[論文レビュー] Hijacking Routes in Payment Channel Networks: A Predictability Tradeoff

Saar Tochner, Stefan Schmid+1 more|arXiv (Cornell University)|Sep 15, 2019

Blockchain Technology Applications and Security参考文献 22被引用数 35

ひとこと要約

tldr: 本研究はオフチェーン決済ネットワーク（Lightning）におけるルートハイジャック型のDoS脆弱性を特定し、ルーティング実装を実証的に分析し、予測可能性を削減するとセキュリティが向上する一方でコストが増大するという fundamental tradeoff を明らかにする。

ABSTRACT

Off-chain transaction networks can mitigate the scalability issues of today's trustless electronic cash systems such as Bitcoin. However, these peer-to-peer networks also introduce a new attack surface which is not well-understood today. This paper identifies and analyzes, a novel Denial-of-Service attack which is based on route hijacking, i.e., which exploits the way transactions are routed and executed along the created channels of the network. This attack is conceptually interesting as even a limited attacker that manipulates the topology through the creation of new channels can navigate tradeoffs related to the way it attacks the network. Furthermore, the attack also highlights a fundamental design tradeoff for the defender (who determines its own routes): to become less predictable and hence secure, a rational node has to pay higher fees to nodes that forward its payments. We find that the three most common implementations for payment channels in Bitcoin (lnd, C-lightning, Eclair) approach routing differently. We begin by surveying the current state of the Lightning network and explore the routes chosen by these implementations. We find that in the current network nearly 60\% of all routes pass through only five nodes, while 80\% go through only 10 nodes. Thus, a relatively small number of colluding nodes can deny service to a large fraction of the network. We then turn to study an external attacker who creates links to the network and draws more routes through its nodes by asking for lower fees. We find that just five new links are enough to draw the majority (65\% - 75\%) of the traffic regardless of the implementation being used. The cost of creating these links is very low. We discuss the differences between implementations and eventually derive our own suggested routing policy, which is based on a novel combination of existing approaches.

研究の動機と目的

• オフチェーン決済ネットワークにおけるスケーラビリティとルーティングのセキュリティ課題を動機づける。
• ルーティング決定とチャネル手数料が攻撃面に与える影響を特徴づける。
• 現在の Lightning 実装とネットワークトポロジを実証的に評価する。
• 共同作業する中央ノードと外部攻撃者の攻撃実行可能性を分析する。
• ハイジャックリスクを軽減する設計と方針のトレードオフを議論する。

提案手法

• エッジがチャンネルであるグラフとして支払いチャネルネットワークをモデル化する。
• lnd、C-lightning、Eclair が用いるルーティングアルゴリズムとそれらの重み計算を調査する。
• 実データ（2019年7月）の Lightning Network のライブデータを実証的に分析し、中心性、経路使用、手数料を評価する。
• 共同作業する中央ノードを用いたDoSルートハイジャック攻撃と、新規チャンネルを作成する外部攻撃者を想定した攻撃をシミュレーションする。
• 集中型中心性とサブモジュラー最適化の特性を通じて攻撃者戦略を評価する。
• 既存のアプローチに触発されたルーティングポリシーの組み合わせを提案し、防御戦略を論じる。

実験結果

リサーチクエスチョン

• RQ1 現在の Lightning Network 実装においてルートハイジャック DoS 攻撃はどの程度実行可能か？
• RQ2 多数の経路をハイジャックするには新規チャンネルはいくつ必要か、あるいはどの中央ノードが対象となるか？
• RQ3 異なるルーティング実装（lnd、C-lightning、Eclair）は脆弱性とルーティング挙動の点でどう比較されるか？
• RQ4 ルーティング戦略を選択する際、予測可能性の代償としてのセキュリティと経済的トレードオフは何か？
• RQ5 ネットワーク性能を阻害せずハイジャックリスクを低減できる実用的な緩和策やルーティングポリシーの変更は何か？

主な発見

• 新たに5つの低手数料リンクだけで、全実装にまたがって約65%–75%のトラフィックをハイジャックできる。
• ほぼ60%の経路が上位5ノードを通過し、80%が上位10ノードを通過しており、標的を定めた共謀による妨害を促進する。
• わずか5つの外部リンクだけで多数のトラフィックを占有でき（65%–75%）、30リンクで約80%に達する。
• ノードは主にデフォルトの手数料を使用しており、利他的でないルーティングの証拠は少なく、低手数料ハイジャック戦略に対して脆弱であることを示唆する。
• 経路選択においてルーティング実装は異なる（lnd、C-lightning、Eclair）ものの、いずれも中心性に基づく脆弱性を示す；Eclair の上位3の乱数化は限定的な保護を提供する。
• 基本的な設計上のトレードオフが存在する：別ルートを選択して予測可能性を低減するとセキュリティは高まるが、守る側のルーティング手数料が上昇する。