[論文レビュー] Censorship in the Wild: Analyzing Internet Filtering in Syria

Abdelberi Chaabane, Terence Chen+4 more|arXiv (Cornell University)|Feb 14, 2014

Internet Traffic Analysis and Secure E-voting参考文献 17被引用数 18

ひとこと要約

この論文は、2011年7月から8月にかけてのシリアにおける600GBの漏洩したBlue Coatプロキシログを用いて、インターネット検閲の最初の大規模な分析を提示している。プローブに依存するのではなく、実際のトラフィックログを分析することで、特定のサブネット（例：イスラエル）、特定のドメイン、キーワード（特に検閲回避ツールに関連するもの）を標的とした、洗練された検閲システムが存在することが明らかになった。このシステムは、重大な付随的被害を引き起こしている一方で、ユーザーがTor、プロキシ、BitTorrentといった検閲回避ツールを広く使用していることも示している。

ABSTRACT

Internet censorship is enforced by numerous governments worldwide, however, due to the lack of publicly available information, as well as the inherent risks of performing active measurements, it is often hard for the research community to investigate censorship practices in the wild. Thus, the leak of 600GB worth of logs from 7 Blue Coat SG-9000 proxies, deployed in Syria to filter Internet traffic at a country scale, represents a unique opportunity to provide a detailed snapshot of a real-world censorship ecosystem. This paper presents the methodology and the results of a measurement analysis of the leaked Blue Coat logs, revealing a relatively stealthy, yet quite targeted, censorship. We find that traffic is filtered in several ways: using IP addresses and domain names to block subnets or websites, and keywords or categories to target specific content. We show that keyword-based censorship produces some collateral damage as many requests are blocked even if they do not relate to sensitive content. We also discover that Instant Messaging is heavily censored, while filtering of social media is limited to specific pages. Finally, we show that Syrian users try to evade censorship by using web/socks proxies, Tor, VPNs, and BitTorrent. To the best of our knowledge, our work provides the first analytical look into Internet filtering in Syria.

研究の動機と目的

• 検閲インfraストラクチャに関する公的情報が限られるシリアにおける、インターネットフィルタリング実態の最初の詳細かつデータドリブンなスナップショットを提供すること。
• プローブベースの手法に依存するのではなく、実際のプロキシログを分析することで、検閲政策の不完全または歪んだ表現を避け、より正確な分析を行うこと。
• IPベース、ドメインベース、キーワードベース、カテゴリベースのフィルタリングを含む、検閲の技術的メカニズムとその現実世界への影響を理解すること。
• シリアのユーザーが検閲をどのように回避しようとしているかを調査し、Tor、プロキシ、BitTorrentといったさまざまな回避ツールの有効性を評価すること。
• キーワードベースのフィルタリングによって引き起こされる付随的被害の程度を評価し、無関係なコンテンツ（例：広告やツールのクエリ）が意図せずブロックされているかを特定すること。

提案手法

• 2011年7月から8月にかけてシリアに設置された7台のBlue Coat SG-9000プロキシ機器から得られた、ハッキング集団Telecomixによるリークによって入手された600GBの実世界ログの分析。
• IPベースのサブネットブロッキング、ドメインレベルのフィルタリング、キーワード/カテゴリベースのブロッキングを含む、フィルタリング手法の特定のため、すべてのログにおけるリクエストパターンの統計的分析。
• 時間的変化を分析し、例えば1つのプロキシが数日間連続でTorトラフィックをブロックしているが他のプロキシはそうではないといった、プロキシの特化（例：特定のトラフィックをブロック）のパターンを検出。
• URL、クエリパラメータ、キーワードに基づいてブロックされたコンテンツを特定・分類し、特にcensored contentにアクセスするためのGoogleキャッシュの使用状況を分析。
• 既知の検閲回避サービス（例：Hotspot Shield、Tor、UltraSurf）やP2Pネットワーク（例：BitTorrent）へのリクエストを分析することで、ユーザー行動と回避ツールの使用状況を相関分析。
• HTTPS保護済みのGoogleキャッシュを回避メカニズムとして活用できるかを評価し、webcache.googleusercontent.comへの許可・ブロックリクエストを検査。

実験結果

リサーチクエスチョン

• RQ1 シリアにおけるインターネットフィルタリングの主な技術的メカニズムは何か？ また、これらはさまざまな種類のトラフィックにどのように適用されているか？
• RQ2 キーワードベースの検閲は、広告やツールのクエリなど、非機密なコンテンツまでブロックするなど、どの程度の付随的被害を引き起こしているか？
• RQ3 シリアのユーザーはどのように検閲を回避しようとしているのか？ また、ログデータに基づいて、Tor、プロキシ、BitTorrentといったツールのうち、どれが最も効果的か？
• RQ4 個々のプロキシ間でフィルタリング行動に差異があるか？ たとえば、特定のトラフィック（例：Tor、インスタントメッセージング）をブロックする専用のプロキシが存在するか？
• RQ5 Googleキャッシュのような広く使われているサービスは、どのようにして検閲されたコンテンツにアクセスできるか？ どのような条件下でそれが可能になるか？

主な発見

• キーワードベースの検閲は、顕著な付随的被害を引き起こしており、Googleキャッシュへのリクエストが合計4,860件あり、そのうち12件がブラックリストに登録されたキーワードのためブロックされた。その中には、政治的に敏感なFacebookページのキャッシュ版も含まれていた。
• Skypeのようなインスタントメッセージングサービスは厳しく検閲されているが、Facebook や Twitter といった包括的なソーシャルメディアプラットフォームは、『シリア革命』グループのような特定ページを除き、概ね利用可能であった。
• あるBlue Coatプロキシは数日間にわたりTorトラフィックをブロックしていたが、他のプロキシはそうではなかった。これは、プロキシの特化と、ネットワーク全体における一貫性の欠如した実行を示している。
• 合計で4,860件のGoogleキャッシュへのリクエストが行われ、そのうち12件がキーワードフィルタリングのためブロックされた。これは、Googleキャッシュが、限定的ではあるが、検閲されたコンテンツへの回避手段として有効に機能しうることを示唆している。
• ユーザーは、ウェブ/ソケットプロキシ、Tor、VPN、BitTorrentを組み合わせて使用することで、検閲を積極的に回避しており、特にUltraSurfのような検閲回避ソフトウェアのダウンロードにBitTorrentが使われていた。
• シリアの検閲システムは比較的ステルス的かつ標的型であり、政治的反体制活動のコンテンツ、イスラエルのサブネット、検閲回避ツールを標的としており、全体的なプラットフォームを広くブロックしているわけではない。