[論文レビュー] Managing NymBoxes for Identity and Tracking Protection

David Isaac Wolinsky, Bryan Ford|arXiv (Cornell University)|Dec 12, 2013

Internet Traffic Analysis and Secure E-voting参考文献 55被引用数 3

ひとこと要約

Nymix は、複数のオンラインアイデンティティのエンドツーエンド保護を提供し、追跡や脱匿名化を防ぐために隔離された仮想マシン（通称 nymbox）を用いたプライバシー指向のオペレーティングシステムアーキテクチャです。各 nymbox は、Tor やその他の匿名化ツールを介した専用のネットワークルーティングを備えた、別個の一時的または永続的なブラウザセッションを実行し、600 MB のメモリ使用量と 15〜25 秒のロード時間で強力な隔離とユーザー主導の状態管理を実現します。

ABSTRACT

Despite the attempts of well-designed anonymous communication tools to protect users from tracking or identification, flaws in surrounding software (such as web browsers) and mistakes in configuration may leak the user's identity. We introduce Nymix, an anonymity-centric operating system architecture designed "top-to-bottom" to strengthen identity- and tracking-protection. Nymix's core contribution is OS support for nym-browsing: independent, parallel, and ephemeral web sessions. Each web session, or pseudonym, runs in a unique virtual machine (VM) instance evolving from a common base state with support for long-lived sessions which can be anonymously stored to the cloud, avoiding de-anonymization despite potential confiscation or theft. Nymix allows a user to safely browse the Web using various different transports simultaneously through a pluggable communication model that supports Tor, Dissent, and a private browsing mode. In evaluations, Nymix consumes 600 MB per nymbox and loads within 15 to 25 seconds.

研究の動機と目的

• 既存の匿名化ツールにもかかわらず、オンライン追跡やアイデンティティの関連付けの増加する脅威に対処すること。
• アイデンティティ間の構造的隔離を強制することで、複数のオンラインパーソナを管理する際のユーザーのミスを低減すること。
• ブラウザのファングリーピング、マルウェアによる汚染、設定ミスなどのクライアント側の脆弱性から生じる脱匿名化を防ぐこと。
• 一時的および永続的ブラウジングセッションを強力な状態隔離と否認性とともに安全に管理すること。
• Tor や Dissent といった複数の匿名化ネットワークを統合できる、合成可能でプラグイン可能なフレームワークを提供すること。

提案手法

• Nymix は、各 nymbox に対して QEMU/KVM を用いた 2 つの仮想マシンを用いる：1 つはネットワーク通信（例：Tor）用、もう 1 つはブラウザおよびプラグイン用。
• 各 nymbox は隔離され、共通のベース状態から初期化されるため、一貫性が保たれ、攻撃面も最小限に抑えられる。
• 永続的 nymbox の状態は暗号化され、ローカルまたは匿名クラウドストレージに保存され、明示的なユーザーの要求がある場合にのみ更新される。
• システムは、Tor や Dissent、および軽量なインコグニートモードを含む、プラグイン可能な匿名バックエンドをサポートする。
• Nymix は USB からの起動を可能にし、ホストマシンに痕跡を残さないため、否認性を実現する。
• ユーザー主導のクリーニング機能を組み込み、将来的に Buddies のようなツールと統合することで、交差攻撃に対する耐性を高められる。

実験結果

リサーチクエスチョン

• RQ1 どのようにしてオペレーティングシステムアーキテクチャが、追跡や脱匿名化を防ぐために複数のオンラインアイデンティティ間の強力な隔離を実現できるか？
• RQ2 ブラウザのファングリーピング、マルウェアによる汚染、設定ミスなどのクライアント側の漏洩を防ぐためのメカニズムとは何か？
• RQ3 一時的および永続的ブラウジングセッションを、最小限のパフォーマンスオーバーヘッドで安全に管理するにはどうすればよいか？
• RQ4 複数の匿名化ネットワークをサポートするため、クライアントOSに合成可能でプラグイン可能な匿名化フレームワークを統合できるか？
• RQ5 長期的な状態を侵害から保護しつつ、否認性と交差攻撃に対する耐性を維持するにはどうすればよいか？

主な発見

• Nymix は nymbox あたり 600 MB のメモリを消費し、15〜25 秒のロード時間を達成しており、ネイティブまたは Tails に類似したパフォーマンスを実現している。
• システムは、各 nymbox ごとにクライアント側の状態と資格情報を隔離し、誤って間違った文脈で資格情報を入力するリスクを完全に排除した。
• 状態の更新を明示的なユーザー操作に延期することで、長期的な匿名性を損なうステーニング攻撃に対して耐性を持つ。
• Nymix の設計により、ユーザーのファングリーピングが低減され、Buddies のようなツールと統合することで匿名性の閾値保護を強化できる。
• プロトタイプは敵対的赤チームテストを経ており、既知の脱匿名化および追跡技術に対して耐性を示している。
• USB からの起動と状態なしの動作をサポートすることで、Nymix は否認性を実現し、敵対的環境下の高リスクユーザーに適している。