Zabezpečení P2P výstupních uzlů proti Sybil útokům

Porozumění Sybil útokům v decentralizovaných sítích

Napadlo vás někdy, proč je vaše „soukromé“ připojení pomalé, nebo hůře – proč máte pocit, že vás někdo sleduje? Ve světě dVPN (decentralizovaných virtuálních privátních sítí) je výstupní uzel (exit node) místem, kde se odehrává veškerá magie, ale i největší nebezpečí.

Sybil útok v podstatě spočívá v tom, že jedna osoba vytvoří velké množství falešných identit, aby ovládla síť. Představte si to jako jednoho člověka, který provozuje 50 různých uzlů, ale tváří se, že jde o 50 unikátních uživatelů. V P2P systémech je to noční můra, protože to zcela popírá slib decentralizace.

• Zranitelnost výstupních uzlů: Jelikož výstupní uzly dešifrují váš provoz, aby jej odeslaly do otevřeného webu, představují pro útočníky „svatý grál“. Pokud jediný subjekt ovládá velkou část výstupních uzlů, může v podstatě demaskovat identitu všech uživatelů (deanonymizace).
• Odposlech provozu (Traffic Sniffing): Útočníci využívají tyto falešné uzly k provádění útoků typu Man-in-the-Middle (MitM). Nesledují jen to, kam na internetu chodíte, ale snaží se zachytit i soubory cookies a hlavičky relací (session headers).
• Mapování sítě: Zaplavením sítě „fantomovými“ uzly může útočník ovlivnit směrovací protokoly tak, aby zajistil, že vaše data budou vždy procházet jeho hardwarem.

Podle výzkumu projektu Tor se škodlivé uzly často pokoušejí o tzv. SSL/TLS stripping, aby mohly číst data v prostém textu. (Tor security advisory: exit relays running sslstrip in May and June 2020) Nejde jen o teorii; tyto útoky se reálně dějí ve finančním sektoru i u retailových aplikací, kde dochází k únikům citlivých API klíčů. (Security credentials inadvertently leaked on thousands of ...)

Je až děsivé, jak snadné je pro tyto účely spustit virtuální instance. V další části se podíváme na to, jak můžeme těmto falešným uzlům v převzetí kontroly nad sítí reálně zabránit.

Ekonomické bariéry a tokenizované pobídky

Pokud chceme zabránit útočníkům v zahlcování sítě falešnými uzly, musíme zajistit, aby je to citelně zasáhlo v peněžence. Nemůžete prostě jen žádat lidi, aby byli slušní; potřebujete nekompromisní pobídky, které zvýhodňují poctivé hráče.

Jedním z nejlepších způsobů, jak udržet dVPN čistou, je vyžadování bezpečnostní zálohy neboli kolaterálu. Pokud chce provozovatel uzlu (node operator) obsluhovat citlivý koncový provoz (exit traffic), musí uzamknout určité množství tokenů. Pokud je přistižen při odposlechu paketů nebo manipulaci s hlavičkami, o tuto zálohu přijde – tomuto procesu říkáme „slashing“.

• Ekonomické tření: Vytvoření 1 000 uzlů se pro většinu hackerů stává nereálným, pokud každý z nich vyžaduje staking tokenů v hodnotě například 500 USD.
• Mechanismy slashingu: Automatizované audity kontrolují, zda uzel nemění provoz. Pokud kontrolní součty (checksums) nesouhlasí, stake je nenávratně pryč. To je zásadní i proto, že hardwarová izolovaná prostředí (TEE) fakticky brání provozovateli uzlu vidět nešifrovaný datový tok, i kdyby se pokusil o odstranění SSL vrstvy (SSL stripping) na vstupním bodě.
• Reputační skóre: Uzly, které zůstávají poctivé po celé měsíce, získávají vyšší odměny. Pro „ty hodné“ se tak provoz sítě postupem času stává efektivnějším a levnějším.

