Śledzenie ruchu w sieci TOR: możliwości analizy danych i ograniczenia prawne

Cel śledzenia ruchu w sieci TOR z perspektywy analityka

Osoba zajmująca się analizą danych i OSINT, która interesuje się ruchem w sieci TOR, zwykle nie szuka „magicznego” sposobu na pełne złamanie anonimowości, ale realnych punktów zaczepienia. Chodzi o zrozumienie, co faktycznie da się zaobserwować na poziomie pakietów, metadanych i zachowań użytkowników oraz gdzie przebiegają granice prawne i etyczne takich działań.

TOR nie jest ani idealną tarczą, ani przejrzystą szybą. To raczej skomplikowany filtr – sporo ukrywa, ale zostawia metadane, wzorce i ślady, które przy dobrze zaprojektowanej analizie i w połączeniu z OSINT mogą pomóc w atrybucji działań przestępczych lub w badaniach akademickich.

Czym jest TOR i dlaczego nie gwarantuje pełnej anonimowości

Model działania sieci TOR w praktyce

TOR (The Onion Router) to sieć nakładkowa, której celem jest utrudnienie powiązania ruchu internetowego z konkretnym użytkownikiem. Działa na zasadzie trasowania cebulowego: komunikacja jest wielokrotnie szyfrowana i przesyłana przez kilka losowo wybranych węzłów, zanim trafi do miejsca docelowego.

Typowy łańcuch wygląda następująco: klient TOR na komputerze użytkownika tworzy tzw. circuit – ścieżkę składającą się z węzła wejściowego (guard), jednego lub dwóch węzłów pośrednich i węzła wyjściowego. Każdy fragment trasy zna tylko poprzedni i następny punkt, a całość jest otoczona warstwami szyfrowania niczym kolejne powłoki cebuli. Węzeł wejściowy zna adres IP użytkownika, ale nie zna celu. Węzeł wyjściowy widzi ruch wychodzący do internetu, ale nie zna adresu IP nadawcy.

Ten model bardzo utrudnia klasyczne śledzenie oparte na jednym punkcie obserwacji. Jeżeli operator lub analityk ma wgląd wyłącznie w logi serwera docelowego, to widzi jedynie adres IP węzła wyjściowego TOR. Jeśli zaś widzi tylko ruch użytkownika przed wejściem do sieci TOR (np. po stronie dostawcy internetu), zna tylko adres IP węzła wejściowego. Korelacja tych dwóch perspektyw wymaga dodatkowych danych, czasu i zwykle wielu obserwowanych punktów.

Anonimowość, pseudonimowość i poufność danych

Sieć TOR jest często błędnie opisywana jako narzędzie „pełnej anonimowości”. Z punktu widzenia analizy danych trzeba wyraźnie odróżnić kilka pojęć:

• Anonimowość – brak możliwości powiązania działań z konkretną osobą lub urządzeniem w sposób praktycznie wykonalny.
• Pseudonimowość – działania są konsekwentnie przypisane do jakiegoś identyfikatora (np. nicka, klucza PGP, portfela kryptowaluty), ale brak bezpośredniego powiązania z tożsamością w świecie rzeczywistym.
• Poufność – ochrona treści komunikacji przed podsłuchem, nawet jeśli strony komunikacji są znane.

TOR koncentruje się głównie na anonimizacji źródła ruchu (adresu IP użytkownika) i zapewnieniu poufności na odcinku pomiędzy klientem a węzłem wyjściowym. Nie chroni jednak automatycznie przed wyciekiem tożsamości poprzez treść wiadomości, błędy konfiguracji, fingerprinting przeglądarki czy powtarzające się wzorce zachowań.

Mity dotyczące „niezniszczalności” TOR

Użytkownicy i część mediów powiela kilka popularnych mitów, które utrudniają rzeczową analizę ruchu w TOR:

• „TOR jest nie do złamania” – architektura TOR jest odporna na wiele klasycznych metod śledzenia, ale nie jest magiczną barierą. Ataki korelacyjne, kompromitacja węzłów, błędy użytkownika, malware czy działania na poziomie endpointów (komputera, telefonu) mogą skutecznie obniżyć poziom anonimowości.
• „TOR ukrywa wszystko, także błędy użytkownika” – sieć ukrywa IP, ale nie naprawia złych decyzji. Ujawnienie prawdziwego e-maila, upload pliku z metadanymi EXIF czy logowanie się do tego samego konta w clearnet i w TOR praktycznie niweluje korzyści płynące z używania tej sieci.
• „Każdy w TOR jest całkowicie niewidoczny” – metadane, statystyki ruchu, sposób pisania, godziny aktywności, konfiguracja przeglądarki – wszystko to można mierzyć i korelować.

