ANFW Detection of the Tor Network Based on ResNet

In de uitgestrekte, onzichtbare architectuur van het internet bestaat een systeem dat ontworpen is om gesprekken privé te houden, vergelijkbaar met een reeks verzegelde enveloppen die door een keten van vertrouwde koeriers worden doorgegeven. Dit is het Tor-netwerk, een hulpmiddel dat mensen in staat stelt te communiceren zonder te onthullen wie ze zijn of waar ze zich bevinden. Het werkt door data door meerdere lagen van encryptie en verschillende servers over de hele wereld te stuiteren, waardoor wordt gewaarborgd dat geen enkele waarnemer tegelijkertijd zowel de zender als de ontvanger kan zien. Jarenlang is dit systeem opmerkelijk effectief gebleken in het weerstaan van traditionele spionagemethoden, die meestal proberen de inhoud van berichten te lezen of het specifieke pad dat een bericht aflegt te volgen. Echter, er is een nieuw soort dreiging opgekomen die niet probeert het bericht te lezen of de code te breken. In plaats daarvan probeert het het ritme van het gesprek zelf subtiel te veranderen, waarbij het timingpatroon van datapakketjes verandert in een verborgen signaal dat een gebruiker aan zijn bestemming kan koppelen.

Onderzoekers wisten al lang dat zelfs versleuteld verkeer een hartslag heeft. Elke keer dat een computer een verzoek verzendt en een antwoord ontvangt, zijn er minuscule, natuurlijke pauzes tussen de pakketjes data. Een aanvaller kan dit exploiteren door sommige van deze pakketjes licht te vertragen om een unieke, onzichtbare code in te bedden. Deze techniek, bekend als actieve netwerkstroom-watermerking (active network flow watermarking), verandert de inhoud van het bericht niet, waardoor de encryptie intact blijft, maar het verandert het tijdpatroon op een manier die alleen de aanvaller kan herkennen. Als een aanvaller dit patroon aan het begin van de reis kan zien en opnieuw aan het einde, kan hij bewijzen wie met wie praat, waardoor de anonimiteit die het netwerk belooft te beschermen, effectief wordt doorbroken. De uitdaging voor verdedigers is geweest om deze subtiele, kunstmatige ritmes te ontdekken zonder precies te weten hoe de code van de aanvaller eruitziet, een taak die moeilijk is omdat de veranderingen zo klein zijn dat ze gemakkelijk kunnen worden aangezien voor normale netwerkcongestie of vertragingen.

Een team van onderzoekers van Southeast University, de University of Electronic Science and Technology of China en China Telecom heeft een nieuwe methode ontwikkeld om deze verborgen signalen te vangen door het probleem te behandelen als een beeldherkenningsopgave. In plaats van te proberen het specifieke watermerk te decoderen of de complexe wiskunde te begrijpen van hoe de timing werd aangepast, richtten zij zich op het algemene gedrag van de datastroom. Ze realiseerden zich dat hoewel een enkele vertraging eruit kan zien als willekeurige ruis, een reeks van dergelijke vertragingen een duidelijk patroon creëert, vergelijkbaar met een vingerafdruk. Om dit patroon zichtbaar te maken voor een computer, verzamelden de onderzoekers eerst data van echt Tor-verkeer, waarbij ze miljoenen pakketjes over meerdere dagen vastlegden. Ze extraheerden twintig-vier verschillende metingen uit deze data, zoals het totale aantal pakketjes, de duur van het gesprek en de gemiddelde tijd tussen elk pakketje. Vervolgens combineerden ze deze metingen met een lange sequentie van de werkelijke tijdsintervallen tussen de pakketjes, waardoor ze één lange lijst met getallen creëerden die de gehele stroom beschreef.

Het slimme deel van hun aanpak was het omzetten van deze lange lijst met getallen in een afbeelding. Ze rangschikten de getallen in een raster en zetten ze om in een grijswaardenafbeelding, waarbij de helderheid van elke pixel een specifieke waarde uit de data vertegenwoordigde. In dit visuele formaat werden de subtiele verschillen tussen normaal, ongewijzigd verkeer en verkeer dat was aangepast, duidelijke texturen die een computer kon leren herkennen. Ze voedden deze afbeeldingen aan een type kunstmatige intelligentie genaamd een residueel neuraal netwerk, een systeem dat is ontworpen om complexe patronen te leren door naar vele lagen van detail te kijken. Dit systeem werd getraind om onderscheid te maken tussen de "textuur" van een normaal gesprek en de "textuur" van een gesprek dat met een watermerk was gemarkeerd. Door het systeem te trainen op duizenden van deze afbeeldingen, leerden de onderzoekers het de tell-tale tekenen van een aanval te herkennen, ongeacht de specifieke methode die de aanvaller gebruikte om zijn signaal te verbergen.

De resultaten van hun experimenten waren opmerkelijk. Bij tests tegen vier verschillende soorten watermerk-aanvallen identificeerde het systeem de overgrote meerderheid van hen succesvol. Voor drie van de aanvallen-methoden bereikte het systeem een nauwkeurigheidspercentage van meer dan 95 procent, wat betekent dat het de aanwezigheid van een watermerk bijna elke keer correct identificeerde. Zelfs tegen de moeilijkste aanval, die ontworpen was om zeer moeilijk te detecteren, slaagde het systeem er nog steeds in om deze in 75 procent van de gevallen te vinden, wat een significante verbetering is ten opzichte van oudere methoden die vaak worstelden met dit specifieke type dreiging. De onderzoekers vergeleken hun nieuwe beeldgebaseerde systeem ook met oudere, meer traditionele manieren van data-analyse, zoals eenvoudige statistische controles. Ze ontdekten dat hoewel de oudere methoden sneller waren, ze veel van de subtiele aanvallen misten. Het nieuwe systeem, hoewel het meer tijd nodig heeft om de data te verwerken, bood een veel hoger niveau van zekerheid, waarmee bewezen werd dat het bekijken van de datastroom als een visueel patroon een krachtige manier is om te verdedigen tegen deze onzichtbare indringers.

Dit werk vertegenwoordigt een verschuiving in hoe we denken over het beschermen van privacy op het internet. In plaats van te proberen de aanvaller te slim af te zijn door diens specifieke code te raden, kij het nieuwe systeem simpelweg naar het feit dat er iets is veranderd. Het behandelt het netwerkverkeer als een levend wezen met een natuurlijk ritme en luistert naar het moment waarop dat ritme kunstmatig wordt gewijzigd. Hoewel het systeem nog niet perfect is en meer rekenkracht vereist dan oudere tools, demonstreert het dat deep learning kan worden gebruikt om anonimiteit te beschermen op manieren die voorheen onmogelijk waren. De onderzoekers bevestigden dat door data in afbeeldingen te transformeren, zij patronen konden onthullen die onzichtbaar waren voor standaardanalyse, wat een nieuwe laag van beveiliging biedt voor degenen die vertrouwen op het Tor-netwerk om hun communicatie privé te houden. De studie suggereert dat zolang aanvallers proberen hun sporen te verbergen in de timing van de data, verdedigers de kracht van patroonherkenning kunnen gebruiken om hen te vinden, waardoor de natuurlijke aard van het gedrag van het netwerk zelf in een schild wordt veranderd.