Метод обнаружения и идентификации использования программного комплекса «ТОР»

Резюме: В данной работе представлен результат авторских исследований, направленных на разработку метода обнаружения и идентификации использования программного комплекса Тор в сетях передачи данных, в частности, в сети Интернет. На основе указанных признаков был разработан алгоритм, позволяющий реализовывать законное блокирование доступа пользователя популярного анонимайзера к глобальной сети. Предметом исследования был выбран сертификат SSL/TLS-шифрования, который передается сервером сети Тор в адрес пользователя программного комплекса и который содержит набор данных, необходимых для его идентификации в ходе осуществления TLS-«рукопожатия». В ходе исследования особенностей сертификатов были выявлены несколько отличительных признаков, а именно: имя субъекта и пользователя сертификата, которое представляет собой случайный набор букв и цифр; порт, используемый при подключении к анонимной сети; размер сертификата. На основе полученных данных предложен метод, позволяющий серверу провайдера блокировать соединение, в ходе которого происходит передача сертификата с определенными характеристиками.

Ключевые слова: информационная безопасность, деанонимизация, TLS сертификат, программный комплекс Тор, алгоритм.

V.V. Lapshichyov, O.B. Makarevich

Detection and identification method of the tor bundle use

Summary: This paper presents the result of author’s research aimed at developing a detecting and identifying method of the Tor Bundle use in data transmission networks, in particular, on the Internet. Based on these characteristics, an algorithm has been developed that allows legitimate blocking of user access to a global network by a popular anonymizer. The subject of the study was an SSL/TLS encryption certificate, which is transmitted by the Tor network server to the user of the Tor Bundle and which contains the set of data necessary for its identification during the implementation of the TLS “handshake”. In the course of the study of the certificates features, several distinguishing features were identified, namely: the name of the subject and issuer of the certificate, which is a random set of letters and numbers; port used when connecting to an anonymous network; certificate size. Based on the data received, a method is proposed that allows the provider’s server to block the connection during which a certificate with certain characteristics is transmitted.

Keywords: cyber security, deanonymising, TLS certificate, Tor Bundle, algorithm.

 doi 10.34219/2078-8320-2020-11-3-17-20