TCP-таймстемпы и перекос часов: защита от аппаратного трекинга

Вы можете очистить профиль браузера, перезагрузить домашний маршрутизатор для смены внешнего IP-адреса и запустить изолированную сессию в виртуальной среде. Для стандартных аналитических скриптов вы будете выглядеть новым посетителем. Однако на удаленном сервере сетевого мониторинга пассивный анализатор пакетов отслеживает одно числовое поле в заголовках транспортного уровня. Всего за пару десятков пакетов на этапе установления TCP-соединения сервер безошибочно сопоставит физическую материнскую плату вашего устройства с ранее накопленным профилем.

Этот вектор наблюдения функционирует глубже HTTP-заголовков, изолированных песочниц веб-обозревателей и прикладных прокси. Анализируя микроскопические погрешности производства кварцевых резонаторов, системы слежения используют опцию TCP Timestamps (RFC 7323) для вычисления аппаратного сдвига тактовой частоты (clock skew). Данный физический отпечаток сохраняется при смене сетевых интерфейсов, новых IP-адресах и любых настройках конфиденциальности браузера.

[Физическая материнская плата устройства]
  │
  ├─ Кварцевый резонатор (Физический сдвиг частоты: ~15.4 ppm)
  │
  ▼
[Сетевой стек ядра операционной системы]
  │
  ├─ Опция TCP Timestamps (RFC 7323)
  │     ├── TSval: Аппаратный счетчик времени ядра
  │     └── TSecr: Эхо-ответ от удаленного узла
  │
  ▼
[Удаленный сервер мониторинга]
  │
  └─ Алгоритм линейной регрессии ──> Вычисление физического сдвига часов
                                     Формирование постоянного аппаратного ID

Физика сдвига тактовой частоты кремниевых чипов

Каждое вычислительное устройство использует кварцевый резонатор для генерации тактовых сигналов. Эти микроскопические кварцевые пластины вибрируют на фиксированных частотах (например, 14.318 МГц, 25 МГц или 32.768 кГц), синхронизируя работу процессора, системной шины и таймеров прерываний ядра. Из-за физических ограничений полупроводникового производства невозможно вырастить два кристалла с абсолютно одинаковыми резонансными характеристиками.

Каждый резонатор имеет индивидуальное отклонение от номинальной частоты, называемое перекосом или сдвигом часов (clock skew). Оно измеряется в миллионных долях (PPM) или микросекундах в секунду ($\mu\text{с/с}$):

$$\text{Skew} = \frac{f_{\text{факт}} - f_{\text{номин}}}{f_{\text{номин}}}$$

Сдвиг в 20 PPM означает, что аппаратный таймер опережает или отстает от эталона на 20 микросекунд каждую секунду (около 1.7 секунды в сутки). Хотя сетевые службы времени (NTP) корректируют пользовательские системные часы, низкоуровневый таймер ядра продолжает отсчитывать такты со своей физической скоростью. Два одинаковых ноутбука одной партии имеют различимый сдвиг тактовой частоты.

Как стандарт RFC 7323 раскрывает аппаратные таймеры

Опция меток времени в протоколе TCP была введена в RFC 1323 и обновлена в RFC 7323 для оптимизации сетевой производительности. Она занимает 10 байт внутри заголовка TCP:

+-------+-------+---------------------+---------------------+
|Kind=8 |Длина  |   Значение TS (TSval)|  Эхо-ответ TS (TSecr)|
|(1 байт|(1 байт|      (4 байта)      |      (4 байта)      |
+-------+-------+---------------------+---------------------+

Опция решает две ключевые задачи:

Измерение времени кругового обращения (RTTM): Позволяет точно рассчитывать задержку сети для каждого подтвержденного сегмента без путаницы при повторной отправке пакетов.
Защита от зацикливания номеров последовательности (PAWS): Предотвращает искажение данных в скоростных сетях за счет отбрасывания пакетов с устаревшими метками времени.

Уязвимость кроется в том, что ядро операционной системы увеличивает значение TSval с постоянной внутренней частотой, привязанной к аппаратным таймерам. В ядрах Linux и BSD значение TSval часто инкрементируется с частотой 100 Гц, 250 Гц или 1000 Гц в соответствии с системным счетчиком jiffies.

