[論文レビュー] ProxyTorrent: Untangling the Free HTTP(S) Proxy Ecosystem

Diego Perino, Matteo Varvello+1 more|arXiv (Cornell University)|Dec 19, 2016

Internet Traffic Analysis and Secure E-voting参考文献 9被引用数 7

ひとこと要約

ProxyTorrent は、Chrome プラグインを介した受動的ユーザー収集データと、能動的プローブを組み合わせた分散型測定プラットフォームであり、無料の HTTP(S) プロキシエコシステムを分析するものである。その結果、公表されたプロキシの 2%未満が実際に機能しており、性能が利用可能なのは半数にとどまり、約 10% が広告挿入や TLS 介在といった悪意ある行動を示していることが判明した。特に、これらの悪意あるプロキシはしばしば高速であるため、「無料には理由がある」という仮説が裏付けられた。

ABSTRACT

Free web proxies promise anonymity and censorship circumvention at no cost. Several websites publish lists of free proxies organized by country, anonymity level, and performance. These lists index hundreds of thousand of hosts discovered via automated tools and crowd-sourcing. A complex free proxy ecosystem has been forming over the years, of which very little is known. In this paper we shed light on this ecosystem via ProxyTorrent, a distributed measurement platform that leverages both active and passive measurements. Active measurements discover free proxies, assess their performance, and detect potential malicious activities. Passive measurements relate to proxy performance and usage in the wild, and are collected by free proxies users via a Chrome plugin we developed. ProxyTorrent has been running since January 2017, monitoring up to 180,000 free proxies and totaling more than 1,500 users. Our analysis shows that less than 2% of the proxies announced on the web indeed proxy traffic on behalf of users; further, only half of these proxies have decent performance and can be used reliably. Around 10% of the working proxies exhibit malicious behaviors, e.g., ads injection and TLS interception, and these proxies are also the ones providing the best performance. Through the analysis of more than 2 Terabytes of proxied traffic, we show that web browsing is the primary user activity. Geo-blocking avoidance is not a prominent use-case, with the exception of countries hosting popular geo-blocked content.

研究の動機と目的

• 無料の HTTP(S) プロキシエコシステムの規模、信頼性、セキュリティを理解すること。これは、広範に使用されているにもかかわらず、依然としてほとんど調査がなされていない分野である。
• 毎日公表される数十万のプロキシの中から、実際に機能し信頼できるプロキシの正確な数を特定すること。
• 実際の環境における匿名性、パフォーマンス、および悪用の可能性に関するユーザー行動とプロキシ使用パターンを調査すること。
• 能動的発見と受動的監視の両方を可能にする、スケーラブルで分散型の測定プラットフォームの開発

提案手法

• ファンネルベースのテストパイプラインを用いた能動的測定：プロキシリストをクロールし、到達可能性、プロキシ経由の正しく動作する通信、TLS 証明書の有効性を、意図的に仕組まれた「罠」ウェブページを用いてテストする。
• 約 30 のグローバルなネットワーク位置（PlanetLab ノード）から、信頼できるプロキシのパフォーマンスベンチマークを実施。HTTP および HTTPS を介して人気のあるウェブサイトにアクセスして測定する。
• プライバシーを尊重する Chrome プラグイン（Ciao）の展開。ユーザーは匿名性レベルや国を基準にプロキシを選択可能であり、同時に使用統計を匿名で収集する。
• 7か月間にわたり 1,500 名の Ciao ユーザーからの受動的データ収集。合計で 2 TB を超えるプロキシ経由のトラフィックを実世界の使用状況分析に活用。
• プロキシのパフォーマンス、地理的位置、ユーザー行動の相関を分析し、使用パターンを推定するとともに、悪意あるプロキシを検出する。
• コンテンツ比較および TLS 検査技術を用いて、広告挿入や MITM 攻撃を含むプロキシの不正行為を検出する。

実験結果

リサーチクエスチョン

• RQ1 公表された無料プロキシのうち、実際に通信をルーティングできる機能的なプロキシはどの程度の割合か？
• RQ2 機能するプロキシのパフォーマンスは地理的地域によってどのように異なるのか？また、その変動性を引き起こす要因は何か？
• RQ3 機能するプロキシのうち、広告挿入や TLS 介在といった悪意ある行動を示す割合はどの程度か？また、これらの行動はパフォーマンスとどのように相関するか？
• RQ4 実際の環境における無料プロキシの主な使用パターンは何か？また、地理的ブロッキング回避は主な使用目的であるか？
• RQ5 ユーザーは実際にはどのようにプロキシを選択しているのか？また、その選択は公表された匿名性の目的と一致しているか？

主な発見

• 公表された無料プロキシの 2% 未満が実際に機能しており、そのうち半数しか長期にわたり安定したパフォーマンスを維持していない。
• 動作するプロキシの約 10% が、広告挿入や TLS 介在といった悪意ある行動を示しており、これらのプロキシはしばしば高速である。これは「無料には理由がある」という仮説を裏付ける。
• ウェブブラウジングが主なユーザー活動であり、プロキシ経由のトラフィックの大部分を占めている。95% のダウンロードが 1 分未満で終了し、平均サイズは 500 KB である。
• 全体としての地理的ブロッキング回避は主な用途ではないが、米国では特定のサイトへの 60% のトラフィックが地理的ローカライズされており、Hulu や Netflix のような人気のある地理的ブロッキング対象サービスへのアクセスが背景にある可能性がある。
• Ciao プラグインのユーザーは、地理的ブロッキングコンテンツへのアクセスを目的として、匿名性の高いプロキシ（70%）を好むが、より高い匿名性を提供するエリートプロキシよりも選択されない。これは名前による混乱の可能性がある。
• 長時間にわたり高容量のダウンロード（最大数 GB）が少数存在するが、これは動画ストリーミングやソフトウェアダウンロードの可能性を示唆している。ただし、これらのセッション中には追加のブラウジング活動は観察されなかった。