Představte si to jako Airbnb pro šířku pásma. V tokenizované síti diktuje cenu nabídka a poptávka. Podle zprávy společnosti Messari o sektoru DePIN za rok 2023 pomáhají tyto modely typu „burn-and-mint“ vyvažovat ekosystém tím, že zajišťují stabilitu hodnoty síťových odměn pro poskytovatele i při rostoucím využívání VPN.

Tento systém skvěle funguje pro běžné uživatele, kteří chtějí získat pár korun zpět ze svého domácího optického připojení. Ve světě financí, kde je integrita dat vším, je využití koncového uzlu, který má v systému vlastní kapitál (tzv. „skin in the game“), mnohem bezpečnější než náhodná bezplatná proxy server.

Dále se podíváme na technickou validaci a hardwarové ověřování, které prokazuje, zda uzel skutečně odvádí práci, kterou deklaruje.

Technické strategie pro validaci uzlů

Validace je momentem pravdy. Pokud nedokážete prokázat, že uzel skutečně dělá to, co deklaruje, celá P2P síť se zhroutí jako domeček z karet.

Jedním ze způsobů, jak udržet provozovatele uzlů poctivé, je mechanismus Proof of Bandwidth (PoB – důkaz šířky pásma). Namísto toho, abychom uzlu prostě věřili, že disponuje gigabitovým připojením, síť vysílá „sondážní“ pakety. Měříme dobu odezvy (TTFB – time-to-first-byte) a propustnost mezi několika peery, abychom si vytvořili reálný obraz o skutečné kapacitě daného uzlu.

• Vícecestné sondování (Multi-path Probing): Testování neprobíhá pouze z jednoho bodu. Využitím několika „vyzyvatelských“ uzlů dokážeme odhalit, zda poskytovatel nefalšuje svou polohu nebo nepoužívá jeden virtuální server k tomu, aby se vydával za deset různých uzlů.
• Konzistence latence: Pokud uzel tvrdí, že se nachází v Tokiu, ale jeho ping do Soulu je 200 ms, něco není v pořádku. Analýza časování těchto paketů nám pomáhá identifikovat a označit takzvané „ghost“ (přízračné) uzly.
• Dynamické audity: Nejedná se o jednorázové testy. Podle SquirrelVPN je neustálá aktualizace VPN protokolů naprosto zásadní, protože útočníci neustále nacházejí nové způsoby, jak obcházet starší validační mechanismy.

Pokud se na problematiku podíváme z ryze technického hlediska, musíme se zaměřit i na samotný hardware. Použití důvěryhodných prováděcích prostředí (TEE – Trusted Execution Environments), jako je například Intel SGX, umožňuje spouštět kód výstupního uzlu v „černé skříňce“. Do té nemůže nahlédnout ani samotný operátor uzlu, což mu znemožňuje odposlouchávat vaše pakety na úrovni operační paměti.

Vzdálená atestace (remote attestation) umožňuje síti ověřit, že uzel využívá přesnou a nepozměněnou verzi softwaru. To představuje obrovský přínos pro ochranu soukromí v odvětvích, jako je zdravotnictví, kde by únik jediného záznamu pacienta v důsledku kompromitovaného uzlu mohl znamenat právní katastrofu.

Integrita paketů a zabezpečení obsahu

Než se podíváme na společenskou stránku celého systému, musíme si promluvit o samotných paketech. I u ověřeného uzlu musí síť zajistit, aby s daty během jejich přenosu nikdo nemanipuloval.

Většina moderních dVPN využívá koncové šifrování (End-to-End Encryption – E2EE), díky kterému uzel vidí pouze nečitelný šifrovaný kód. Kromě toho ale využíváme také mechanismy jako cibulové směrování (Onion Routing). To zabalí vaše data do několika vrstev šifrování, takže každý uzel zná pouze informaci o tom, odkud paket přišel a kam směřuje dál – nikdy však nezná celou trasu ani skutečný obsah. Abychom zabránili uzlům v injektování škodlivého kódu do vašich webových stránek, systém využívá ověřování kontrolních součtů (Checksum Verification). Pokud paket, který opouští výstupní uzel, neodpovídá kontrolnímu součtu (hashi) toho, co jste odeslali, síť jej okamžitě označí za bezpečnostní incident.

