Miért volt szükség a változásra?
A Tor hálózat világszerte több ezer relét működtet; ezek három lépésben továbbítják az adatokat: belépő, középső és kilépő pontok között, minden ugrásnál újabb titkosítási réteg kerül az adatokra (ez az úgynevezett onion routing, vagyis hagymaalapú adattovábbítás). Az internetezők így anonim módon böngészhetnek, kommunikálhatnak és információkat oszthatnak meg, ráadásul elkerülhetik a cenzúrát, a szolgáltatói szintű követést vagy akár a bűnözői tevékenységek feltérképezését. A Tor főleg olyanok számára készült, akiknek különösen fontos a magánszféra, például ellenállók, újságírók, aktivisták és kutatók.
A régi titkosítás hibái
A korábbi tor1 kódot még egy jóval elavultabb kriptográfiai korszakban tervezték, amikor a szabványok messze elmaradtak a maiaktól. Három fő hibával küzdött: egyrészt hiányzott a minden lépésnél történő forgalomhitelesítés, így egy támadó könnyen módosíthatott adatokat a relék között (ez az úgynevezett „tagging” támadás). Másrészt a titkosító kulcsokat újrahasznosították, vagyis kulcsellopás esetén a teljes forgalmat visszafejthették. Harmadrészt a cellák ellenőrzésére használt SHA-1 algoritmus csak 4 bájtos azonosítót alkalmazott, így egy a négymilliárdhoz eséllyel észrevétlenül lehetett forgalmat hamisítani.
Az új CGO algoritmus előnyei
A Counter Galois Onion már mindhárom problémára megoldást hoz. A cellák titkosítását minden üzenetküldéskor új kulccsal végzi, így ha el is lopnak egy kulcsot, a korábbi adattovábbítás sem visszafejthető. A cellán belüli hitelesítés 16 bájtosra bővült, a SHA-1-et teljesen elhagyták, így az adatmanipuláció gyakorlatilag kizárt. Ráadásul minden apró módosítás tönkreteszi a cellasorozatot, így a „tagging” támadások gyakorlatilag lehetetlenné váltak.
Mikor élvezhetjük az új védelmet?
Az új algoritmus bevezetése a C-alapú Tor programban és a Rust-alapú Arti kliensben már zajlik, egyelőre kísérleti (teszt) fázisban. Az átállás automatikus lesz, a Tor böngészőt használóknak nem kell semmit tenniük. Pontos dátumot még nem közöltek, de a fejlesztés előrehaladtával mindenki profitálhat az új, kutatásokon alapuló, modern védelemből.
