[論文レビュー] Post-Compromise Security in Self-Encryption

Choi, Gwangbae, Durak, F. Betül+1 more|arXiv (Cornell University)|Jul 30, 2019

Experimental Learning in Engineering参考文献 41被引用数 12

ひとこと要約

本研究は、アクティブスキャン、パasiveモニタリング、Androidアプリのテレメトリーデータを用いて、インターネット全体におけるTLS 1.3の展開と利用状況を調査した。その結果、Cloudflare、Google、Facebookなどの主要プロバイダーによる集中管理のおかげで、TLS 1.3の採用率は非常に高く、ホスティングおよびクライアントエコシステムを通じて急速に展開されているが、広範なドメインや地域においては採用が不均一であることが明らかになった。

ABSTRACT

In self-encryption, a device encrypts some piece of information for itself to decrypt in the future. We are interested in security of self-encryption when the state occasionally leaks. Applications that use self-encryption include cloud storage, when a client encrypts files to be stored, and in 0-RTT session resumptions, when a server encrypts a resumption key to be kept by the client. Previous works focused on forward security and resistance to replay attacks. In our work, we study post-compromise security (PCS). PCS was achieved in ratcheted instant messaging schemes, at the price of having an inflating state size. An open question was whether state inflation was necessary. In our results, we prove that post-compromise security implies a super-linear state size in terms of the number of active ciphertexts which can still be decrypted. We apply our result to self-encryption for cloud storage, 0-RTT session resumption, and secure messaging. We further show how to construct a secure scheme matching our bound on the state size up to a constant factor.

研究の動機と目的

• IETF標準化後すぐに、インターネット全体におけるTLS 1.3の実世界での展開と利用状況を測定すること。
• ホスティングプロバイダーおよびCDNがTLS 1.3の採用をどのように加速しているかを調査すること。
• Lumenプライバシー・アプリからのデータを活用し、モバイルネットワークおよびモバイルブラウザにおけるTLS 1.3の利用パターンを分析すること。
• プロトコルレベルの集中化がセキュリティ、パフォーマンス、プライバシーに与える影響を評価すること。
• モバイルアプリにおける標準化されていないTLS 1.3の変種の広がりと、最終標準への移行状況を評価すること。

提案手法

• 27500万のドメイン（com/net/org、54のccTLD、1100以上のgTLDを含む）を網羅する大規模なアクティブスキャンを実施し、TLS 1.3のサポート状況を測定した。
• 2か所のグローバルネットワークポイントでパasiveモニタリングを実施し、実際のTLS 1.3ハンドシェイク行動および機能利用状況を観察した。
• 広く配布されているAndroid端末向けLumenプライバシー・アプリから収集したTLSハンドシェイクデータを分析した。
• DNSおよびIPデータを、Cloudflare、AWS、Azureなどの既知のクラウドプロバイダー範囲と照合することで、ホスティングの影響がTLS 1.3展開に与える影響を特定した。
• バージョンネゴシエーションデータを用いて、特にFacebookやGoogleのモバイルアプリにおける非標準のTLS 1.3ドラフトの検出を実施した。
• 複数のデータソースを統合し、プロトコル採用状況、パフォーマンス機能、プライバシー向上の評価を実施した。

実験結果

リサーチクエスチョン

• RQ1 TLS 1.3は、ccTLDやgTLDを含むさまざまなDNSゾーンにどの程度展開されているか。その差異を引き起こす要因は何か。
• RQ2 Cloudflare、Google、FacebookなどのホスティングプロバイダーやCDNは、TLS 1.3の採用速度と規模にどのように影響を与えているか。
• RQ3 実世界のトラフィックにおいて、TLS 1.3のパフォーマンス向上機能（例：0-RTT、イ早めの暗号化）は実際にどの程度利用されているか。
• RQ4 Android上のモバイルアプリは、標準化されたTLS 1.3プロトコルをどのように実装し、標準化プロセスに移行しているか。
• RQ5 プロプライエタリーやドラフト版のTLS 1.3は、モバイルアプリにどの程度残存しており、標準化と相互運用性にどのような影響を与えているか。

主な発見

• TLS 1.3の採用率は非常に高く、Alexaドメインの90％以上が対応している。主にCloudflareが、アクティブスキャンにおけるTLS 1.3対応ドメインの60％を占めている。
• Cloudflareは、特に初期展開段階において、大多数のTLS 1.3ハンドシェイクを担う主要なフ론トエンドプロバイダーである。
• FacebookとGoogleが、パasiveモニタリングにおいてTLS 1.3利用の主な要因となっており、実際の接続の大多数を処理している。
• FacebookやGoogleのAndroidアプリは、非標準のTLS 1.3ドラフト（例：Facebookのドラフト23および26）を最初に実験的に採用しており、後に最終標準に置き換えられた。
• 広範なサポートにもかかわらず、de や fr などの多くのccTLDでは採用率が低く、展開に地域差が顕著に現れている。
• 主要なモバイルアプリでは、ドラフト版から最終標準への移行が迅速に進んでおり、標準化プロトコルがリリースされるとすぐにその整合性を保っていることが示された。