ANFW Detection of the Tor Network Based on ResNet

في البنية التحتية الشاسعة وغير المرئية للإنترنت، يوجد نظام مصمم للحفاظ على خصوصية المحادثات، تماماً مثل سلسلة من الأظرف المختومة التي يتم تمريرها عبر سلسلة من الرسل الموثوقين. هذه هي شبكة "تور" (Tor)، وهي أداة تتيح للناس التواصل دون الكشف عن هويتهم أو موقعهم. تعمل الشبكة من خلال تمرير البيانات عبر طبقات متعددة من التشفير وخوادم مختلفة حول العالم، مما يضمن عدم قدرة أي مراقب بمفرده على رؤية كل من المرسل والمستقبل في آن واحد. لسنوات طويلة، كان هذا النظام فعالاً بشكل ملحوظ في مقاومة أساليب التجسس التقليدية، التي تحاول عادةً قراءة محتوى الرسائل أو تتبع المسار المحدد الذي تسلكه الرسالة. ومع ذلك، ظهر نوع جديد من التهديدات لا يحاول قراءة الرسالة أو كسر الشفرة، بل يحاول بدلاً من ذلك تغيير إيقاع المحادثة نفسها ببراعة، محولاً توقيت حزم البيانات إلى إشارة خفية يمكنها ربط المستخدم بوجهته.

لقد عرف الباحثون منذ زمن طويل أنه حتى حركة المرور المشفرة لها "نبض قلب". ففي كل مرة يرسل فيها جهاز كمبيوتر طلباً ويتلقى رداً، تكون هناك فترات توقف طبيعية ضئيلة بين حزم البيانات. يمكن للمهاجم استغلال ذلك عن طريق تأخير بعض هذه الحزم قليلاً لدمج رمز فريد وغير مرئي. هذه التقنية، المعروفة باسم "العلامة المائية النشطة لتدفق الشبكة" (active network flow watermarking)، لا تغير محتوى الرسالة، لذا يظل التشفير سليماً، لكنها تغير نمط التوقيت بطريقة لا يستطيع التعرف عليها إلا المهاجم. إذا تمكن المهاجم من رؤية هذا النمط في بداية الرحلة ومرة أخرى في نهايتها، فيمكنه إثبات من يتحدث مع من، مما يؤدي فعلياً إلى كسر مجهولية الهوية التي تعد بها الشبكة. لقد كان التحدي الذي يواجه المدافعين هو رصد هذه الإيقاعات الاصطناعية الدقيقة دون معرفة شكل رمز المهاجم بالضبط، وهي مهمة صعبة لأن التغييرات صغيرة جداً لدرجة أنه يمكن الخلط بينها وبين الازدحام الطبيعي للشبكة أو التأخيرات العادية.

قام فريق من الباحثين من جامعة جنوب شرق، والجامعة الإلكترونية للعلوم والتكنولوجيا في الصين، وشركة "تشاينا تليكوم" بتطوير طريقة جديدة للإمساك بهذه الإشارات الخفية عبر التعامل مع المشكلة كأنها مهمة "تعرف على الصور". وبدلاً من محاولة فك تشفير العلامة المائية المحددة أو فهم الرياضيات المعقدة لكيفية التلاعب بالتوقيت، ركزوا على السلوك العام لتدفق البيانات. لقد أدركوا أنه بينما قد يبدو تأخير واحد وكأنه ضوضاء عشوائية، فإن سلسلة منها تخلق نمطاً مميزاً، تماماً مثل بصمة الإصبع. ولجعل هذا النمط مرئياً للكمبيوتر، جمع الباحثون أولاً بيانات من حركة مرور "تور" الحقيقية، حيث التقطوا ملايين الحزم على مدار عدة أيام. واستخرجوا أربعة وعشرين مقياساً مختلفاً من هذه البيانات، مثل العدد الإجمالي للحزم، ومدة استمرار المحادثة، ومتوسط الوقت بين كل حزمة وأخرى. ثم دمجوا هذه المقايسات مع تسلسل طويل من الفترات الزمنية الفعلية بين الحزم، لإنشاء قائمة واحدة طويلة من الأرقام التي تصف التدفق بأكمله.

