[論文レビュー] Censors' Delay in Blocking Circumvention Proxies

David A. Fifield, Lynn Tsai|arXiv (Cornell University)|May 27, 2016

Internet Traffic Analysis and Secure E-voting参考文献 7被引用数 12

ひとこと要約

この論文は、Torブラウザに公開されたobfuscated Torブリッジが検閲当局によってブロックされるまでの遅延を測定し、中国のグレートファイアウォールが、公開後2〜36日間の変動する遅延を経て新しいブリッジをブロックしていることを明らかにした。研究では、ブロッキングが即時ではなく、手動による発見と自動化された実行の混合によるものであり、またOrbot専用のブリッジはブロックされていないことから、検閲戦略における運用上の非対称性が示唆されている。

ABSTRACT

Censors of the Internet must continually discover and block new circumvention proxy servers. We seek to understand this process; specifically, the length of the delay between when a proxy first becomes discoverable and when it is actually blocked. We measure this delay in the case of obfuscated Tor bridges, by testing their reachability before and after their introduction into Tor Browser. We test from sites in the U.S., China, and Iran, over a period of five months. China's national firewall blocked new bridges after a varying delay of between 2 and 36 days. Blocking occurred only after end-user software releases, despite bridges being potentially discoverable earlier through other channels. While the firewall eventually discovered the bridges of Tor Browser, those that appeared only in Orbot, a version of Tor for mobile devices, remained unblocked. Our findings highlight the fact that censors can behave in ways that defy intuition, presenting difficulties for threat modeling but also opportunities for evasion.

研究の動機と目的

• Torブリッジの公開後、検閲当局による実際のブロッキングまでの時間差を理解すること。
• 検閲当局がブリッジを発見した直後にブロックするのか、それとも遅延を経てからブロックするのかを調査し、その遅延に影響を与える要因を特定すること。
• 異なるリリースチャネル（例：Torブラウザ vs. Orbot）によってブロッキング行動に差が生じるかどうかを評価すること。
• 特に自動化と手動によるブロッキングプロセスのバランスを含めた、検閲システムの運用的メカニズムを調査すること。
• ブロッキングのタイミングとパターンを分析することで、回避の可能性を同定すること。

提案手法

• Torブラウザリリースに含まれるブリッジの公開前後における、米国、中国、イランのプローブサイトからの到達可能性テストを実施した。
• 5か月間にわたりブリッジの可用性をモニタリングし、Torブラウザリリースでの初回公開から最初のブロッキングまでの時間窓に焦点を当てた。
• 地理的に多様な場所からの自動プローブを用いてブロッキングイベントを検出するとともに、初期の到達可能性期間を測定した。
• 安定版、アルファ版、ナイトリー版を含む複数のTorブラウザリリースバッチにおけるブロッキングパターンを分析した。
• ブロッキングのタイミング（曜日や時刻）のデータ収集を通じて、ブロッキングが自動的か手動的かを推定した。
• Torブラウザに含まれるブリッジと、モバイル用TorクライントであるOrbot専用のブリッジとの間のブロッキング行動を比較した。

実験結果

リサーチクエスチョン

• RQ1 中国のグレートファイアウォールは、新たに公開されたobfuscated Torブリッジを、公開後どの程度の期間でブロックするのか？
• RQ2 リリースチャネル（例：Torブラウザ vs. Orbot）によってブロッキング遅延に差が生じるか？
• RQ3 ブロッキング意思決定は自動的か手動的か。その根拠となる証拠は何か？
• RQ4 なぜ、たとえばOrbotに限定されたブリッジは、公開済みであるにもかかわらず、一度もブロックされないのか？
• RQ5 観察された遅延パターンは、よりレジliントな回避戦略を設計するために利用可能か？

主な発見

• 中国のグレートファイアウォールは、Torブラウザに公開された新しいTorブリッジを、公開後2〜36日間の遅延を経てブロックした。
• 中国でのブロッキングは、ソースコードにブリッジアドレスが公開された直後ではなく、公式のTorブラウザソフトウェアリリース後のみ発生した。
• Orbot専用のブリッジは、公開済みであるにもかかわらずブロックされていなかったため、リリースチャネルごとに異なる扱いがなされている可能性がある。
• 中国でのブロッキングイベントは平日のみ発生し、特定の時刻（UTC 02:40、06:00、09:00）に集中していた。これは、手動による発見と定期的な自動化された実行の混合を示唆している。
• イランでは、既知の検閲メカニズムが存在するにもかかわらず、デフォルトブリッジのブロッキングは観察されなかった。これは、ブリッジブロッキングがすべての政権で一貫的または普遍的ではないことを示唆している。
• 観察された遅延から、平均ブロッキング遅延をn日とすると、n−1日ごとに新しいブリッジをリリースすることで、回避戦略を強化できる可能性がある。