[論文レビュー] Effect of Pipelining and Multiplexing in Estimating HTTP/2.0 Web Object Sizes

Ricardo Morla|arXiv (Cornell University)|Jul 3, 2017

Internet Traffic Analysis and Secure E-voting参考文献 9被引用数 4

ひとこと要約

本稿は、HTTP/2.0のパイプライン処理およびマルチプレクシング機構が、HTTP応答サイズの推定に基づく側面攻撃を効果的に防ぐかどうかを調査している。10,000の代表的なウェブサイトを対象とした実験的測定の結果、パイプライン処理およびマルチプレクシングはほとんど使用されていない——オブジェクトの29%しかパイプライン化されておらず、5%しかマルチプレクシングされていない——応答サイズの隠蔽効果が限定的であり、現在の展開状況下でも、TLSレコードサイズに基づく単純なモデルが応答サイズ推定に非常に有効であることが判明した。

ABSTRACT

HTTP response size is a well-known side channel attack. With the deployment of HTTP/2.0, response size estimation attacks are generally dismissed with the argument that pipelining and response multiplexing prevent eavesdroppers from finding out response sizes. Yet the impact that pipelining and response multiplexing actually have in estimating HTTP response sizes has not been adequately investigated. In this paper we set out to help understand the effect of pipelining and response multiplexing in estimating the size of web objects on the Internet. We conduct an experiment that collects HTTP response sizes and TLS record sizes from 10k popular web sites. We gather evidence on and discuss reasons for the limited amount of pipelining and response multiplexing used on the Internet today: only 29% of the HTTP2 web objects we observe are pipelined and only 5% multiplexed. We also provide worst case results under different attack assumptions and show how effective a simple model for estimating response sizes from TLS record sizes can be. Our conclusion is that pipelining and especially response multiplexing can yield, as expected, a perceivable increase in relative object size estimation error yet the limited extent of multiplexing observed on the Internet today and the relative simplicity of attacks to the current pipelining mechanisms hinder their ability to help prevent web object size estimation.

研究の動機と目的

• HTTP/2.0のパイプライン処理およびマルチプレクシング機構が、HTTP応答サイズの推定に基づく側面攻撃を効果的に遮断できるかどうかを評価すること。
• 人気ウェブサイトにおける実際のHTTP/2.0展開状況において、パイプライン処理およびマルチプレクシングの使用範囲を測定すること。
• 特にTLSレコードサイズを代理指標として用いる場合を含め、攻撃者による仮定が異なる状況下での応答サイズ推定攻撃の有効性を評価すること。
• パイプライン処理およびマルチプレクシングの導入が、プライバシー保護の意図にもかかわらず、技術的・展開的要因によって制限されている主な理由を特定すること。
• 特にIPベースのファングプリントが無効となるプロキシやCDN環境にいるユーザーのWebアプリケーションプライバシーに与える影響を検討すること。

提案手法

• 実際のHTTP/2.0トラフィックを観測するために、ブラウザベースのキャプチャ環境を用いて10,000の代表的ウェブサイトからのネットワークトラフィックを収集した。
• TCPストリーム、HTTP/2.0フレーム、TLSレコード境界を分析し、WebオブジェクトサイズをTLSレコードサイズにマッピングした。
• パイプライン処理（以前の応答が完了する前に複数のリクエストを送信）およびマルチプレクシング（複数のストリームに跨る応答データの重複）の指標を定義し、測定した。
• 攻撃者モデルを、パイプライン処理／マルチプレクシングの知識がない状態、部分的な知識、ストリーム構造を完全に把握している状態の3段階に分け、評価した。
• 統計的分析を用いて、TLSレコードサイズに基づく応答サイズ推定における最悪ケースの相対誤差を定量化した。
• TLSレコードサイズパターンとサーバーIPアドレスを相関させることで、実展開状況における潜在的な側面漏洩を検出した。

実験結果

リサーチクエスチョン

• RQ1 実世界のHTTP/2.0展開において、パイプライン処理およびマルチプレクシングはどの程度実際に使用されているか？
• RQ2 パイプライン処理およびマルチプレクシングは、応答サイズ推定攻撃の誤差をどれほど増加させるか？
• RQ3 HTTP/2.0のメカニズムが存在するにもかかわらず、TLSレコードサイズに基づく単純なモデルが、HTTP応答サイズを正確に推定できるか？
• RQ4 パイプライン処理およびマルチプレクシングの導入が制限されている主な技術的または展開関連要因は何か？
• RQ5 これらのメカニズムの使用が限定的であることは、特にプロキシおよびCDN環境におけるWebユーザーのプライバシーにどのような影響を及えるか？

主な発見

• HTTP/2.0のウェブオブジェクトの29%しかパイプライン化されておらず、実際の運用においてリクエストパイプライン処理が限定的であることが示された。
• HTTP/2.0のウェブオブジェクトの5%しかマルチプレクシングされておらず、応答のマルチプレクシングは大規模に展開されていないことが示された。
• 理論的なプライバシー利点があるにもかかわらず、パイプライン処理およびマルチプレクシングの実世界での展開が限定的であるため、応答サイズの隠蔽効果は著しく低下している。
• TLSレコードサイズからHTTP応答サイズを推定する単純なモデルは、現実的な攻撃者仮定下でも依然として非常に有効である。
• 一部のサーバーIPアドレスにおいてパイプライン処理の使用が確認されたことから、攻撃者は依然としてこのメカニズムを利用して応答サイズを推定可能であると判明した。
• 著者らは、現在のパイプライン処理およびマルチプレクシングの展開レベルでは、応答サイズに基づく側面攻撃を意味的に防ぐには不十分であると結論づけた。