[論文レビュー] One Bad Apple Spoils the Bunch: Exploiting P2P Applications to Trace and Profile Tor Users

Stevens Le Blond, Pere Manils+5 more|arXiv (Cornell University)|Mar 8, 2011

Internet Traffic Analysis and Secure E-voting参考文献 10被引用数 49

ひとこと要約

この論文は、Tor上の不安定なピアツーピア（P2P）アプリケーション（例：BitTorrent）が、安全で匿名性が保証されたアプリケーションのユーザーを追跡・プロファイリングするために悪用され得ることを示している。トラッカー応答の乗っ取りやDHTの統計的パターンを活用することで、著者らは23日間にわたり10,000人のTorユーザーを追跡した。その結果、Torのストリーム多重化の影響により、P2Pトラフィック以外のストリームが193%多く関連付けられ、うち27%は安全なブラウザから発信された可能性のあるHTTPストリームであった。これは、匿名性ネットワークにおける深刻なプライバシーの脆弱性を露呈している。

ABSTRACT

Tor is a popular low-latency anonymity network. However, Tor does not protect against the exploitation of an insecure application to reveal the IP address of, or trace, a TCP stream. In addition, because of the linkability of Tor streams sent together over a single circuit, tracing one stream sent over a circuit traces them all. Surprisingly, it is unknown whether this linkability allows in practice to trace a significant number of streams originating from secure (i.e., proxied) applications. In this paper, we show that linkability allows us to trace 193% of additional streams, including 27% of HTTP streams possibly originating from "secure" browsers. In particular, we traced 9% of Tor streams carried by our instrumented exit nodes. Using BitTorrent as the insecure application, we design two attacks tracing BitTorrent users on Tor. We run these attacks in the wild for 23 days and reveal 10,000 IP addresses of Tor users. Using these IP addresses, we then profile not only the BitTorrent downloads but also the websites visited per country of origin of Tor users. We show that BitTorrent users on Tor are over-represented in some countries as compared to BitTorrent users outside of Tor. By analyzing the type of content downloaded, we then explain the observed behaviors by the higher concentration of pornographic content downloaded at the scale of a country. Finally, we present results suggesting the existence of an underground BitTorrent ecosystem on Tor.

研究の動機と目的

• Tor上の不安定なP2Pアプリケーションが、安全なアプリケーションのユーザーを追跡・プロファイリングするために利用可能かどうかを調査すること。
• 1つの不安定なアプリケーションが共有のTor回路に接続されたすべてのストリームの匿名性を損なう『bad apple』攻撃の現実的実行可能性とスケールを評価すること。
• 特定のIPアドレスを追跡した結果に基づき、Torユーザーの地理的・行動的プロファイル（特にBitTorrentとWebブラウジングのパターン）を分析すること。
• 特にコンテンツタイプに関連して、特定の国でTorの使用が高水準に維持される社会的・技術的要因を解明すること。
• 現代の匿名性ネットワークにおけるbad apple攻撃に対する防御策を提案・評価すること。

提案手法

• 6つのTorエグジットノードを改造し、トラッカー応答の乗っ取りとDHTベースのタイミング解析を用いてBitTorrentトラフィックを監視・操作した。
• 23日間にわたり実世界での攻撃を実施し、倫理基準を満たすために非個人識別情報（ASNと国）のみを収集した。
• 追跡されたBitTorrentユーザーのIPアドレスを基に、異なる国におけるWebブラウジング行動の相関とプロファイリングを実施した。
• 国レベルでのTor使用の差異を説明するため、ダウンロードされたコンテンツの種別を分析し、特にポルノグラフィックコンテンツに焦点を当てた。
• アプリケーション固有の回路、ポートベースの隔離、単一ストリーム回路などの防御策を評価したが、それらの制限を指摘した。
• bad apple効果によって追加で関連付けられるストリーム数を測定することで、攻撃のスケーラビリティと影響を検証した。

実験結果

リサーチクエスチョン

• RQ1 Tor上の不安定なP2Pアプリケーションが、安全で匿名化されたアプリケーションのユーザーを追跡・プロファイリングするために悪用可能か？
• RQ2 Torの回路間でのストリーム多重化は、非P2Pトラフィックが不安定なアプリケーションを利用しているユーザーにどのように関連づけられるか？
• RQ3 Tor上のBitTorrentユーザーの地理的・行動的プロファイルは何か？非TorのBitTorrentユーザーとはどのような点で異なるか？
• RQ4 特にポルノグラフィックコンテンツを含む特定コンテンツタイプの高頻度な使用が、地域ごとのTor採用率の差を説明できるか？
• RQ5 実世界の匿名性ネットワークにおけるbad apple攻撃に対する防御策の実用的制限とトレードオフは何か？

主な発見

• bad apple攻撃により、BitTorrentストリームのみに比べて193%多くのストリームが追跡可能となった。そのうち27%は安全なブラウザから発信された可能性のあるHTTPストリームであった。
• 23日間の攻撃期間中に、10,000件のTorユーザーのIPアドレスが特定され、これは、追跡されたユーザー数の観点で、これまでに知られている最大規模のTor攻撃である。
• 改造されたエグジットノードを介して転送されたすべてのTorストリームのうち9%が追跡対象となった。これは、攻撃が現実世界に与える顕著な影響を示している。
• 特定の国では、非TorのBitTorrentユーザーと比較して、Tor上のBitTorrentユーザーが顕著に多く占めている。これは主に、国内レベルでのポルノグラフィックコンテンツのダウンロード頻度の高さに起因する。
• 本研究は、Tor上に地下的なBitTorrentエコシステムが存在することを裏付ける証拠を提供しており、協調的または隠れた使用パターンを示唆している。
• 単一生徒回路やアプリケーション固有の隔離といった防御策は、OSレベルの制限や潜在的な回避攻撃の可能性があるため、実装が技術的に困難であることが判明した。