[論文レビュー] Spying on the Smart Home: Privacy Attacks and Defenses on Encrypted IoT Traffic

Noah Apthorpe, Dillon Reisman+3 more|arXiv (Cornell University)|Aug 16, 2017

Internet Traffic Analysis and Secure E-voting参考文献 20被引用数 181

ひとこと要約

この論文は、受動的なネットワークオブザーバーが暗号化されたIoTトラフィックのメタデータから家庭内活動を推測できることを示し、トラフィックシェーピングを実用的なプライバシー防御として提案する。

ABSTRACT

The growing market for smart home IoT devices promises new conveniences for consumers while presenting new challenges for preserving privacy within the home. Many smart home devices have always-on sensors that capture users' offline activities in their living spaces and transmit information about these activities on the Internet. In this paper, we demonstrate that an ISP or other network observer can infer privacy sensitive in-home activities by analyzing Internet traffic from smart homes containing commercially-available IoT devices even when the devices use encryption. We evaluate several strategies for mitigating the privacy risks associated with smart home device traffic, including blocking, tunneling, and rate-shaping. Our experiments show that traffic shaping can effectively and practically mitigate many privacy risks associated with smart home IoT devices. We find that 40KB/s extra bandwidth usage is enough to protect user activities from a passive network adversary. This bandwidth cost is well within the Internet speed limits and data caps for many smart homes.

研究の動機と目的

• 暗号化されたスマートホームIoTデバイスのトラフィックメタデータが家庭内のプライベートな活動を明らかにできることを示す。
• ブロッキングやトンネリングなど既存の防御がメタデータに基づくプライバシー攻撃にどれだけ効果的かを評価する。
• 独立リンクパディング（ILP）を用いたトラフィックシェーピングによる実用的なプライバシー保護手法を提案・実装する。
• 多様なデバイス型と利用シナリオにわたるILPの帯域幅と遅延のオーバーヘッドを評価する。

提案手法

• 最後のマイルのトラフィック（NetFlow/PCAP）とDNSフィンガープリントにアクセスできる受動的なネットワークアドバーサリをモデル化してデバイスを特定する。
• MACプレフィックス、DNSクエリ、トラフィックレートのフィンガープリントを用いてデバイス特定が可能であることを示す。
• デバイス特定後の複数デバイス（WeMoスイッチ、Sense睡眠モニター、Nest Cam、Echo）におけるトラフィックレートの変化から活動推定を実証する。
• VPNを用いたILPによるトラフィックシェーピングを実装し、デバイスのトラフィックを外部エンドポイント経由でルーティングし、一定レートにパディング/バッファリングする。
• 非オーディオ/ビデオデバイスについてはカバー trafficを7.5 KB/s以下で評価、オーディオ/ビデオデバイスについては最大40 KB/sまでカバーする場合の帯域オーバーヘッドと遅延影響を評価する。
• tc（Linuxトラフィックコントロール）とOpenVPNを用いたエンドツーエンドのシェーピングを実現するRaspberry Piゲートウェイでの実用的な実装を記述する。

実験結果

リサーチクエスチョン

• RQ1 受動的なネットワークオブザーバーは、暗号化されたスマートホームのトラフィックメタデータから家庭内のプライベートな活動を推測できるか？
• RQ2 従来の防御（ブロッキング、VPNトンネリング）は、トラフィックレートに基づく活動推定をスマートホームで防ぐ上でどれほど効果的か？
• RQ3 独立リンクパディング（ILP）はスマートホームの実用的なプライバシー防御となるか、デバイス種別ごとの帯域と遅延コストはどの程度か？
• RQ4 現実世界のスマートホーム展開におけるILPのオーバーヘッドと使いやすさへの影響はどの程度か？

主な発見

• トラフィックレートのメタデータは、トラフィックが暗号化されていても睡眠パターン、デバイス状態、モーションイベントを明らかにできる。
• インターネットアクセスをブロックすると多くのスマートホーム機能が無効になり、ブロッカーは信頼できるプライバシー解決策ではないことを示している。
• VPNによるトンネリングは難易度を上げるが、VPN下でもレートベースのフィンガープリントは継続するため、プライバシーを保証しない。
• 独立リンクパディング（ILP）は、トラフィックを所定のレートにシェーピングしてメタデータ攻撃を実証的に防ぐことができ、適度なオーバーヘッドがある。
• 非オーディオ/ビデオデバイスでは、カバートラフィックを7.5 KB/s程度に抑えるだけでユーザー活動を隠せる（米国ブロードバンド速度の0.4%未満）。
• 音声/映像をストリーミングするデバイスには、世帯当たり最大40 KB/sのカバー トラフィックでプライバシーを保護できる（米国ブロードバンドのアップロード速度の2%未満）。
• VPNとtcベースのシェーピングを用いたRaspberry Piゲートウェイでの実用的なILP実装は、実世界の展開の実現性を示している。