[論文レビュー] SiamHAN: IPv6 Address Correlation Attacks on TLS Encrypted Traffic via Siamese Heterogeneous Graph Attention Network

Tianyu Cui, Gaopeng Gou+4 more|arXiv (Cornell University)|Apr 20, 2022

Internet Traffic Analysis and Secure E-voting参考文献 28被引用数 4

ひとこと要約

本論文では、TLS暗号化トラフィックを介して知識グラフ内のマルチレベル意味的特徴をモデル化することで、IPv6アドレスとユーザーを相関付けるシアン・ヘテロジニアス・グラフアテンションネットワーク（SiamHAN）を提案する。長期的なユーザー追跡では99%の正確性を達成し、ユーザー発見では88%を達成しており、Deepcorrなどの最先端手法（それぞれ85%および60%）を著しく上回る性能を示している。

ABSTRACT

Unlike IPv4 addresses, which are typically masked by a NAT, IPv6 addresses could easily be correlated with user activity, endangering their privacy. Mitigations to address this privacy concern have been deployed, making existing approaches for address-to-user correlation unreliable. This work demonstrates that an adversary could still correlate IPv6 addresses with users accurately, even with these protection mechanisms. To do this, we propose an IPv6 address correlation model - SiamHAN. The model uses a Siamese Heterogeneous Graph Attention Network to measure whether two IPv6 client addresses belong to the same user even if the user's traffic is protected by TLS encryption. Using a large real-world dataset, we show that, for the tasks of tracking target users and discovering unique users, the state-of-the-art techniques could achieve only 85% and 60% accuracy, respectively. However, SiamHAN exhibits 99% and 88% accuracy.

研究の動機と目的

• NATが稀でアドレスが静的または予測可能である傾向がある中、TLS暗号化トラフィックにおけるIPv6アドレスの相関が引き起こすプライバシー脅威の増大に対処すること。
• アドレス構造やトラフィックパターン分析に依存する従来手法の限界（誤検出が多く、スケーラビリティに欠ける）を克服すること。
• TLS暗号化やアドレスランダマイゼーションが適用されていても、任意のIPv6アドレスを同じユーザーに相関付けるスケーラブルで正確な手法を開発すること。
• 異種知識グラフにおけるマルチレベルアテンションとメトリック学習が、既存の手法に比べてユーザー相関の正確性を顕著に向上させることを実証すること。

提案手法

• TLSハンドシェイクおよびトラフィックパターンからのマルチタイプ意味的メタ情報を使って、各IPv6クライアントアドレスに対して異種知識グラフを構築する。
• ペアの知識グラフを比較できるようにシアンネットワークアーキテクチャを採用し、アドレスからユーザーへの相関のエンドツーエンド学習を可能にする。
• 異種グラフアテンションネットワーク（HGAT）を統合し、知識グラフ内の異なるノード型およびエッジ型間の複雑なマルチレベル関係を捉える。
• 対照的学習に用いるコントラスト損失関数を適用し、2つのクライントグラフ間の類似度を測る頑健な距離メトリックを学習する。
• 複数のヘッドアテンション機構を用いて、グラフ内の異なる特徴および関係の重要性を動的に重み付けする。
• 5か月間にわたる実世界のIPv6トラフィックデータセット（観測ポイントで収集）を用い、対照的学習のためのポジティブおよびネガティブペアを用いてモデルを訓練する。

実験結果

リサーチクエスチョン

• RQ1 アドレスランダマイゼーションや暗号化が適用されていても、TLS暗号化トラフィックに基づいて機械学習モデルがIPv6アドレスを同じユーザーに相関付けることができるか？
• RQ2 SiamHANモデルは、長期的ユーザー追跡およびユーザー発見タスクにおいて、Deepcorrなどの最先端の相関技術と比較してどの程度性能が優れているか？
• RQ3 マルチレベルアテンションとメトリック学習は、単純な分類や埋め込みベースのアプローチと比較して、IPv6アドレス相関の正確性をどの程度向上させるか？
• RQ4 このような相関攻撃に対する効果的な対策は何か？また、トラフィックの偽装と攻撃表面の縮小は、モデルの性能にどのような影響を与えるか？

主な発見

• SiamHANは5か月間にわたるターゲットユーザーの追跡で99%の正確性を達成し、Deepcorrの85%を著しく上回っている。
• ユーザー発見においてSiamHANは88%の正確性を達成したが、Deepcorrは60%にとどまり、スケーラビリティと耐性の面で優れていることが示された。
• 背景知識が1か月分しかなくても、SiamHANはペアワイズのアドレス相関で90%の正確性を維持している。
• 距離メトリックをバイナリ分類器（SiamHAN-Classifier）に置き換えると性能が著しく低下し、メトリック学習の優位性が確認された。
• 複数のトラフィック偽装技術（例：偽のアドレスのランダム生成やバックグラウンドトラフィック）を組み合わせることで、SiamHANのアドレス相関正確性は70.5%まで低下した。これは、複数層の防御が適用された場合、防御が可能であることを示している。
• SiamHANの時間計算量は、追跡ではO(cN)、発見ではO(kN)であり、実世界の監視シナリオにおける大規模展開においても効率的である。