[論文レビュー] Dead Letters to Alice - Reachability of E-Mail Addresses in the PGP Web of Trust

Benjamin Leiding, Andreas Dähn|arXiv (Cornell University)|May 10, 2016

Service-Oriented Architecture and Web Services被引用数 4

ひとこと要約

本研究では、PGPウェブ・オブ・トラストに登録された400万件のメールアドレスの技術的到達可能性を評価し、そのうち40%が到達不能であることが判明した。DNS MXレコード分析とSMTP検証を用いて、到達可能なアドレスの46.77%がGoogle、United Internet、Microsoftの3社に集中していることが明らかになった。これは、PGPの信頼インfraストラクチャにおける構造的脆弱性と中心集権化を示している。

ABSTRACT

Over the last 25 years four million e-mail addresses have accumulated in the PGP web of trust. In a study each of them was tested for vitality with the result of 40% being unreachable. Of the mailboxes proven to be reachable, 46.77% turn out to be operated by one of three organizations. In this article, the authors share their results and challenges during the study.

研究の動機と目的

• PGPウェブ・オブ・トラストに関連付けられた公開鍵に紐付いたメールアドレスの技術的到達可能性を評価すること。
• PGPウェブ・オブ・トラストに登録されたメールアドレスが、現在どれほど機能し、アクセス可能であるかを調査すること。
• 到達不能なメールアドレスが、既存のPGP信頼メトリクスおよび全体の信頼モデルに与える影響を評価すること。
• PGP関連アカウントの大部分を占める主要なメールサービスプロバイダーを特定すること。

提案手法

• PGP鍵リングサーバーを複製し、公開鍵データと関連するメールアドレスを抽出した。
• 文法的正しさをフィルタリングし、重複および明らかな無効アドレスを除外した。
• 各メールドメインのDNS MXレコードを解決し、メール交換サーバーを特定した。
• MXサーバーとのSMTP接続試行と検証を実施し、到達可能性をテストした。
• MXサーバーがアドレス検証をサポートしていることを確認する検証チェックを適用した。
• プロバイダー別に結果を分類し、主要なメールサービスにおける分布を分析した。

実験結果

リサーチクエスチョン

• RQ1 PGPウェブ・オブ・トラストに登録されたメールアドレスのうち、技術的に到達不能な割合はどれくらいか？
• RQ2 到達可能なメールアドレスのうち、少数の主要プロバイダーに集中しているのはどの程度か？
• RQ3 メールアドレスの到達可能性が、既存のPGP信頼メトリクスの妥当性にどの程度影響を及えるか？
• RQ4 メールホスティングの中心集権化が、PGPウェブ・オブ・トラストのプライバシーと信頼性に与える影響は何か？

主な発見

• PGPウェブ・オブ・トラストに登録された400万件のメールアドレスのうち、40%が技術的に到達不能であることが判明した。
• 到達可能なアドレスの60%のうち、46.77%がGoogle、United Internet、Microsoftの3社に集中している。
• Googleは単独で、PGPウェブ・オブ・トラストに登録された全メールアドレスの19.31%を占めており、343,415件のアドレスが到達可能であることが確認された。
• United InternetとMicrosoftは、それぞれ6.82%および5.75%の全アドレスを占めており、到達可能なアドレスは115,479件および57,360件であった。
• 上位100のメール交換ドメインが、到達可能なアドレスの大多数を占めており、特にGoogle、Gmail、Hotmailが顕著であった。
• 本研究では、主要なメールプラットフォームに接続されたグローバルな観察者であれば、暗号化されていないメール保存の仕組みから、PGP鍵の使用パターンを推測できるという、メタデータ漏洩の重大なリスクを特定した。