，meek、网桥和HTTPS的流量数据包内部时间间隔基本相同，但meek的数据包在0.5-2秒附近有一个明显的抖动，原因是meek客户端为了与云平台保持长连接而自动在空闲时发送一个心跳包，心跳包是随机在0.1秒-5秒之间选择一个值。他们还观察到了其它两个数据模式：网桥模式下数据包大小在600B附近比较集中，原因也与Tor的数据包设计有关；meek模式下客户端到服务数据包大小在200B左右，服务器到客户端400B左右。


来源：

http://www.solidot.org/story?sid=46354