Como impedir que meu dispositivo vaze dados confidenciais por meio de impressões digitais de tráfego?

De acordo com o artigo recente A Smart Home is No Castle: Vulnerabilidades de privacidade do tráfego de IoT criptografado , muitos dispositivos domésticos inteligentes podem ser 'impressos digitalmente' por seus padrões de conexão. Como a maioria dos dispositivos se conecta a um pequeno conjunto de URLs quando invocados, é possível que um invasor (ou um provedor de serviços de Internet hostil) determine quando você usa cada dispositivo.

Por exemplo, eles rastrearam o tráfego dos servidores Alexa a partir de um roteador doméstico (os URLs que eles usaram estão na Figura 1 no documento):

Eles também mostram que um princípio semelhante pode ser usado para determinar quando um monitor de sono é usado (e, portanto, quando você acorda / vai dormir) ou quando um comutador inteligente é alternado.

Claramente, é preocupante que você possa obter tantas informações de um dispositivo, apesar de estar criptografado. Parece mais difícil obter muitas informações do tráfego de computadores, porque os servidores acessados ​​são muito mais diversos, mas para um dispositivo IoT que apenas 'chama de lar' para um servidor específico, parece fácil rastrear qual dispositivo foi usado e quando.

Como muitos países armazenam metadados como esse, é possível que eles próprios possam usar esse método para determinar sua atividade, e a mesma quantidade de dados vazaria para qualquer invasor no nível da rede.

Existem maneiras de impedir que o tráfego seja impresso dessa maneira, ou pelo menos reduzir a quantidade de dados confidenciais que podem ser extraídos?

Quais são as etapas para o vazamento de privacidade descrito?

Basicamente, existem três partes na obtenção das informações descritas no artigo.

1. Uma parte interessada que registra o tráfego de saída (2)
2. Disse a parte capaz de dividir os fluxos de tráfego (4.1)
3. Analisando os diferentes fluxos de tráfego
   • Dispositivo de identificação (tipo) (4.2)
   • Analisando o padrão do dispositivo (5)

Gravando o tráfego de saída

Enquanto o atacante é simplesmente considerado no artigo como pré-requisito, esse já é um obstáculo.

Especificamente, um adversário nesse modelo pode observar e registrar todo o tráfego de rede de área ampla, incluindo o tráfego de e para roteadores de gateway doméstico.

Não são muitos os possíveis atacantes. Basicamente, esse é o ISP que você usa para se conectar à Internet, às operadoras de WAN e às agências de inteligência interessadas. Felizmente, aquele com o acesso mais fácil, seu ISP, provavelmente não está interessado, pois realmente não ajuda o modelo de negócios deles. Por outro lado, os ISPs são os tribunais que podem obrigar a registrar e fornecer essas informações.

Assumimos que os ISPs normalmente não têm interesse em executar ataques ativos direcionados a usuários individuais.

Embora não estejam interessados ​​nesses ataques, eles podem muito bem ser forçados a fornecer as informações. Obviamente, isso depende das leis do país em que operam.

Supondo que você não tenha conseguido um tribunal para obrigar seu ISP ou tenha atraído a atenção de uma agência de inteligência com os recursos necessários para registrar o tráfego, o atacante mais provável que possa seguir as etapas seguintes seria um roteador doméstico comprometido.

Divisão de fluxos de tráfego

Presume-se que a divisão em fluxos de tráfego seja realizada agrupando-os pelo parceiro de comunicação externo, por exemplo, os serviços com os quais os dispositivos IoT se comunicam. O invasor acima mencionado obviamente tem o IP de destino, depois que todas as informações são necessárias para obter as informações a que pertencem.

Uma boa possibilidade que Mawg descreve em sua resposta é o uso de um provedor de serviços VPN. Com o uso de uma VPN, o ISP ou o invasor capaz de outra forma não pode deduzir o destino real da comunicação, pois todas as comunicações são endereçadas ao provedor de serviços VPN. No entanto, isso permite que outra parte seja o invasor desse modelo - o provedor de serviços VPN.

Ao usar um roteador VPN, você permite que outra parte seja esse invasor. A vantagem da rede TOR, como mencionado na resposta de Sylvain, é a ofuscação dos fluxos, ao mesmo tempo em que não permite a outro jogador o proverbial homem do meio. Se você estiver usando o TOR, precisará de muito azar nos nós do TOR ou de partes realmente interessadas para permitir que o invasor identifique os fluxos.

Esta subseção de artigo da Wiki descreve as possibilidades teóricas para ainda identificar a origem e o destino das comunicações TOR. Embora esses métodos exijam recursos sérios e acesso à estrutura básica da Internet, o que novamente nos leva ao mesmo grupo de possíveis invasores do que o mencionado anteriormente. No entanto, eles precisariam de ainda mais motivação para investir o esforço para rastrear esse tráfego.

Se você VPN com uma solução sobre jurisdições (continentes ou pelo menos países, não condados ou similares), provavelmente está protegido contra processos judiciais.