Z perspektywy śledczej bardziej realistyczne jest traktowanie TOR jako silnego, ale niepełnego mechanizmu ochrony prywatności, który broni przed „przeciętnym obserwatorem”, lecz niekoniecznie przed dobrze zorganizowanym przeciwnikiem dysponującym możliwością wielopunktowej obserwacji i zaawansowaną analizą danych.

Metadane w sieci TOR jako źródło informacji

Zawartość ruchu w TOR jest zwykle szyfrowana, jednak metadane pozostają w dużej mierze dostępne do obserwacji. Chodzi m.in. o:

• czasy zestawiania i trwania połączeń,
• częstotliwość tworzenia nowych circuitów,
• wielkość pakietów i ich sekwencję,
• godziny aktywności i przerwy w ruchu,
• kierunki ruchu (wzrost/zmniejszenie transferów w określonych godzinach).

Analiza takich metadanych pozwala na tworzenie hipotez: czy dana aktywność odpowiada typowemu korzystaniu z przeglądarki, czy raczej masowemu pobieraniu plików; czy ruch kilku obserwowanych punktów może pochodzić z tego samego użytkownika; czy węzeł wyjściowy służy głównie do określonego typu ruchu (np. HTTP, SMTP, ruch P2P). W połączeniu z dodatkowymi źródłami (logi serwerów, OSINT, dane z urządzeń końcowych) te hipotezy można stopniowo weryfikować.

Podstawy techniczne ruchu w TOR z perspektywy analityka danych

Łańcuch komunikacji: klient – węzły – usługa docelowa

Z technicznego punktu widzenia każdy przypadek korzystania z TOR można rozbić na kilka etapów komunikacji:

1. użytkownik inicjuje połączenie w kliencie TOR (np. TOR Browser),
2. klient pobiera z katalogu TOR listę dostępnych węzłów i tworzy losową ścieżkę,
3. następuje negocjacja kluczy i zestawienie szyfrowanego kanału z węzłem wejściowym,
4. kolejne warstwy szyfrowania kierują ruch przez węzły pośrednie,
5. ostatnia warstwa jest „zdejmowana” na węźle wyjściowym, skąd ruch wychodzi do serwisu docelowego (w clearnet lub jako ukryta usługa .onion).

Każdy z tych etapów pozostawia inne ślady techniczne. Dla analityka istotne jest rozumienie, kto co może zobaczyć oraz jak te strumienie danych mogą być później łączone na poziomie analizy korelacyjnej.

Widoczność ruchu dla różnych podmiotów

Różni uczestnicy ekosystemu sieciowego obserwują inne fragmenty ruchu. Zestawienie tych perspektyw dobrze pokazuje, gdzie leżą realne możliwości analizy:

Po stronie analityka OSINT zwykle nie ma dostępu do logów ISP czy wszystkich węzłów TOR. W praktyce wykorzystuje się raczej to, co jest publicznie dostępne (np. informacje o znanych węzłach, listy exit nodes, dane z serwerów, które się kontroluje) oraz łączy się to z OSINT z clearnetu.

Co jest szyfrowane, a co pozostaje jawne

Granice szyfrowania na poszczególnych odcinkach

Ruch w sieci TOR składa się z kilku nakładających się warstw szyfrowania. Z punktu widzenia analityka istotne jest rozbicie tego na odcinki:

• Klient ↔ węzeł wejściowy – całość ruchu jest szyfrowana protokołem TLS i dodatkowo pakowana w warstwy TOR (tzw. komórki – cells). ISP widzi jedynie strumień zaszyfrowanych danych do IP węzła wejściowego.
• Węzeł wejściowy ↔ węzły pośrednie ↔ węzeł wyjściowy – komunikacja wewnątrz sieci TOR jest szyfrowana end-to-end w obrębie circuitu. Poszczególne węzły widzą jedynie sąsiadów w łańcuchu, a treść jest dla nich nieczytelna.
• Węzeł wyjściowy ↔ serwis w clearnet – jeśli połączenie nie używa HTTPS lub innego protokołu z własnym szyfrowaniem, treść jest widoczna dla operatora węzła wyjściowego i pośrednich routerów w internecie.
• Klient ↔ usługa ukryta .onion – zestawiany jest tunel TOR–TOR (tzw. rendezvous circuit). Treść może być dodatkowo szyfrowana (HTTPS), ale nawet bez tego nie wychodzi poza sieć TOR.

