[論文レビュー] Representing Network Trust and Using It to Improve Anonymous Communication

Aaron D. Jaggard, Aaron Johnson+2 more|arXiv (Cornell University)|Jun 13, 2014

Internet Traffic Analysis and Secure E-voting参考文献 11被引用数 4

ひとこと要約

本稿では、Bayesian Belief Networks (BBNs) を用いて、中継、AS、IXP などの Tor ネットワーク要素に対するユーザが指定した信頼をモデル化・活用するモジュラーなシステムを提案する。攻撃者による改ざん確率を確率分布として表現することで、ユーザの信頼信念と現実世界のネットワークオントロジーおよびルーティングデータを統合し、最初・最後の相関攻撃に対する耐性を向上させ、ユーザとサービスの両方が信頼に配慮したパス選択を採用した場合、改ざんリスクを最大50%まで低減する。

ABSTRACT

Motivated by the effectiveness of correlation attacks against Tor, the censorship arms race, and observations of malicious relays in Tor, we propose that Tor users capture their trust in network elements using probability distributions over the sets of elements observed by network adversaries. We present a modular system that allows users to efficiently and conveniently create such distributions and use them to improve their security. The major components of this system are (i) an ontology of network-element types that represents the main threats to and vulnerabilities of anonymous communication over Tor, (ii) a formal language that allows users to naturally express trust beliefs about network elements, and (iii) a conversion procedure that takes the ontology, public information about the network, and user beliefs written in the trust language and produce a Bayesian Belief Network that represents the probability distribution in a way that is concise and easily sampleable. We also present preliminary experimental results that show the distribution produced by our system can improve security when employed by users; further improvement is seen when the system is employed by both users and services.

研究の動機と目的

• ユーザの匿名性を損なう相関攻撃および悪意ある Tor 中継の増加する脅威に対処する。
• ユーザとサービスが信頼に基づいたパス選択およびサーバー位置意思決定を可能にすることで、Tor のセキュリティを向上させる。
• ネットワークインfraストラクチャ要因における信頼の表現と推論を形式的・モジュラーなフレームワークとして開発する。
• AS、IXP、中継の各層における相関改ざんリスクを捉える、スケーラブルでサンプリング可能な Bayesian Belief Network を構築する。
• 信頼に配慮したパス選択が、最初・最後の相関攻撃の成功確率を低下させることを実証的に示す。

提案手法

• 攻撃者が相関的に改ざんする可能性をモデル化するため、ネットワーク要因タイプ（例：AS、IXP、中継ファミリー）とその関係性を定義するオントロジーを構築する。
• 公開データ（Tor コンセンサス、Routeviews プレフィックステーブル、IXP マッピング、AS-組織グループ化）を用いて、現実世界のネットワーク世界を構築する。
• 正式な信頼言語を用いて、ユーザがネットワーク要因および属性（例：ファミリーの稼働時間、組織による制御）に対する信頼信念を表現できるようにする。
• ユーザの信頼信念とネットワーク世界を、簡潔さとサンプリング可能性を保証する変換手順を用いて Bayesian Belief Network (BBN) に変換する。
• BBN サンプリングを用いて改ざん確率を計算する：各クライアントの位置について、すべての可能なガード・エグジットパスにおける最初・最後の相関攻撃のリスクを推定する。
• BBN を用いてパス選択を支援する：クライアントは改ざん確率が最小のガードを選択し、サービスは平均クライアントリスクを最小化するサーバー位置を選択する。

実験結果

リサーチクエスチョン

• RQ1 ネットワーク要因における信頼をどのように形式的に表現すれば、Tor における匿名性を向上させられるか？
• RQ2 ユーザが提供する信頼信念は、Tor における最初・最後の相関攻撃のリスクをどの程度低減できるか？
• RQ3 クライアントおよびサービスレベルでの信頼情報統合が、全体のネットワークセキュリティにどのように影響するか？
• RQ4 オントロジー、信頼言語、BBN 変換を組み合わせたモジュラーなシステムは、AS、IXP、中継の各層における攻撃者の相関的改ざんリスクを効率的にモデル化できるか？
• RQ5 信頼に配慮したパス選択の定量的影響は、成功したデアノニマス化の確率をどの程度低減させるか？

主な発見

• 本システムは、実際の Tor ネットワークデータに基づき、2,398 個の中継変数と 3,200 万以上の仮想リンクを持つ Bayesian Belief Network を用いて、攻撃者改ざんリスクを効果的にモデル化した。
• クライアントが信頼に配慮したパス選択を採用した場合、Tor のデフォルトパス選択と比較して、最初・最後の相関攻撃の確率が低下し、リスク低減が明確に観察された。
• クライアントとサービスの両方が信頼情報を活用することで、改ざんリスクがさらに低減され、クライアントの位置ごとの平均改ざん確率の最小値が顕著に低下した。
• 稼働時間が長い中継ファミリーは、より低い改ざん確率に割り当てられ、システムが現実世界の信頼性を信頼モデルに組み込む能力を示した。
• ガードまたはエグジットに至る AS パスの中央値は 46,052 であったが、信頼に基づいて安全なパスが効果的に優先された。
• 概念実証実験を通じて、本システムの実現可能性が示された。テスト構成において、信頼に配慮した選択により、デアノニマス化のリスクを最大50%まで低減できることが確認された。