كان الجزء الذكي في نهجهم هو تحويل هذه القائمة الطويلة من الأرقام إلى صورة. فقد رتبوا الأرقام في شبكة وحولوها إلى صورة بتدرج الرمادي، حيث تمثل درجة سطوع كل بكسل قيمة محددة من البيانات. وفي هذا التنسيق المرئي، أصبحت الاختلافات الطفيفة بين حركة المرور العادية غير المتلاعب بها وحركة المرिक्ष التي تم العبث بها عبارة عن "أنسجة" واضحة يمكن للكمبيوتر تعلم التعرف عليها. قام الباحثون بتغذية هذه الصور في نوع من الذكاء الاصطناعي يسمى "الشبكة العصبية المتبقية" (residual neural network)، وهو نظام مصمم لتعلم الأنماط المعقدة من خلال النظر في طبقات عديدة من التفاصيل. تم تدريب هذا النظام على التمييز بين "نسيج" المحادثة الطبيعية و"نسيج" المحادثة التي تم وضع علامة مائية عليها. ومن خلال تدريب النظام على آلاف من هذه الصور، علم الباحثون النظام كيفية رصد العلامات الدالة على الهجوم، بغض النظر عن الطريقة المحددة التي استخدمها المهاجم لإخفاء إشارته.

كانت نتائج تجاربهم مذهلة. فعند اختبار النظام ضد أربعة أنواع مختلفة من هجمات العلامة المائية، نجح في تحديد الغالبية العظمى منها. وبالنسبة لثلاثة من طرق الهجوم، حقق النظام معدل دقة تجاوز 95 بالمائة، مما يعني أنه حدد وجود العلامة المائية بشكل صحيح في كل مرة تقريباً. وحتى ضد أصعب هجوم، والذي صُمم ليكون صعب الكشف للغاية، تمكن النظام من العثور عليه بنسبة 75 بالمائة، وهو تحسن كبير مقارنة بالطرق السابقة التي كانت تعاني غالباً مع هذا النوع المحدد من التهديدات. كما قارن الباحثون نظامهم الجديد القائم على الصور بالأساليب التقليدية القديمة لتحليل البيانات، مثل الفحوصات الإحصائية البسيطة. ووجدوا أنه بينما كانت الطرق القديمة أسرع، إلا أنها كانت تفوت العديد من الهجمات الدقيقة. أما النظام الجديد، ورغم أنه يتطلب وقتاً أطول لمعالجة البيانات، فقد وفر مستوى أعلى بكثير من اليقين، مما أثبت أن النظر إلى تدفق البيانات كنمط مرئي هو وسيلة قوية للدفاع ضد هذه التسللات غير المرئية.

يمثل هذا العمل تحولاً في كيفية تفكيرنا في حماية الخصوصية على الإنترنت. فبدلاً من محاولة التفوق على المهاجم عبر تخمين شفرته المحددة، يبحث النهج الجديد ببساطة عن حقيقة حدوث تغيير ما. إنه يعامل حركة مرور الشبكة ككائن حي له إيقاع طبيعي، ويستمع إلى اللحظة التي يتم فيها تغيير هذا الإيقاع اصطناعياً. وبينما لا يعد النظام مثالياً بعد ويتطلب قوة حوسبة أكبر من الأدوات القديمة، إلا أنه يثبت أن التعلم العميق يمكن استخدامه للدفاع عن مجهولية الهوية بطرق كانت مستحيلة في السابق. وقد أكد الباحثون أنه من خلال تحويل البيانات إلى صور، استطاعوا كشف الأنماط التي كانت غير مرئية للتحليل القياسي، مما يوفر طبقة جديدة من الأمن لأولئك الذين يعتمدون على شبكة "تور" للحفاظ على خصوصية اتصالاتهم. وتشير الدراسة إلى أنه طالما حاول المهاجمون إخفاء آثارهم في توقيت البيانات، يمكن للمدافعين استخدام قوة "التعرف على الأنماط" للعثور عليهم، وتحويل طبيعة سلوك الشبكة نفسها إلى درع واقٍ.