V další části se podíváme na to, jak reputace a správa sítě (governance) zajišťují dlouhodobou stabilitu a kontrolu těchto technických systémů.

Systémy reputace a decentralizovaná správa

Máme tedy spuštěné uzly a zastakované tokeny, ale jak poznáme, komu můžeme z dlouhodobého hlediska skutečně svěřit své datové pakety? Jedna věc je složit kolaterál, ale druhá věc je konzistentně dodržovat pravidla, i když se nikdo nedívá.

Reputace je v tomto ekosystému oním pojítkem. Sledujeme historickou výkonnost uzlu – například jeho dostupnost (uptime), ztrátovost paketů a to, jak často selhává v „testovacích sondách“, o kterých jsme mluvili dříve. Pokud uzel v síti začne zahazovat provoz nebo manipulovat s DNS dotazy, jeho skóre prudce klesne a systém mu bude přidělovat méně požadavků na směrování.

• Komunitní blacklisty: V mnoha dVPN architekturách mohou uživatelé sami nahlásit podezřelé chování. Pokud je uzel přistižen při pokusu o vkládání reklam nebo odposlech hlaviček ve finančních aplikacích, komunitou spravovaná černá listina zabrání ostatním peerům v připojení k této konkrétní IP adrese.
• Správa přes DAO: Některé sítě využívají decentralizované autonomní organizace (DAO), kde držitelé tokenů hlasují o změnách protokolu nebo o zablokování škodlivých poskytovatelů. Funguje to jako digitální porota dohlížející na zdraví sítě.
• Dynamické vážení: Starší uzly s čistým štítem získávají status „preferovaných“. To výrazně ztěžuje situaci pro nové Sybil útoky, kdy by se útočník snažil naráz ovládnout tok provozu pomocí armády nově vytvořených identit.

Zpráva společnosti Dune Analytics z roku 2023 o decentralizované infrastruktuře ukázala, že sítě využívající aktivní správu přes DAO vykazovaly o 40 % rychlejší reakční dobu při postihování (slashingu) škodlivých aktérů ve srovnání se statickými protokoly.

Tento systém přináší výhody všem – od malých firem chránících svá interní API až po novináře vyhýbající se cenzuře. V další části si vše shrneme a podíváme se, jak tyto jednotlivé vrstvy vypadají v praxi, když spolupracují v reálném světě.

Budoucnost internetu odolného vůči cenzuře

Kam nás tedy tento vývoj posouvá? Budování skutečně otevřeného internetu není jen o lepším šifrování. Jde především o to zajistit, aby samotná síť nemohla být koupena nebo zfalšována vládní agenturou nebo znuděným hackerem.

Sledujeme zásadní posun od protokolů založených na principu „věř mi“ k modelům „ověř si mě“. Je to velmi podobné tomu, jak nemocnice chrání záznamy pacientů – nespoléháte jen na to, že personál bude čestný, ale data uzamknete v zabezpečené enklávě.

• Vrstvená obrana: Kombinace modelů založených na kolaterálu (zástavě) a kontrol na úrovni hardwaru, o kterých jsme mluvili dříve, činí útok na síť pro většinu útočníků neúměrně nákladným.
• Ostražitost uživatelů: Žádná technologie není dokonalá. Uživatelé si stále musí hlídat své certifikáty a vyhýbat se koncovým (exit) uzlům s nestabilním výkonem nebo podezřelými certifikáty. Přestože vysoká rychlost je obvykle známkou zdravého uzlu, měli byste být obezřetní, pokud se připojení zdá být „nestaibilní“ nebo opakovaně vypadává.

Jak bylo uvedeno v předchozí zprávě o decentralizované infrastruktuře (DePIN), tyto systémy reagují mnohem rychleji než tradiční VPN služby. Upřímně řečeno, technologie konečně dohání slib o svobodném webu. Je to divoká jízda, ale jsme na správné cestě.