[論文レビュー] SWEET: Serving the Web by Exploiting Email Tunnels

Amir Houmansadr, Wenxuan Zhou+2 more|arXiv (Cornell University)|Nov 14, 2012

Internet Traffic Analysis and Secure E-voting参考文献 9被引用数 20

ひとこと要約

SWEETは、公開メールサービスを介してトラフィックをルーティングすることで、インターネット検閲を回避する低コストで観察不能な回避システムである。ユーザーは秘密の共有や協力なしに、暗号化されたメールチャネルを通じてブロックされたコンテンツを匿名かつ安全にアクセス可能であり、ディープパケットインスペクションやIPブロッキングに対しても可用性を維持する。

ABSTRACT

Open communication over the Internet poses a serious threat to countries with repressive regimes, leading them to develop and deploy censorship mechanisms within their networks. Unfortunately, existing censorship circumvention systems do not provide high availability guarantees to their users, as censors can identify, hence disrupt, the traffic belonging to these systems using today's advanced censorship technologies. In this paper we propose SWEET, a highly available censorship-resistant infrastructure. SWEET works by encapsulating a censored user's traffic to a proxy server inside email messages that are carried over by public email service providers, like Gmail and Yahoo Mail. As the operation of SWEET is not bound to specific email providers we argue that a censor will need to block all email communications in order to disrupt SWEET, which is infeasible as email constitutes an important part of today's Internet. Through experiments with a prototype of our system we find that SWEET's performance is sufficient for web traffic. In particular, regular websites are downloaded within couple of seconds.

研究の動機と目的

• 検閲当局から観察されないまま、検閲環境においても高い可用性を維持する回避システムの設計。
• ユーザーがシステムと秘密情報を共有する必要をなくし、検閲当局への露見リスクを低減すること。
• 標準的なメールサービスを用いて最小限のインフラで展開可能な回避システムの実現。
• エンドツーエンド暗号化とメール上での安全なトンネリングにより、ユーザーのトラフィックの機密性を確保すること。
• ディープパケットインスペクション（DPI）、IPブロッキング、DNSハッキングといった一般的な検閲技術に対して、メールサービスの広範な利用と耐性を活かして耐性を確保すること。

提案手法

• GmailやHushmailなどの公開メールサービスを、インターネットトラフィックをトンネルするための隠蔽通信チャネルとして使用する。
• ユーザーとSWEETサーバー間の共有鍵を用いて、トンネリングされたデータをエンドツーエンド暗号化することで機密性を確保する。
• メールサーバーとSOCKSプロキシを備えた軽量サーバーを展開し、暗号化されたメール添付ファイルとトンネル要求を処理する。
• 既知のSWEETサーバーIPアドレスやドメインへの直接接続を避けることで、トラフィックを標準的なメールプロバイダー経由にルーティングし、観察不能性を実現する。
• ユーザー登録とトラフィック制限によりDoS攻撃を軽減し、メールアドレスの検証を用いてなりすましクライアント攻撃に対抗する。
• 暗号化とプレーンテキストの両方のメールバックボーンをサポートし、脅威モデルに応じてパフォーマンスと観察不能性のトレードオフを可能にする。

実験結果

リサーチクエスチョン

• RQ1 ユーザーと共有する秘密情報に依存せずに、強力な観察不能性を達成できる回避システムは可能か？
• RQ2 ディープパケットインスペクションやIP/DNSベースのブロッキング下でも、システムの可用性をどのように維持できるか？
• RQ3 公共のメールインfraストラクチャを、耐障害性があり検出不能なトンネリング媒体としてどれほど活用できるか？
• RQ4 分散型で信頼度の低い回避システムにおいて、悪用やDoS攻撃を防ぐためのメカニズムは何か？
• RQ5 セキュリティと匿名性の保証を維持しつつ、ユーザーの利便性と展開の簡便性をどのようにバランスさせるか？

主な発見

• SWEETは、トラフィックを標準的なメールサービス経由にルーティングすることで、ディープパケットインスペクション下でも通常のメールトラフィックと区別できないため、観察不能性を達成する。
• 検閲当局が特定のサービスをブロックしても、ユーザーが利用可能な暗号化済みまたはプレーンテキストのメールプロバイダーに切り替えることで、システムは依然として利用可能である。
• メールベースのトンネリングを採用することで、ユーザーと共有する秘密情報の必要がなくなり、露見やシステムの改ざんリスクが顕著に低減される。
• 識別可能なエンドポイントが存在せず、エンドツーエンド暗号化が採用されているため、SWEETの設計はIPブロッキング、DNSハッキング、DPIといった一般的な検閲技術に対して耐性を示す。
• 単一のサーバー上で最小限のリソースで展開可能であり、ISPやエンドホストの協力に依存しないため、草の根的な展開が可能である。
• トラフィック制限と事前登録メカニズムにより、攻撃者が偽のメールアドレスを用いてシステムを flooded しても、DoS攻撃が効果的に抑制される。