[論文レビュー] Anonymizing Masses: Practical Light-weight Anonymity at the Network Level

Hooman Mohajeri Moghaddam, Arsalan Mosenia|arXiv (Cornell University)|Nov 21, 2019

Internet Traffic Analysis and Secure E-voting参考文献 56被引用数 7

ひとこと要約

PANELは、プログラマブルスイッチを用いて大規模にトラフィックを匿名化することで、軽量でネットワークレベルのプライバシーを実現する実用的でハードウェアベースの匿名化システムである。P4を用いてBarefoot Tofino上で実装されたPANELは、実世界のテストでスイッチのスループットの96％を達成し、遅延オーバーヘッドはわずか3％にとどまり、クライアントやサーバーの変更なしに透明で部分的展開が可能である。

ABSTRACT

In an era of pervasive online surveillance, Internet users are in need of better anonymity solutions for online communications without sacrificing performance. Existing overlay anonymity tools, such as the Tor network, suffer from performance limitations and recent proposals to embed anonymity into Internet protocols face fundamental deployment challenges. In this paper, we introduce Practical Anonymity at the NEtwork Level (PANEL), a practical light-weight anonymity solution based on hardware switching. We implement a prototype of PANEL on a high-performance hardware switch (namely, Barefoot Tofino) using P4 network programming language, and examine the validity and performance of the prototype. Based on our empirical results, PANEL achieves 96% of the actual throughput of the switch and adds a low-latency overhead (e.g., 3% overhead in Skype calls), while offering partial deployablility and transparency (i.e., PANEL requires neither client-side nor server-side modifications).

研究の動機と目的

• ネットワークレベルの匿名化システムにおける展開可能性の課題に取り組む。これは、しばしばフルスタックプロトコル変更や専用インfra構築を要するためである。
• Torのような既存のオーバーレイ匿名化ツールの性能制限、特に高い遅延と低いユーザー採用率を克服する。
• 既存のハードウェアスイッチを活用し、自律システム（AS）間で部分的展開を可能にする仕組みを用いて、大規模な実用的匿名化を実現する。
• クライアントやサーバーの変更が不要なため、既存のインターネットインフラとシームレスに統合できる透明性を確保する。
• レガシーネットワークや一般的なネットワーク機器（ミドルボックス、ルータなど）との互換性を考慮した設計により、広範な採用への道筋を提供する。

提案手法

• P4プログラミング言語を用いてBarefoot Tofinoのプログラマブルスイッチ上にPANELを実装し、低レベルで高パフォーマンスなパケット処理を実現する。
• 3段階のコアステップにより、プライバシー保護型のラインレート元情報隠蔽を実現する：送信元アドレスの再書き換え、IP IDおよびTCP初期シーケンス番号のランダム化、TTLのランダム化により経路情報を隠蔽する。
• PANELセグメントの境界にランドマークルータを設置し、匿名化されたパケットを標準的なIPおよびトランスポートフォーマットに変換することで、レガシーネットワークとの互換性を確保する。
• PANELセグメント内でのホップバイホップルーティングを採用し、各ASが匿名化戦略を独立して決定できるようにしつつ、エンドツーエンドの経路の柔軟性を維持する。
• 擬似乱数生成器（PRNG）を用いてセッション識別子（タグ）をランダムに割り当て、攻撃者がセッションを関連付けるのを防ぐために、決定論的マッピングを避ける。
• セッション状態をPANELセグメント内でのみ保持し、内部から外部へのマッピングをログに記録しないことで、プライバシーの強化と長期保存リスクの低減を実現する。

実験結果

リサーチクエスチョン

• RQ1 クライアントやサーバーの変更なしに、商用で高性能なハードウェアスイッチを用いてネットワークレベルの匿名化システムを構築できるか？
• RQ2 既存のインターネットインfraやプロトコルと互換性を保ちつつ、最小限のパフォーマンスオーバーヘッドで匿名化を実現する方法は何か？
• RQ3 実世界のネットワーク環境において、部分的展開が匿名化セットのサイズとシステムのスケーラビリティに与える影響は何か？
• RQ4 ソフトウェアベースの実装と比較して、ハードウェアスイッチングのスループットと遅延の観点での優位性は何か？
• RQ5 プログラマブルスイッチを用いてラインレートで経路情報および送信元メタデータを効果的に隠蔽できるか？

主な発見

• PANELは、実際のBarefoot Tofinoハードウェアスイッチ上でスイッチの最大スループットの96％を達成し、ラインレートに近いパフォーマンスを示した。
• Skypeのようなリアルタイムアプリケーションにおいて、わずか3％の遅延オーバーヘッドしか発生せず、優れた低遅延パフォーマンスを実現した。
• 送信元アドレスの再書き換え、IP IDおよびTCP ISNのランダム化、TTLのランダム化といった匿名化技術は、接続性を損なわずに送信元および経路情報を効果的に隠蔽した。
• PRNGを用いたランダムなセッションタグ割り当てにより、決定論的マッピングを悪用する相関攻撃を防ぎ、これはキャリアグレードNATとは対照的である。
• ASが個別に匿名化に参加できるため、PANELは部分的展開をサポートし、ランドマークルータによりレガシーネットワークとの相互運用性を実現した。
• セッション状態のストレージオーバーヘッドが192 MBにとどまり、大規模展開においてもスケーラブルであることが確認された。