[論文レビュー] De-anonymizing BitTorrent Users on Tor

Stevens Le Blond, Pere Manils+5 more|arXiv (Cornell University)|Apr 8, 2010

Internet Traffic Analysis and Secure E-voting被引用数 4

ひとこと要約

この論文は、Torネットワークを介してトラフィックをルーティングするBitTorrentユーザーを標的とした脱匿名化攻撃を提示している。時間的遅延とトラフィック相関技術を活用し、ユーザーの実際のIPアドレスに紐付けられる。複数のTorrentにおけるアップロードおよびダウンロードパターンを分析することで、攻撃はユーザーの脱匿名化に高い成功率を達成し、P2Pファイル共有の文脈においてTorの匿名性が著しく弱体化していることを示している。

ABSTRACT

HAL is a multi-disciplinary open access archive for the deposit and dissemination of sci-entific research documents, whether they are pub-lished or not. The documents may come from teaching and research institutions in France or abroad, or from public or private research centers. L’archive ouverte pluridisciplinaire HAL, est destinée au dépôt et a ̀ la diffusion de documents scientifiques de niveau recherche, publiés ou non, émanant des établissements d’enseignement et de recherche français ou étrangers, des laboratoires publics ou privés.

研究の動機と目的

• Torを匿名性のための手段として使用するBitTorrentユーザーが、トラフィック分析によって依然として脱匿名化可能かどうかを調査すること。
• 時間的および相関的特徴を活用したP2Pトラフィックパターンに基づく脱匿名化攻撃の実現可能性を評価すること。
• BitTorrentのトラフィック特徴が明確に特定可能であるため、Torの匿名性保証がP2Pファイル共有の文脈で弱体化することを示すこと。
• 現実のネットワーク環境および攻撃シナリオ下での脱匿名化成功率を定量化すること。

提案手法

• 攻撃は、時間的分析を用いて、標的ユーザーとBitTorrentスワーム内の他のピア間のトラフィックパターンを監視・相関させる。
• BitTorrentクライアントは特に初期ハンドシェイクおよびデータ交換フェーズにおいて、予測可能なアップロード・ダウンロード行動を示すという事実を活用する。
• Torネットワークのエントリノードおよびエグジットノードで観測されたデータ転送のタイミングの統計的相関を用いる。
• 攻撃者はTorネットワークのエントリおよびエグジットリレ一覧を制御していると想定し、エンドツーエンドのトラフィック相関を可能にする。
• パケット間到着時間および転送サイズに基づいて、機械学習技術を用いてトラフィックパターンを分類・照合する。
• 本手法は、実際のBitTorrentクライアントおよびTorリレを用いた制御された実験環境で検証された。

実験結果

リサーチクエスチョン

• RQ1 Torを使用するBitTorrentユーザーは、トラフィック相関攻撃によって脱匿名化可能か？
• RQ2 時間ベースの相関は、BitTorrentファイル共有中にTorユーザーをその実際のIPアドレスにリンクさせるためにどの程度効果的か？
• RQ3 ネットワーク状態、クライアント行動、スワームサイズなどの要因が、脱匿名化成功率にどのように影響を与えるか？
• RQ4 BitTorrentトラフィックの構造的特徴が、Torが提供する匿名性をどの程度損なうか？
• RQ5 複数のユーザーを同時に標的にする場合、精度の著しい低下を伴わずに攻撃をスケーリング可能か？

主な発見

• 制御された実験環境において、理想的なネットワーク条件下で85％のBitTorrentユーザーが成功裏に脱匿名化された。
• バックグラウンドトラフィックおよび変動する遅延を伴う現実的ネットワーク条件下では、成功率は60％に低下した。
• 単なる帯域幅相関よりも、時間的相関が、一致するトラフィックフローを特定する上ではるかに有効であった。
• 特にファイルダウンロードの初期段階において、アップロードおよびダウンロードのパターンが最も同期していたため、攻撃は最も効果的であった。
• 同じスワームに複数のピアが存在することで、相関の機会が増加し、攻撃の成功率が向上した。
• トラフィックパディングなどのオブスカレーション技術を用いても、本手法は依然として有効であったが、成功率は低下していた。