ANFW Detection of the Tor Network Based on ResNet

Dans l'architecture vaste et invisible d'Internet, il existe un système conçu pour préserver la confidentialité des conversations, semblable à une série d'enveloppes scellées transmises à travers une chaîne de coursiers de confiance. Il s'agit du réseau Tor, un outil qui permet aux gens de communiquer sans révéler qui ils sont ni où ils se trouvent. Il fonctionne en faisant rebondir les données à travers plusieurs couches de chiffrement et différents serveurs à travers le monde, garantissant qu'auc qu'un observateur unique ne puisse voir simultanément l'expéditeur et le destinataire. Pendant des années, ce système s'est révélé remarquablement efficace pour résister aux méthodes d'espionnage traditionnelles, qui tentent généralement de lire le contenu des messages ou de suivre le chemin spécifique emprunté par un message. Cependant, un nouveau type de menace est apparu, qui ne cherche pas à lire le message ou à briser le code. Au lieu de cela, il tente d'altérer subtilement le rythme même de la conversation, transformant le minutage des paquets de données en un signal caché capable de lier un utilisateur à sa destination.

Les chercheurs savent depuis longtemps que même le trafic chiffré possède un battement de cœur. Chaque fois qu'un ordinateur envoie une requête et reçoit une réponse, il existe de minuscules pauses naturelles entre les paquets de données. Un attaquant peut exploiter cela en retardant légèrement certains de ces paquets pour y intégrer un code invisible et unique. Cette technique, connue sous le nom de tatouage numérique actif de flux réseau (active network flow watermarking), ne modifie pas le contenu du message, de sorte que le chiffrement reste intact, mais elle modifie le schéma temporel d'une manière que seul l'attaquant peut reconnaître. Si un attaquant peut observer ce schéma au début du voyage et à nouveau à la fin, il peut prouver qui parle à qui, brisant ainsi l'anonymat que le réseau promet de protéger. Le défi pour les défenseurs a été de repérer ces rythmes subtils et artificiels sans savoir exactement à quoi ressemble le code de l'attaquant, une tâche difficile car les changements sont si minimes qu'ils peuvent facilement être confondus avec une congestion ou des délais normaux du réseau.

Une équipe de chercheurs de l'Université du Sud-Est, de l'Université de Science et Technologie Électronique de Chine et de China Telecom a développé une nouvelle méthode pour détecter ces signaux cachés en traitant le problème comme une tâche de reconnaissance d'images. Plut lieu de chercher à décoder le tatouage spécifique ou de comprendre la mathématique complexe de la façon dont le minutage a été altéré, ils se sont concentrés sur le comportement global du flux de données. Ils ont réalisé que si un retard isolé peut ressembler à un bruit aléatoire, une série de retards crée un motif distinct, semblable à une empreinte digitale. Pour rendre ce motif visible à un ordinateur, les chercheurs ont d'abord collecté des données à partir du trafic réel de Tor, capturant des millions de paquets sur plusieurs jours. Ils ont extrait vingt-quatre mesures différentes de ces données, telles que le nombre total de paquets, la durée de la conversation et le temps moyen entre chaque paquet. Ils ont ensuite combiné ces mesures avec une longue séquence des intervalles de temps réels entre les paquets, créant une seule et longue liste de nombres décrivant l'intégralité du flux.

L'aspect ingénieux de leur approche fut de transformer cette longue liste de nombres en une image. Ils ont disposé les nombres dans une grille et les ont convertis en une image en niveaux de gris, où la luminosité de chaque pixel représentait une valeur spécifique des données. Dans ce format visuel, les différences subtiles entre un trafic normal et non altéré et un trafic qui a été manipulé sont devenues des textures claires qu'un ordinateur pouvait apprendre à reconnaître. Ils ont injecté ces images dans un type d'intelligence artificielle appelé réseau de neurones résiduels, un système conçu pour apprendre des motifs complexes en observant de nombreuses couches de détails. Ce système a été entraîné pour distinguer la « texture » d'une conversation normale de la « texture » d'une conversation marquée par un tatouage. En entraînant le système sur des milliers de ces images, les chercheurs lui ont appris à repérer les signes révélateurs d'une attaque, quel que soit le procédé spécifique utilisé par l'attaquant pour cacher son signal.

Les résultats de leurs expériences ont été frappants. Testé contre quatre types différents d'attaques par tatouage, le système a identifié avec succès la grande majorité d'entre elles. Pour trois des méthodes d'attaque, le système a atteint un taux de précision de plus de 95 %, ce qui signifie qu'il a correctement identifié la présence d'un tatouage presque à chaque fois. Même contre l'attaque la plus difficile, conçue pour être très dure à détecter, le système a tout de même réussi à la trouver 75 % du temps, ce qui représente une amélioration significative par rapport aux méthodes précédentes qui peinaient souvent face à ce type de menace spécifique. Les chercheurs ont également comparé leur nouveau système basé sur l'image aux anciennes méthodes plus traditionnelles d'analyse de données, telles que les simples vérifications statistiques. Ils ont constaté que si les anciennes méthodes étaient plus rapides, elles manquaient de nombreuses attaques subtiles. Le nouveau système, bien qu'il nécessite plus de temps pour traiter les données, offrait un niveau de certitude bien plus élevé, prouvant que considérer le flux de données comme un motif visuel est un moyen puissant de se défendre contre ces intrusions invisibles.

Ce travail représente un changement dans notre façon de concevoir la protection de la vie privée sur Internet. Au lieu de chercher à surpasser un attaquant en devinant son code spécifique, la nouvelle méthode cherche simplement à identifier le fait que quelque chose a changé. Elle traite le trafic réseau comme un être vivant doté d'un rythme naturel et écoute le moment où ce rythme est artificiellement altéré. Bien que le système ne soit pas encore parfait et nécessite plus de puissance de calcul que les outils plus anciens, il démontre que l'apprentissage profond peut être utilisé pour défendre l'anonymat de manières auparavant impossibles. Les chercheurs ont confirmé qu'en transformant les données en images, ils pouvaient déceler des motifs invisibles pour l'analyse standard, offrant ainsi une nouvelle couche de sécurité à ceux qui comptent sur le réseau Tor pour garder leurs communications privées. L'étude suggère que tant que les attaquants tenteront de dissimuler leurs traces dans le minutage des données, les défenseurs pourront utiliser la puissance de la reconnaissance de formes pour les trouver, transformant la nature même du comportement du réseau en un bouclier.