Идентификация через алгоритм линейной регрессии

В исследовании, представленном на симпозиуме IEEE S&P, специалисты доказали, что удаленный сервер может пассивно вычислить физический сдвиг частоты клиентского оборудования:

Сбор пакетов: Сервер фиксирует входящие TCP-пакеты и считывает параметры каждого пакета $i$:
- $t_i$: Точное время прибытия по эталонным часам сервера, синхронизированным с NTP.
- $T_i$: Целочисленное значение TSval из заголовка TCP клиента.
Расчет смещения: Сервер вычисляет разницу между временем прибытия и масштабированным таймстемом: $$x_i = t_i - \frac{T_i}{R}$$ где $R$ — номинальная частота тиков ядра клиента (например, 1000 Гц).
Определение наклона прямой: Методом линейной регрессии на отрезке от 20 до 100 пакетов сервер находит угловой коэффициент: $$\text{Наклон} = \frac{\Delta x}{\Delta t}$$

Этот коэффициент точно изолирует физический сдвиг резонатора от сетевых задержек (джиттера). Поскольку параметр определяется кристаллами материнской платы, он сохраняет стабильность на протяжении месяцев, слабо завися лишь от температуры окружающей среды.

Смещение (мс)
  ^
  |                                   *   *  <- Точки измерений
  |                           *   *
  |                   *   *
  |           *   *
  |   *   *
  +---------------------------------------------> Время прибытия (с)
      Наклон прямой = Физический сдвиг тактовой частоты (~12.8 ppm)

Даже если вы переключитесь с оптоволокна на мобильную сеть 5G, измените MAC-адрес или откроете приватное окно, исходящие пакеты продолжат передавать один и тот же аппаратный коэффициент наклона.

Недостаточность браузерных прокси и расширений

Многие пользователи рассчитывают на расширения браузера или SOCKS5-прокси. Однако эти инструменты функционируют исключительно на прикладном уровне L7:

Прокси прикладного уровня: Расширение перенаправляет HTTP-запросы через отдельный сокет. Однако первичное соединение операционной системы с локальной сетью по-прежнему формируется TCP-стеком локального ядра.
Фоновые системные утечки: Системные службы (проверка обновлений ОС, синхронизация почты, телеметрия, сетевое время) работают вне браузера. Наблюдатель на сетевом маршруте сопоставляет аппаратный наклон фоновых пакетов с трафиком из браузера и мгновенно связывает обе сессии с одним физическим устройством.
Прозрачная передача заголовков: Во многих промежуточных узлах параметры TCP передаются без изменений, позволяя целевому серверу считывать оригинальный TSval.

Изоляция аппаратных таймеров с помощью RiceGuard

Чтобы предотвратить профилирование по тактовой частоте, необходимо отделить физическую временную область устройства от сетевых соединений, выходящих в публичный интернет.

VPNRice обеспечивает такое разделение на третьем сетевом уровне (Layer 3) за счет архитектуры RiceGuard:

[Локальное оборудование / Материнская плата]
  │
  ├─ Аппаратный резонатор (Уникальный сдвиг: 18.2 ppm)
  │
  ▼
[Виртуальный сетевой адаптер RiceGuard (TUN)]
  │
  ├─ Инкапсуляция всех IP-пакетов L3
  ├─ Криптографический туннель ChaCha20-Poly1305 (RFC 8439)
  │
  ▼
[Поток пакетов WireGuard UDP в публичной сети]
  │ (Исходные TCP-заголовки клиента не выходят наружу)
  │
  ▼
[Выходной узел дата-центра VPNRice]
  │
  ├─ Завершение туннеля клиента
  ├─ Установление нового TCP-соединения из ядра сервера дата-центра
  │     └── Внешний сервер видит только таймеры дата-центра
  │
  ▼
[Целевой веб-сервер и системы мониторинга]

Разделение транспортного уровня: RiceGuard перехватывает трафик на уровне IP-пакетов и упаковывает его в защищенные дейтаграммы UDP протокола WireGuard. При работе через VPN операционная система не создает прямых TCP-сессий с конечным ресурсом. Целевой сервер выполняет рукопожатие TCP исключительно с выходным сервером VPNRice.
Подмена аппаратных характеристик: Значения TSval, доступные удаленным системам отслеживания, генерируются таймерами серверного оборудования дата-центров VPNRice, полностью разрывая связь с микросхемами вашего компьютера.
Динамическая ротация шлюзов: Перераспределение сетевых потоков между географически распределенными серверами нарушает построение линий регрессии, исключая возможность формирования долгосрочного аппаратного профиля.