W praktyce oznacza to, że operator węzła wyjściowego jest kluczowym punktem obserwacji w przypadku ruchu do zwykłych stron HTTP i wielu protokołów nieszyfrowanych (POP3, SMTP bez TLS, stare API bez HTTPS). Jeżeli jednak użytkownik łączy się z serwisem po HTTPS, zarówno operator węzła wyjściowego, jak i pośrednie urządzenia widzą jedynie szyfrowany strumień TLS oraz metadane (SNI lub jego brak, czas trwania, rozmiary pakietów).

Charakterystyczne cechy ruchu TOR w logach i na poziomie sieci

W logach systemowych i aplikacyjnych ruch z sieci TOR zostawia szereg powtarzalnych śladów, które da się automatycznie wykrywać i analizować. Do najczęstszych wskaźników należą:

• adresy IP z list węzłów TOR – dostępne publicznie listy węzłów wejściowych i wyjściowych (np. z Tor Project, serwisów typu TorDNSEL lub własnych mirrorów konsensusu) pozwalają szybko oznaczyć ruch jako pochodzący z TOR,
• charakterystyczne wzorce TLS – specyficzne zestawy szyfrów, wersje protokołu i rozszerzenia TLS używane przez TOR dają się fingerprintować (np. przy pomocy JA3/JA4),
• powtarzalny rozmiar komórek – standardowe komórki TOR mają określoną wielkość, co bywa widoczne w analizie na poziomie pakietów,
• krótkie, często odnawiane połączenia – TOR ma tendencję do rotowania circuitów, co skutkuje krótkimi sesjami do wielu różnych IP (przy intensywnym przeglądaniu stron).

Z punktu widzenia bezpieczeństwa usług internetowych oznaczenie, że dany ruch pochodzi z TOR, jest tylko pierwszym krokiem. Dopiero połączenie tego oznaczenia z zachowaniem użytkownika (próby logowania, zmiana haseł, tworzenie kont, masowe scrapowanie) pozwala ocenić, czy mamy do czynienia z typowym użytkownikiem dbającym o prywatność, czy z aktywnością potencjalnie nadużyciową.

Typowe cele śledzenia ruchu w TOR w pracy śledczej i OSINT

Identyfikacja źródeł ataków i nadużyć

TOR jest często wykorzystywany do maskowania źródła ataków na serwisy www, interfejsy API czy panele administracyjne. Celem analityka po stronie obrony jest wtedy:

• ustalenie, czy dane próby logowania, skanowania czy ataku DDoS faktycznie pochodzą z TOR (a nie np. z komercyjnego VPN),
• grupowanie zdarzeń pochodzących z tych samych węzłów wyjściowych,
• tworzenie profili „kampanii” – np. zestaw używanych user agentów, typowe ścieżki URL, wzorce czasowe,
• łączenie ruchu z TOR z innym ruchem tego samego podmiotu, który mógł popełnić błąd i wykonać część działań bez TOR.

Jeżeli atakujący stosuje powtarzalne schematy, nawet przy pełnym użyciu TOR można budować długoterminowe profile ryzyka i sygnatury zachowań. Nie pozwoli to od razu dojść do imienia i nazwiska, ale ułatwia blokowanie i rozpoznawanie podobnych działań w przyszłości.

