[論文レビュー] Challenges in Adapting ECH in TLS for Privacy Enhancement over the Internet

Vinod S. Khandkar, Manjesh K. Hanawal+1 more|arXiv (Cornell University)|Jul 5, 2022

Internet Traffic Analysis and Secure E-voting被引用数 4

ひとこと要約

この論文は、TLS 1.3での暗号化クライントハロー（ECH）の導入だけでは、エンドツーエンドのプライバシーを十分に確保できないことを示している。多くのインターネットサービスでは、平文のSNIを介してサービスIDが漏洩する側面的なチャネルとしてTLS 1.2が依然として使用されており、攻撃者がそれらの側面的なチャネルを利用してプライマリーチャネルを制限または遮断できる。これにより、ECHのプライバシー保証が損なわれる。結論として、完全なプライバシー保護には、すべての接続においてTLS 1.3に完全移行し、プライマリーチャネルだけでなく側面的なチャネルに対してもECHを導入する必要があると結論づけている。

ABSTRACT

Security and Privacy are crucial in modern Internet services. Transport Layer Security (TLS) has largely addressed the issue of security. However, information about the type of service being accessed goes in plain-text in the initial handshakes of vanilla TLS, thus potentially revealing the activity of users and compromising privacy. The ``Encrypted ClientHello'' or ECH overcomes this issue by extending TLS 1.3 where all of the information that can potentially reveal the service type is masked, thus addressing the privacy issues in TLS 1.3. However, we notice that Internet services tend to use different versions of TLS for application data (primary connection/channel) and supporting data (side channels) such as scheduling information extit{etc.}. %, during the active session. Although many internet services have migrated to TLS 1.3, we notice that it is only true for the primary connections which do benefit from TLS 1.3, while the side-channels continue to use lower version of TLS (e.g., 1.2) %which do not support ECH and continue to leak type of service accessed. We demonstrate that privacy information leaked from the side-channels can be used to affect the performance on the primary channels, like blocking or throttling specific service on the internet. Our work demonstrates that adapting ECH on primary channels alone is not sufficient to prevent the privacy leaks and attacks on primary channels. Further, we demonstrate that it is necessary for all of the associated side-channels also to migrate to TLS 1.3 and adapt ECH extension in order to offer complete privacy preservatio

研究の動機と目的

• TLS 1.3におけるECHが現代のインターネットサービスにおけるプライバシー漏洩を完全に是正するかどうかを調査すること。
• 主なチャネルがTLS 1.3を使用しているにもかかわらず、依然としてTLS 1.2が使用されている人気サービスにおける側面的なチャネルの使用状況を特定・分析すること。
• 平文のSNIを含むTLS 1.2の側面的なチャネルを攻撃者がどのように悪用し、ECHで保護されたプライマリーチャネルのプライバシーやパフォーマンスを損なうかを実証すること。
• 完全なプライバシー保護には、主なチャネルだけでなく、すべての接続においてECHを導入する必要があるという主張をすること。

提案手法

• 自社開発の監視ツールを用いて、Netflix、Primevideo、YouTubeなどの人気サービスのネットワークトラフィック分析を実施した。
• SNIパターンやデータ量、セッション時間などのトラフィック特性を分析することで、側面的なチャネルを同定した。
• 側面的なチャネルを遮断することで、プライマリーチャネルのパフォーマンスとユーザーエクスペリエンスに与える影響を観察する制御実験を実施した。
• 側面的なチャネルの遮断下でのデータレートの変化、コンテンツ読み込み（例：サムネイル、広告）およびセッション行動の変化を測定した。
• データ量やTLSセッション長などのメトリクスを用いて、主なチャネルと側面的なチャネルを区別する可能性を評価した。
• ECDHで保護されたプライマリーチャネルであっても、側面的なチャネルからの漏洩によって、攻撃者がプライマリーチャネルを標的的に攻撃できることが実証された。

実験結果

リサーチクエスチョン

• RQ1 現代のインターネットサービスは、主なチャネルでTLS 1.3とECHを採用している一方で、側面的なチャネルではTLS 1.2に依存している割合はどの程度か？
• RQ2 TLS 1.2の側面的なチャネルに含まれる平文のSNIを用いて、特定のサービスを識別し、制限または遮断の標的とできるか？
• RQ3 側面的なチャネルを遮断すると、ECHで保護されたプライマリーチャネルのパフォーマンスとユーザーエクスペリエンスにどのような影響が生じるか？
• RQ4 異なるTLSバージョンが混在するサービスにおいて、主なチャネルと側面的なチャネルを信頼性高く区別するためのメトリクスは何か？
• RQ5 側面的なチャネルが暗号化されていない状態でも、主なチャネルでのECH導入のみでエンドツーエンドのプライバシーが確保できるのか？

主な発見

• Netflix、Primevideo、YouTubeを含む多くの人気サービスは、主なチャネルでTLS 1.3とECHを採用しているが、スケジューリング、広告、サムネイルデータを伝送する側面的なチャネルではTLS 1.2に依存している。
• TLS 1.2を用いた側面的なチャネルではSNIが平文で送信されるため、攻撃者はECHで保護されたハンドシェイクを解読する必要なく、サービスを識別し、そのプライマリーチャネルを標的化できる。
• 側面的なチャネルを遮断すると、ユーザーエクスペリエンスが劣化する—例として、YouTubeは4〜5 Mbpsで再生を継続するが、サムネイルや広告へのアクセスが失われる。これは、側面的なチャネルが非主要コンテンツを伝送していることを示している。
• 主なチャネルは、データ量が著しく多く、セッション時間が長いため、異なるTLSバージョンを使用していても、主なチャネルと側面的なチャネルを明確に区別できる。
• 側面的なチャネルを遮断すると、主なチャネルのパフォーマンスが直接的に影響を受ける。これは、側面的なチャネルのプライバシー漏洩が、主なサービス配信の破壊に悪用可能であることを証明している。
• 現在のECH導入状況では完全なプライバシーが確保できない。攻撃者はECH保護のない側面的なチャネルを標的とすることで、TLS 1.3のプライバシー目的を無効にできる。