Resumo:

• Ao usar um provedor de VPN dedicado, você deve avaliar a confiabilidade desse provedor em relação ao seu próprio ISP. Isso apenas move a capacidade de ataque para outra parte.
• Ao usar o TOR, considere como ele funciona e quem possui (e paga) os nós de saída
• Qualquer uma das soluções adiciona obstáculos significativos na divisão do fluxo de tráfego.
• Qualquer uma dessas soluções provavelmente inviabilizará os processos judiciais para a inutilização dos dados ao abranger várias jurisdições. ^{1 1}

Analisando os diferentes fluxos de tráfego

Na verdade, isso é trivial para quem ultrapassou os dois primeiros obstáculos. A menos que você tenha uma solução caseira, os padrões de tráfego de qualquer dispositivo IoT podem ser facilmente gravados e posteriormente reconhecidos quando o conjunto de dados é suficiente.

No entanto, como Sean descreve em sua resposta, você ainda pode enlamear as águas. Se o dispositivo enviar dados adicionais de falsificação ou transmitir dados em massa que não precisam ser em tempo real, a análise de padrões se tornará realmente complicada.

_{1 não advogado}

Se o serviço que você usa pode tolerar alguma latência, o roteamento do tráfego do seu dispositivo através da rede TOR tornaria impossível determinar o endereço de destino para o seu ISP e o endereço de origem (IP residencial) impossível de determinar para o ISP do servidor. dispositivo está se comunicando.

Se você tiver apenas um dispositivo em sua casa, os padrões de tráfego ainda serão facilmente observáveis ​​pelo seu ISP. Para evitar isso, a caixa que você usa como entrada do túnel TOR para o seu dispositivo também pode atuar como um relé TOR (nó "intermediário"). Então, o tráfego que entra e sai da sua caixa fará com que o tráfego que seu dispositivo gere mais difícil de isolar.

Para dispositivos particularmente sensíveis, uma boa maneira de impedir que alguém bisbilhote o padrão de conexão é gerar dados falsificados ou inclinar intencionalmente os tempos de conexão (se os dados não precisarem ser carregados assim que são gerados).

Importante, você precisaria usar tamanhos de carga estática ou gerar cargas de tamanho plausível para os dados fictícios também.

Embora isso seja melhor executado pelo dispositivo em questão, você poderá gerar tráfego suficientemente semelhante a partir de um segundo dispositivo em sua rede (um SBC ou um segundo rastreador de sono ou o que for).

Fundamentalmente, se seus dados forem sensíveis, alguém atacará a parte mais fraca da cadeia, e esse pode não ser o transporte mais tarde.

Embora eu goste do uso do TOR, talvez você não consiga configurar todos os dispositivos para usá-lo.

A maneira mais simples seria fazer algo no roteador, onde todo o tráfego, de todos os dispositivos, entra e sai de sua casa.

Eu recomendaria um roteador VPN . Isso criptografará todos os dados que saem de sua casa, para que ninguém, nem você, o ISP, possa ver seu destino. Os dados trafegam, com destino criptografado, até o servidor VPN, que depois o criptografa e roteia os dados para você, enviando todas as respostas criptografadas.

Há um monte deles na Amazon. Aqui está um por US $ 58 .

O que este produto faz

O roteador VPN de banda larga SafeStream Gigabit da TP-LINK TL-R600VPN suporta conexões Ethernet Gigabit para portas WAN e LAN, o que garante conectividade com fio de alta velocidade. Ele também integra vários protocolos VPN e recursos VPN de alta segurança para permitir conexões remotas dos funcionários à sua sede, como se estivessem no escritório. Além disso, as abundantes estratégias de segurança do TL-R600VPN, como SPI Firewall, DoS Defense e IP-MAC Binding, ajudam a proteger sua rede contra os ataques mais conhecidos. O TL-R600VPN é uma solução ideal para pequenos escritórios que precisam de soluções VPN confiáveis ​​e econômicas.

Recursos de VPN de alta segurança

O TL-R600VPN suporta protocolos VPN IPsec e PPTP e também pode lidar com tráfego de passagem IPsec / PPTP / L2TP. A taxa de transferência máxima pode atingir 20 Mbps. Ele também possui um mecanismo VPN interno baseado em hardware, permitindo que o roteador ofereça suporte e gerencie até 20 conexões IPsec LAN a LAN e 16 conexões VPN PPTP. Os recursos avançados de VPN incluem:

DES/3DES/AES128/AES192/AES256 encryption
MD5/SHA1 authentication
Manual/IKE key management
Main/Aggressive negotiation modes

Recursos de segurança abundantes

Para defesa contra ameaças externas, o TL-R600VPN possui a função SPI Firewall. Além disso, ele pode detectar e bloquear automaticamente ataques de negação de serviço (DoS), como inundações TCP / UDP / ICMP, ping da morte e outras ameaças relacionadas. Além disso, este roteador fornece funções de filtragem de nomes de IP / MAC / Domínio, que impedem forçosamente os ataques de intrusos e vírus.

Para aplicativos como FTP, TFTP, H.323 e RTSP que não são bem compatíveis com NAT, o TL-R600VPN oferece aos administradores uma ativação com um clique das opções ALG correspondentes aos aplicativos mencionados acima.

Não está claro se você precisa pagar pelo uso do servidor VPN. Se o fizer, também há um roteador que suporta o TOR por US $ 99,99 (imagine o que você faz com esse centavo extra ;-) Devo admitir que esse parece ser bom. - leia a especificação completa, que é extensa demais para citar aqui.