Så använder Tor ingångsvakter för att skydda användare mot korrelationsattacker
Ingångsvakter är de första reläerna som Tor-klienten ansluter till. I stället för att välja en ny ingång varje gång väljer Tor en liten uppsättning vakter och återanvänder dem. Det minskar sannolikheten för att en angripare ska kunna korrelera din trafik och avanonymisera dig.
Tor (liksom alla nuvarande praktiska anonymitetslösningar med låg latens) misslyckas när angriparen kan se kommunikationskanalens båda ändar. Anta till exempel att angriparen styr eller övervakar Tor-reläet som du väljer för att gå in i nätverket och även styr eller övervakar webbplatsen du besöker. I detta fall känner forskarvärlden inte till någon praktisk design med låg latens som på ett tillförlitligt sätt kan hindra angriparen från att korrelera volym- och tidsinformation på kanalens båda sidor.
Vad bör vi då göra? Anta att angriparen styr eller kan övervaka C reläer. Anta att det finns totalt N reläer. Om du väljer nya ingångs- och utgångsreläer varje gång du använder nätverket kan angriparen korrelera all trafik du skickar med en sannolikhet på ungefär (c/n)^2. För de flesta användare är profilering dock lika illa som att spåras hela tiden: de vill kunna göra något ofta utan att en angripare märker det, och att angriparen märker det en enda gång är lika illa som att det sker flera gånger. Att välja många slumpmässiga ingångar och utgångar ger alltså användaren ingen möjlighet att undgå profilering av en sådan angripare.
Lösningen är ”ingångsvakter”: varje Tor-klient väljer slumpmässigt några få reläer som ingångspunkter och använder endast dessa reläer för det första hoppet. Om dessa reläer varken styrs eller övervakas av angriparen kan angriparen aldrig lyckas, och användaren är säker. Om reläerna övervakas eller styrs av angriparen ser angriparen en större andel av användarens trafik, men användaren profileras ändå inte mer än tidigare. Användaren har därmed en viss möjlighet (i storleksordningen (n-c)/n) att undvika profilering, medan möjligheten tidigare saknades helt.
Du kan läsa mer i An Analysis of the Degradation of Anonymous Protocols, Defending Anonymous Communication Against Passive Logging Attacks och särskilt Locating Hidden Servers.
Att begränsa vilka ingångsnoder du använder kan också skydda mot angripare som vill driva ett fåtal Tor-noder och enkelt kartlägga alla Tor-användares IP-adresser. (Även om de inte kan ta reda på vilka destinationer användarna kommunicerar med kan de ändå göra skada med enbart en lista över användare.) Den funktionen blir dock inte särskilt användbar förrän vi även går över till en utformning med ”katalogvakter”.