审查规避系统中的差异化降级漏洞

最近提出的几种审查规避系统使用流行应用的加密网络通道来隐藏其通信。例如，一个名为 Snowflake 的 Tor 可插拔传输使用 WebRTC 数据通道，而一个名为 Protozoa 的系统在 WebRTC 视频通话应用中匹配内容。通过使用与掩护应用相同的通道，并且（在 Protozoa 的情况下）匹配其可观察的流量特征，这些系统旨在抵抗能够进行大规模流量分析的强大网络审查者。特别是，Protozoa 实现了称为行为独立性的强不可区分性。我们证明这类系统普遍容易受到一种我们称之为“差异化降级”的新型主动攻击。这些攻击不需要多流测量或流量分类，因此所有现实世界的审查者都可以使用。它们利用规避系统与其掩护应用各自网络需求之间的差异。我们展示了审查者如何利用 WebRTC 暴露的最少应用层信息来制造网络条件，导致规避系统的性能下降远大于掩护应用。即使攻击在网络流量中没有引起可观察的差异，并且行为独立性仍然成立，审查者也可以以低成本阻止规避，而无需诉诸流量分析，并且对非规避用户造成的附带损害最小。我们提出了针对 Snowflake 和 Protozoa 的有效差异化降级攻击。我们解释了这些漏洞的根本原因，分析了规避系统设计者面临的权衡，并提出了一种能够抵抗差异化降级攻击的 Protozoa 修改版本。