[論文レビュー] Preserving Peer Replicas By Rate-Limited Sampled Voting in LOCKSS

Petros Maniatis, Mema Roussopoulos+4 more|ArXiv.org|Mar 25, 2003

Internet Traffic Analysis and Secure E-voting参考文献 31被引用数 3

ひとこと要約

本論文は、ロックサスP2Pデジタル保存システムのためのレート制限付きサンプリング投票プロトコルを提案し、レート制限、内在的侵入検出、コストの高い操作を組み合わせることで、長期間にわたる強力な敵対者に対する耐性を向上させる。このプロトコルにより、無制限の計算リソースを有する攻撃者であっても、数十年にわたって検出されない恒久的破損を引き起こす可能性は最小限に抑えられ、シミュレーションでは最悪状況下で破損確率が最大3.5%上昇するにとどまる。

ABSTRACT

The LOCKSS project has developed and deployed in a world-wide test a peer-to-peer system for preserving access to journals and other archival information published on the Web. It consists of a large number of independent, low-cost, persistent web caches that cooperate to detect and repair damage to their content by voting in "opinion polls." Based on this experience, we present a design for and simulations of a novel protocol for voting in systems of this kind. It incorporates rate limitation and intrusion detection to ensure that even some very powerful adversaries attacking over many years have only a small probability of causing irrecoverable damage before being detected.

研究の動機と目的

• 長期間のデジタル保存における既存のロックサス意見投票プロトコルのスケーラビリティおよびセキュリティ上の制限を解決すること。
• 数十年にわたって持続的な攻撃を仕掛けることのできる強力で持続的な敵対者に対して耐性を持つシステムを設計すること。
• 分散型で長期間にわたるシステムにおいて脆弱である長期的秘密や安定したアイデンティティに依存しないこと。
• 一貫した破損試行を早期に検出しつつ、ランダム障害による誤検出を最小限に抑えること。
• 強力な信頼性と攻撃耐性を備えた大規模かつ低コストのP2Pアーカイブストレージの展開を可能にすること。

提案手法

• プロトコルは意見投票におけるピアのレート制限付きサンプリングを用い、いかなるピアもシステムを圧倒するほど頻繁に投票できないように制限する。
• 高レベルの反論（近い結果）を示す投票を特定することで、攻撃者による一貫した損傷を示す内在的侵入検出を統合する。
• 障害検出や修復を含むすべてのシステム操作が本質的に時間がかかるため、攻撃行動を遅らせる「慣性」を提供する。
• 投票結果に影響を与えるために、ピアは最近の計算作業の証明を提供しなければならず、なりすましアイデンティティの影響を低減する。
• 第三者のレピュテーションシステムに依存せず、直接観察と短期的秘密に基づいてピア参加を検証する。
• シミュレーションを用いて、直接的破損、誤アラーム生成、システム遅延の3種類の攻撃に対する耐性を評価する。

実験結果

リサーチクエスチョン

• RQ1 P2Pデジタル保存システムは、数十年にわたって無制限の計算リソースを持つ敵対者からの攻撃に耐えられるか？
• RQ2 長期的秘密や安定したアイデンティティに依存せずに、レプリカ全体にわたる一貫した破損試行を検出する方法は何か？
• RQ3 レート制限とコストの高い操作は、大規模で分散型のシステムにおける攻撃の効果をどの程度低下させるか？
• RQ4 攻撃者がピアの1/3を制御している最悪状況下で、破損確率が最大どれほど上昇するか？
• RQ5 本物の攻撃を検出する感度と、ランダム障害や誤検出に対する耐性のバランスをどのようにとるか？

主な発見

• 攻撃者が持続的な努力をしても、正当なピアが行う以上の効果的な努力をとらせない。
• 攻撃者がピアの1/3を制御していても、読者が損傷したコピーを受け取る確率は最悪状況で3.5%までしか上昇しない。
• 論争の激しい投票（一貫した損傷の兆候）はアラームを発動させ、恒久的損傷が生じる前に攻撃を検出可能である。
• ランダム障害による誤検出は非常に少ない。ランダムな損傷は、投票で大差で合意するか、あるいは対立するかのどちらかになるためである。
• プロトコルは大規模展開にも成功し、長期的秘密や中央集権的制御に依存せず、強力なセキュリティを維持する。
• シミュレーションにより、レート制限、内在的検出、運用的慣性の組み合わせが、数十年にわたるスケールで強固な防御を提供することが確認された。