Pesquisa mostra que telemetria NetFlow grosseira já basta para deanonimizar serviços onion do Tor
Um estudo acadêmico demonstra que dados de NetFlow com granularidade baixa — contagens de pacotes amostradas a 1 em 1.000, agregadas por minuto — são suficientes para identificar o servidor real por trás de um serviço onion do Tor, tanto por ataques ativos (indução de padrões de tráfego) quanto por um ataque passivo que explora a defesa anti-DoS do próprio Tor como canal lateral. Os autores pedem redesenho dos sinais de defesa publicamente visíveis do protocolo.
O trabalho revisita um tipo de ataque de correlação de tráfego contra serviços onion do Tor, mas parte de uma premissa prática: em vez de assumir que o adversário tem acesso a metadados finos de tráfego (tamanho e timing de cada pacote, o que normalmente requer posição privilegiada na rede), os autores mostram que telemetria NetFlow — o tipo de dado de fluxo agregado que provedores e operadores de backbone já coletam rotineiramente para fins operacionais — já é suficiente. Isso reduz drasticamente a barreira de capacidade necessária para montar o ataque, porque NetFlow é um dado mais fácil de obter do que captura completa de pacotes, e normalmente já está disponível em logs de operadoras de rede.
São descritas três variantes de ataque. Duas são ativas: a primeira induz padrões de tráfego reconhecíveis através de downloads controlados contra o serviço alvo; a segunda generaliza essa ideia usando requisições de introdução controladas no próprio protocolo Tor, o que remove a dependência de características específicas da aplicação hospedada e amplia a aplicabilidade do ataque a qualquer onion service, independente do que ele hospeda. A terceira variante é passiva e tecnicamente a mais notável: ela não envia nenhum tráfego ao serviço-alvo, e em vez disso explora o mecanismo de defesa anti-DoS baseado em “puzzles” (prova de trabalho) que o Tor usa para proteger onion services — a dificuldade do puzzle, que é publicamente visível, varia com a carga do serviço, e essa variação pode ser correlacionada com os traços de NetFlow coletados na borda da rede para inferir qual servidor físico está hospedando aquele onion service.
O ponto de maior impacto prático é justamente a redução da barreira de capacidade do adversário: ataques de correlação de tráfego contra Tor já eram conhecidos, mas dependiam historicamente de acesso a metadados de pacote em granularidade fina, algo que normalmente só operadores de rede com instrumentação dedicada (ou agências estatais) conseguem obter sem cooperação do ISP. Ao mostrar que dados de NetFlow — já coletados por rotina em muitos backbones — bastam, o trabalho reposiciona esse tipo de ataque como algo potencialmente acessível a adversários com recursos bem mais modestos, o que tem implicações diretas tanto para quem depende do Tor para proteção de identidade quanto para quem conduz investigações de atribuição contra serviços ocultos.
Os próprios autores enquadram o achado como motivação para mitigação: recomendam repensar o desenho de sinais de defesa que são publicamente visíveis e correlacionáveis com carga de serviço (como a dificuldade do puzzle anti-DoS), já que esse tipo de sinal, pensado para proteger contra negação de serviço, acaba funcionando como canal lateral de deanonimização. Esse é um exemplo claro de como uma defesa de segurança (anti-DoS) pode introduzir um novo vetor de observação de rede se o sinal correspondente não for tratado com o mesmo cuidado dado a outros canais potencialmente identificadores.