Mapowanie infrastruktur przestępczych i powiązań usług

Z perspektywy OSINT i działań śledczych celem bywa nie tyle identyfikacja pojedynczego użytkownika, co zrozumienie, jak wygląda infrastruktura określonej grupy lub model biznesowy danej usługi. W praktyce oznacza to m.in.:

• identyfikację powiązanych usług .onion (te same klucze PGP, podobny styl komunikacji, odwołania krzyżowe w treści),
• łączenie forów, marketów i paneli administracyjnych poprzez wspólne szablony, błędy konfiguracyjne, ponownie wykorzystywane grafiki lub skrypty JS,
• odwzorowanie ścieżki użytkownika: od reklamy w clearnet (np. na social media) przez stronę lądowania po docelową usługę ukrytą,
• ustalanie, które węzły wyjściowe regularnie komunikują się z konkretnymi serwisami w clearnet – co może wskazywać na most między TOR a innymi elementami infrastruktury.

Takie mapowanie nie zawsze prowadzi do konkretnych osób, ale jest kluczowe przy budowaniu obrazu całego ekosystemu: kto współpracuje z kim, gdzie przepływają środki, które elementy są krytyczne.

Łączenie tożsamości pseudonimowych

W wielu sprawach śledczych i analizach OSINT głównym zadaniem jest połączenie kilku pseudonimów (nicków, kont, portfeli kryptowalut) w jedną wirtualną tożsamość. Sieć TOR jest w takich przypadkach tylko częścią układanki. Stosuje się m.in.:

• analizę stylometryczną – porównanie sposobu pisania (błędy, interpunkcja, długość zdań) pomiędzy różnymi miejscami, również poza TOR,
• analizę czasową – sprawdzenie, czy okresy aktywności na różnych kontach nachodzą na siebie w sposób sugerujący jedną osobę (np. te same godziny dzienne w danej strefie czasowej, przerwy weekendowe),
• mapowanie reuse – sprawdzanie, czy ten sam adres e-mail lub portfel kryptowaluty nie pojawia się przypadkowo w publicznych wyciekach lub w mediach społecznościowych.

TOR utrudnia powiązanie adresu IP z kontem, ale nie usuwa charakterystycznych cech ludzkich zachowań. Jeśli analityk ma dostęp do dużych zbiorów danych (forum w clearnet, serwis .onion, archiwalne wycieki), to może na tym poziomie przeprowadzać korelacje.

Dowodowe utrwalanie aktywności w Darknecie

W postępowaniach karnych istotne jest nie tylko „kto co zrobił”, lecz także jak to udowodnić w sposób akceptowany przez sąd. Sieć TOR stawia tu dodatkowe wyzwania, ponieważ:

• logi z węzłów TOR są często ograniczone (ze względów prywatnościowych),
• administratorzy usług ukrytych dbają o minimalizację logowania, a czasem celowo wprowadzają mechanizmy utrudniające archiwizację,
• adresy IP są bezużyteczne do wskazania konkretnego użytkownika.

Z tego względu w praktyce śledczej większy nacisk kładzie się na utrwalanie treści (zrzuty ekranu, pełne kopie stron, logi z kontrolowanych kont), korelację z czynnościami operacyjnymi (np. obserwacja fizyczna podczas korzystania z określonej usługi) oraz na zabezpieczanie dowodów z urządzeń końcowych (komputery, telefony), gdzie TOR jest tylko jednym z elementów układanki.

Techniki analizy ruchu sieciowego: co faktycznie da się zobaczyć

Analiza statystyczna i korelacyjna ruchu

Nawet bez dostępu do treści, a jedynie do metadanych ruchu, można przeprowadzać skuteczne analizy korelacyjne. Klasyczne podejścia obejmują:

• korelację czasową – porównywanie momentów rozpoczęcia i zakończenia połączeń na różnych punktach obserwacji (np. u ISP i na serwerze docelowym) w celu dopasowania strumieni danych,
• porównywanie rozmiarów i sekwencji pakietów – jeżeli na jednym interfejsie pojawia się strumień określonej długości, a chwilę później podobny strumień wychodzi z innego punktu, rośnie prawdopodobieństwo, że to ten sam ruch,
• analizę długoterminową – obserwacja wielu sesji w czasie, co zwiększa szanse wychwycenia spójnych wzorców.

Takie techniki są szczególnie skuteczne, gdy potencjalny przeciwnik ma dostęp do wielu punktów w sieci (np. podsłuch szkieletu operatora lub kilka dużych węzłów TOR). Wtedy probabilistyczne dopasowywanie strumieni może znacznie zawęzić krąg podejrzanych połączeń.

Fingerprinting protokołów i aplikacji