[論文レビュー] Detecting Intentional Packet Drops on the Internet via TCP/IP Side Channels: Extended Version

Roya Ensafi, Jeffrey Knockel+2 more|arXiv (Cornell University)|Dec 19, 2013

Internet Traffic Analysis and Secure E-voting参考文献 15被引用数 9

ひとこと要約

本論文は、TCP/IPの特性——特にクライアントのグローバルに増加するIPIDとサーバーのSYNバックログ状態——を用いて、両方のホストに直接アクセスせずに、2台のリモートインターネットホスト間での意図的なパケットドロップを傍受チャネル手法で検出する非侵襲的で効果的な手法を提示する。IPIDのノイズをARMAモデルでモデル化し、干渉分析を適用することで、片方向または両方向の検閲を検出可能であり、中国におけるTor関連の検閲の98％を検出することでその有効性を検証した。

ABSTRACT

We describe a method for remotely detecting intentional packet drops on the Internet via side channel inferences. That is, given two arbitrary IP addresses on the Internet that meet some simple requirements, our proposed technique can discover packet drops (e.g., due to censorship) between the two remote machines, as well as infer in which direction the packet drops are occurring. The only major requirements for our approach are a client with a global IP Identifier (IPID) and a target server with an open port. We require no special access to the client or server. Our method is robust to noise because we apply intervention analysis based on an autoregressive-moving-average (ARMA) model. In a measurement study using our method featuring clients from multiple continents, we observed that, of all measured client connections to Tor directory servers that were censored, 98% of those were from China, and only 0.63% of measured client connections from China to Tor directory servers were not censored. This is congruent with current understandings about global Internet censorship, leading us to conclude that our method is effective.

研究の動機と目的

• 両方のホストを制御せずに、2台のリモートホスト間での意図的なパケットドロップ（例：検閲によるもの）を検出すること。
• TCP/IPスタック動作からの傍受チャネル信号を用いて、パケットドロップの方向（クライアント→サーバーまたはサーバー→クライアント）を特定すること。
• 背景トラフィックが信号を歪める現実世界のインターネット測定環境においても耐障害性を持つ方法を開発すること。
• 世界中のクライアントを対象とした大規模な測定調査を通じて、本手法の有効性を検証すること。
• アイドルスキャン技術を用いたスケーラブルで倫理的なIPベースの検閲測定手法を提供すること。

提案手法

• 本手法は2つの傍受チャネル——クライアントのグローバルに増加するIPIDと、サーバーのSYNバックログ状態——を活用し、TCPハンドシェイク動作に統合されている。
• バックログを埋めることなく、IPIDの変化とSYNバックログ信号を同時に監視するハイブリッドアイドルスキャンを実行することで、非侵襲的であることを保証する。
• 偽のSYN/ACKパケットをクライアントに送信し、RST応答を観測することで、IPID値の時系列データを収集し、分析用の信号を生成する。
• 自己相関ノイズをリアルワールドのIPIDの変動からフィルタリングするために、自己回帰移動平均（ARMA）モデルを用いる。
• ARMAモデルに干渉分析を適用し、片方向または両方向のパケットドロップを示す異常を検出する。
• IPIDのスキップのタイミングとパターン、SYNバックログ応答の特徴を分析することで、クライアント→サーバー方向とサーバー→クライアント方向のドロップを区別する。

実験結果

リサーチクエスチョン

• RQ1 任意の2台のインターネットホスト間で、両方のホストにアクセスせずに意図的なパケットドロップを検出可能か？
• RQ2 TCP/IPスタックの傍受チャネル信号のみを用いて、パケットドロップの方向（クライアント→サーバーまたはサーバー→クライアント）を特定可能か？
• RQ3 顕著な背景ノイズが存在する現実世界の環境下でも、本手法の有効性はどの程度か？
• RQ4 中国のような高レベルの検閲地域において、本手法はどの程度の検閲を検出可能か？
• RQ5 本手法は、世界のIPアドレス空間の広範な割合を、受動的測定の観測ポイントとして再利用可能か？

主な発見

• 測定されたTorディレクトリサーバーへのクライアント接続のうち、検閲されたもののおよそ98％が中国から発生しており、本手法の地域的検閲への感受性を裏付けた。
• 中国からのTorディレクトリサーバーへのクライアント接続のうち、0.63％しか検閲されていなかったため、標的型ブロッキングが非常に高いレベルで実施されていることが示された。
• 本手法は両方向のパケットドロップを効果的に検出でき、IPIDとSYNバックログ信号の統合的パターンに基づいた方向性の推定が可能であった。
• ARMAベースのノイズモデルは、自己相関のあるIPIDの変動を効果的に処理し、ノイズの多い現実世界環境下での検出の耐障害性を向上させた。
• 測定調査の結果、世界のIPアドレス空間のおよそ1％が、検閲検出のための受動的観測ポイントとして再利用可能であることが示された。
• 本手法は非侵襲的であり、1秒間に5パケットのパケットレートに留まっているため、SYNクッキーを備えないシステムですら、サービス拒否攻撃を引き起こすには不十分である。