[論文レビュー] I Know Where You are and What You are Sharing: Exploiting P2P Communications to Invade Users' Privacy

Stevens Le Blond, Chao Zhang+3 more|arXiv (Cornell University)|Sep 19, 2011

Internet Traffic Analysis and Secure E-voting参考文献 8被引用数 6

ひとこと要約

本稿では、Skypeのようなリアルタイム通信システムが、目に見えない通話の開始とトラフィックの相関分析によって、NATの背後にもかかわらずユーザーのIPアドレスや移動パターンを追跡する手段として悪用可能であることを示している。さらに、SkypeとBitTorrentを組み合わせることで、IP IDに基づく検証を用いて、攻撃者がユーザーの身元をそのファイル共有活動に関連付ける精度を高められることを示している。

ABSTRACT

In this paper, we show how to exploit real-time communication applications to determine the IP address of a targeted user. We focus our study on Skype, although other real-time communication applications may have similar privacy issues. We first design a scheme that calls an identified targeted user inconspicuously to find his IP address, which can be done even if he is behind a NAT. By calling the user periodically, we can then observe the mobility of the user. We show how to scale the scheme to observe the mobility patterns of tens of thousands of users. We also consider the linkability threat, in which the identified user is linked to his Internet usage. We illustrate this threat by combining Skype and BitTorrent to show that it is possible to determine the file-sharing usage of identified users. We devise a scheme based on the identification field of the IP datagrams to verify with high accuracy whether the identified user is participating in specific torrents. We conclude that any Internet user can leverage Skype, and potentially other real-time communication systems, to observe the mobility and file-sharing usage of tens of millions of identified users.

研究の動機と目的

• 一般ユーザーがリアルタイム通信システムを悪用して、特定の個人のIPアドレスおよび移動状況を追跡可能かどうかを調査すること。
• 公開可能なツールおよびプロトコルのみを用いて、ユーザーの身元をそのインターネット利用行動（例：ファイル共有）に関連付けることが可能かどうかを特定すること。
• VoIPクライアントの既存のプライバシー設定が、このような追跡攻撃に対してどれほど効果的であるかを評価すること。
• このような追跡を数万名のユーザーに対して同時にスケーリング可能かどうかを評価すること。

提案手法

• 通話確立時の固有のパケットパターンを分析することで、Skypeパケットから通話相手のIPアドレスを同定・抽出する手法を開発。他のピアからのトラフィックとは区別可能である。
• 地理的局所化サービスを用いて、抽出されたIPアドレスを地理的位置およびISPにマッピング。
• 定期的かつ目立たない通話を実施し、IPアドレスの変化を観察することで、時間経過に伴うユーザーの移動状況を追跡。
• IPデイグラム内のIP識別（IP-ID）フィールドを活用し、特定のBitTorrentトーレントに参加しているかどうかを高い精度で確認。
• Skypeによるユーザー同定と、BitTorrentトラッカーのアナウンスを傍受する受動的監視を組み合わせ、身元とファイル共有行動を関連付ける。
• NAT環境下でも本手法の有効性を評価し、NATを経由するユーザーの公開IPアドレスでさえも特定可能であることを示した。

実験結果

リサーチクエスチョン

• RQ1 攻撃者が標準的なVoIP通信のみを用いて、NATの背後にある標的ユーザーの現在のIPアドレスを特定可能かどうか。
• RQ2 定期的かつ低目立つ通話によって、時間経過に伴い標的ユーザーの移動状況をどの程度観察可能かどうか。
• RQ3 ISPの協力なしにネットワークレベルのトラフィック解析のみを用いて、ユーザーの身元をそのP2Pファイル共有活動に関連付けることが可能かどうか。
• RQ4 SkypeのようなVoIPクライアントに実装された既存のプライバシー設定が、このような追跡攻撃を防ぐのにどれほど効果的かどうか。
• RQ5 本追跡スキームは、多数のユーザーにスケーリング可能か。また、ユーザーのプライバシーにどのような実用的影響を及えるか。

主な発見

• 著者らは、NATの背後にもかかわらず、通話確立時のパケットパターン分析により、標的ユーザーのIPアドレスを高い精度で抽出に成功した。
• 定期的な通話によるIPアドレスの変化を観察することで、ユーザーの移動状況を時間経過に伴って追跡可能であり、Skypeが効果的な対策を講じていないことを示した。
• 本手法は、同時に数万名のユーザーの移動状況を観察可能であり、世界中の最大5600万人のアクティブなSkypeユーザーを追跡可能である可能性を示した。
• SkypeとBitTorrentのトラフィックにおけるIP IDの相関を用いることで、特定のユーザーが特定のファイル共有セッションに参加しているかどうかを高い信頼性で確認した。
• Skypeの既存のプライバシー設定は、本攻撃に対して無効であった。攻撃はアラートや通知を発動させず、正常な通信と同様に動作した。
• 本攻撃は、ユーザーの身元とそのインターネット利用状況（例：ファイル共有）を関連付ける重大なリンク可能性の脅威をもたらし、身元を特定されたユーザーに対して extort やフィッシング攻撃が可能になる可能性がある。