Луковая маршрутизация

Идея луковой маршрутизации состоит в том, чтобы сохранить анонимность отправителя и получателя данных и обеспечить защиту полезной нагрузки во время ее передачи по сети. При луковой маршрутизации пакеты данных передаются из источника к месту назначения через последовательность прокси-серверов (луковых маршрутизаторов), которые перена­ правляют пакеты данных в непредсказуемом направлении. Чтобы избежать «прослушива­ ния» данных злоумышленником, между маршрутизаторами они передаются в зашифрован­ ном виде. Преимущество луковой маршрутизации (и смешанных соединений в целом) со­ стоит в том, что отпадает необходимость доверия каждому участвующему маршрутизатору. Даже если один или несколько из них окажутся взломанными, анонимное соединение все равно сможет быть установлено. Это достигается за счет того, что каждый маршрутизатор в такой сети принимает пакеты данных, шифрует их заново и передает их на другой луковый маршрутизатор.

Злоумышленник, имеющий возможность проводить мониторинг всех луковых маршрутиза­ торов в сети, теоретически может проследить путь пакетов данных через сеть, но задача его сильно усложняется, если он имеет доступ лишь к одному или даже нескольким маршрути­ заторам на пути пакетов данных. Тем не менее, луковая маршрутизация не предоставляет гарантированную анонимность для отправителя или получателя от всех потенциальных прослушиваний — при локальном прослушивании можно просмотреть весь трафик, пере­ данный с того или иного компьютера. Она обеспечивает лишь высокую степень несвязно­ сти, затрудняя определять отправителей и получателей.

vkПринцип.com/dwdwtorработы Тог

Самый распространенный способ реализации луковой маршрутизации — это проект Тог (от англ. The Onion Router, луковый маршрутизатор), созданный в 2004 году. Проект представ­ ляет собой средство организации системы прокси-серверов, позволяющей устанавливать анонимное сетевое соединение, защищенное от прослушивания. Система эта реализуется в виде анонимной сети виртуальных туннелей, предоставляющей возможность передачи данных в зашифрованном виде.

С помощью Тог пользователи могут сохранять анонимность в Интернете при посещении сайтов, ведении блогов, отправке мгновенных и почтовых сообщений, а также при работе с другими приложениями, использующими протокол TCP. Анонимизация трафика осуще­ ствляется за счет использования распределенной сети серверов — луковых маршрутизато­ ров. Технология Тог также обеспечивает защиту от инструментов анализа трафика, которые ставят под угрозу не только приватность в Интернете, но также конфиденциальность ком­ мерческих тайн, деловых переговоров и тайну связи в целом. Тог оперирует сетевыми уров­ нями луковых маршрутизаторов, позволяя создавать анонимные исходящие соединения и анонимные скрытые службы.

Снижения рисков перехвата и анализа трафика Тог добивается, настраивая ваши сеансы связи через каналы, проходящие через несколько компьютеров в Интернете. Вместо по­ строения прямого пути от источника до пункта назначения, пакеты данных в сети Тог пере­ сылаются по случайным маршрутам через несколько серверов. При этом ни один из серве­ ров не знает полного пути пакета данных — только от какого сервера пришли данные и ку­ да следует их передать. Для каждого транзитного участка между серверами на маршруте генерируется отдельный набор ключей шифрования.

рах этой сети установлено специальное программное обеспечение, позволяющее шифровать данные и передавать его друг другу (на рис. 17.2 эти компьютеры обозначены знаком X и, по сути, представляют собой луковые маршрутизаторы). Пусть Катерина хочет загрузить данные с сайта, расположенного на веб-сервере А (на рисунке отмечен как Сайт А), и при этом не выдать в запросе свой IP-адрес. Соединение происходит в два этапа: на первом этапе клиентская программа Тог компьютера Катерины запрашивает на сервере Тог данные об узлах Тог, их местоположении и характеристиках, а на втором этапе по имеющимся данным строится случайная цепочка из трех или более узлов Тог, по которой будет проис­ ходить обмен данными с сервером А.

vk.com/dwdwtor

Рис. 17.2. Запрос к серверу Тог о количестве и расположении узлов

Проще всего представить эту схему на примере цепочки в три узла. Итак, компьютер Кате­ рины шифрует данные и адрес места назначения, передаваемые на сервер А ключом по­ следнего, третьего компьютера в цепочке. Затем к этому зашифрованному пакету добавля­ ется адрес последнего узла в цепочке, и данные вновь шифруются, на этот раз ключом вто­ рого узла. А потом дважды зашифрованный пакет шифруется ключом первого узла цепочки. В получившемся пакете данные защищены тройным шифрованием разными клю­ чами, как слоями. Такой «слоеный» пакет отправляется первому узлу цепочки (рис. 17.3).

Первый узел, получив зашифрованный пакет данных, расшифровывает его своим ключом и, получив из него адрес второго узла цепочки, отправляет расшифрованный пакет ему. Вто­ рой узел так же расшифровывает полученный пакет и отправляет его третьему узлу. Прохо­ дя по цепочке, данные расшифровывается слой за слоем, пока не достигнут последнего узла цепочки. Последний узел — в нашем случае это третий — окончательно расшифровав пакет, отправляет незашифрованные данные на сервер А. Сервер А отправляет ответ обрат­ но на третий узел цепочки, где они вновь шифруются и передаются назад по цепочке на компьютер Катерины.

Таким образом, каждый узел в сети знает только адреса двух своих соседей по цепочке, при этом первый узел знает адрес клиентского компьютера, но не знает адреса сервера и изна­ чального содержимого пакета данных, а последний узел знает адрес сервера и содержимое