[論文レビュー] A Real-time Defense against Website Fingerprinting Attacks

Shawn Shan, Arjun Nitin Bhagoji+2 more|arXiv (Cornell University)|Feb 8, 2021

Adversarial Robustness in Machine Learning参考文献 81被引用数 16

ひとこと要約

Dolos は、ユーザーの秘密パrameterを用いた adversarial patch を用いて、深層学習ベースの WF クラスファイアを混乱させる、リアルタイムのウェブサイトフォグリント（WF）攻撃防御手法である。これらのパッチを事前に計算し、アクティブな接続中に適用することで、Dolos は最新の攻撃に対して 94% 以上の保護を達成するとともに、適応的対策に強く、オーバーヘッドと情報漏洩を最小限に抑えることができる。

ABSTRACT

Anonymity systems like Tor are vulnerable to Website Fingerprinting (WF) attacks, where a local passive eavesdropper infers the victim's activity. Current WF attacks based on deep learning classifiers have successfully overcome numerous proposed defenses. While recent defenses leveraging adversarial examples offer promise, these adversarial examples can only be computed after the network session has concluded, thus offer users little protection in practical settings. We propose Dolos, a system that modifies user network traffic in real time to successfully evade WF attacks. Dolos injects dummy packets into traffic traces by computing input-agnostic adversarial patches that disrupt deep learning classifiers used in WF attacks. Patches are then applied to alter and protect user traffic in real time. Importantly, these patches are parameterized by a user-side secret, ensuring that attackers cannot use adversarial training to defeat Dolos. We experimentally demonstrate that Dolos provides 94+% protection against state-of-the-art WF attacks under a variety of settings. Against prior defenses, Dolos outperforms in terms of higher protection performance and lower information leakage and bandwidth overhead. Finally, we show that Dolos is robust against a variety of adaptive countermeasures to detect or disrupt the defense.

研究の動機と目的

• 既存の WF 防御が接続後処理を必要とするという限界を解消し、リアルタイムの盗聴者に対して効果を発揮しないことに対処すること。
• adversarial patch を活用して、深層学習ベースの WF クラスファイアを回避できる実用的でリアルタイムの防御を構築すること。
• 攻撃者が adversarial training を行う場合でも、ユーザーの秘密に基づくパッチパラメータ化によって長期的な耐性を確保すること。
• 保護性能、帯域幅オーバーヘッド、情報漏洩の観点で、先行研究の防御を上回ること。
• 特に adversarial patch 訓練や直交特徴分類器を含む、攻撃者の適応的対策に対する耐性を評価すること。

提案手法

• 入力に依存しない adversarial patch を事前に計算し、ネットワークトラフィックにダミーパケットを挿入することで、深層学習ベースの WF クラスファイアを混乱させる。
• ユーザー側の秘密を用いてパッチをパラメータ化することで、攻撃者が秘密を漏洩させない限り、その予測や再現が不可能になるようにする。
• アクティブなネットワークセッション中にリアルタイムでパッチを適用することで、セッション終了を待たずに即時保護を実現する。
• 多様なトラフィックパターンや分類器タイプに効果的なパッチを生成するために、特徴抽出器（例：DF${}_{\text{Sirinam}}$）を用いる。
• 攻撃者に既知の攻撃パターンに対し、防御側でも adversarial training を適用することでパッチの耐性を高める一方、リアルタイム適用性を維持する。
• adversarial patch 訓練や直交特徴ベース分類器を含む、複数の適応的攻撃に対する耐性を評価する。

実験結果

リサーチクエスチョン

• RQ1 adversarial patch は、リアルタイムにウェブサイトフォグリント攻撃を防御するために効果的に適用可能か？
• RQ2 ユーザーの秘密パラメータ化されたパッチは、攻撃者が adversarial training を行うことで防御を破壊するのを防げるか？
• RQ3 Dolos は、さまざまな訓練および攻撃設定下で、最先端の DNN ベースの WF 攻撃に対してどのように性能を発揮するか？
• RQ4 adversarial patch 訓練 や直交特徴学習といった適応的攻撃対策が、Dolos の有効性に与える影響は何か？
• RQ5 保護性能、帯域幅オーバーヘッド、情報漏洩の観点で、Dolos は先行防御と比べてどのように差をつけるか？

主な発見

• Dolos は、adversarial training や直交特徴攻撃を含む、すべての評価設定において、最先端の深層学習ベースの WF 攻撃に対して 94% 以上の保護を達成する。
• 攻撃者が複数の異なるユーザーの秘密で保護されたトレースを用いて訓練する場合、保護率は最小で 87% に低下するが、依然として強い耐性を示す。
• Dolos は、保護性能、帯域幅オーバーヘッド、情報漏洩の観点で、3 つの最先端防御を上回り、著しく低い漏洩とオーバーヘッドを実現する。
• adversarial patch 訓練に対しても耐性を示し、攻撃者の分類器が最大 200 エポックまで訓練されても、保護率が 94% を超えて維持される。
• 攻撃者が直交特徴分類器を用いる場合、20 エポック経過後には分類精度がたったの 8% にまで低下し、このような対策の実現可能性は限定的であることが示される。
• Dolos は、ウェブサイトフォグリントに adversarial patch を適用する最初の防御であり、接続後処理を必要とせず、リアルタイム保護を実現する。