[论文解读] Tails & Tor and other tools for Safeguarding Online Activities.

Stephanie Abraham, Tyler Silva+2 more|arXiv (Cornell University)|Oct 24, 2017

Internet Traffic Analysis and Secure E-voting被引用 3

一句话总结

本文研究了Tails和Tor作为匿名在线活动的隐私增强工具，详细阐述了其技术运作机制、取证挑战以及在隐藏用户身份方面的局限性。文章探讨了尽管存在加密和混淆技术，执法机构仍可获取与Tor相关的证据，同时识别出罪犯用于逃避检测的新兴工具，如暗池、游戏主机和加密货币。

ABSTRACT

There are not many known ways to break Tor anonymity, and they require an enormous amount of computational power. Controlling both entrance and exit nodes allows an attacker to compromise client IP with enough pattern analysis. If an .onion or public website does not use SSL, information will not be encrypted once it reaches the exit node. Tor has been successfully broken by Carnegie Mellon, however they will not answer questions nor confirm their method. This research paper investigates Tails & Tor and other tools for Safeguarding Online Activities.

研究动机与目标

• 分析Tails和Tor在实现在线匿名方面的技术机制。
• 识别由于临时数据和加密导致的在调查Tails和Tor使用时的取证挑战。
• 研究罪犯用于掩盖数字足迹的新兴工具和技术，如暗池、游戏主机和加密货币。
• 评估基于Tor的匿名性的局限性，以及尽管存在强加密，仍可追踪用户的方法。
• 评估BitCoin和I2P等新技术在促进非法在线活动中的作用。

提出的方法

• 分析Tails作为基于Debian架构的实时只读Linux发行版，从可移动介质运行，不对主机系统留下持久痕迹，并使用LUKS磁盘加密。
• 研究Tor的洋葱路由协议，该协议对数据进行多层加密，并通过中继节点传输，每个中继仅解密下一层的路由信息。
• 调查由于Tails系统缺乏本地痕迹而带来的网络和云取证证据获取挑战。
• 评估在Tails中使用MAC地址伪装等混淆技术以规避设备级追踪的效果。
• 回顾第三方工具（如使用OTR的Pidgin、使用GnuPG的Claws，以及Electrum）在加密通信和加密货币使用中的作用。
• 评估游戏主机和暗池作为替代性、较少被监控的通信与交易渠道的使用情况。

实验结果

研究问题

• RQ1 Tails和Tor如何协同工作以在在线活动中实现端到端匿名？
• RQ2 调查Tails和Tor使用时面临的关键取证挑战是什么？哪些证据来源仍然可访问？
• RQ3 罪犯正在使用哪些新兴工具和技术来在Tor和Tails之外维持匿名？
• RQ4 尽管存在强加密和混淆技术，调查人员仍可通过哪些方式追踪私有网络（如Tor）上的用户？
• RQ5 暗池在金融市场中如何运作？其对执法机构和监管监督有何影响？

主要发现

• Tails通过从可移动介质以实时只读操作系统运行，确保匿名性，不对主机计算机留下持久痕迹。
• Tor通过多层加密和中继路由技术隐藏数据包的来源，每个中继仅知晓链路中的下一跳信息。
• 由于缺乏本地日志且通常无法获取root访问权限，调查人员在分析Tails系统时面临重大取证挑战。
• 尽管具备强匿名性，调查人员仍可能通过识别真实MAC地址或进行网络级流量分析来追踪用户。
• 罪犯越来越多地使用去中心化工具（如BitCoin、I2P和游戏主机，例如PS4）以绕过传统监控和通信监视。
• 暗池使大规模匿名股票交易成为可能，可能扭曲市场透明度并造成不公平优势，引发监管机构和执法部门的担忧。