[論文レビュー] Total Eclipse of the Heart -- Disrupting the InterPlanetary File System

Bernd Prünster, Alexander Marsalek+1 more|arXiv (Cornell University)|Nov 2, 2020

Peer-to-Peer Network Technologies被引用数 16

ひとこと要約

この論文は、IPFSのlibp2p接続管理における概念的欠陥を悪用することで、スケーラブルで低コストの日食攻撃を提示している。これにより、任意のノードの隔離とグローバルネットワークの混乱が可能となり、結果として数分以内にルーティングテーブルが汚染され、ノードが日食状態に陥る。スケーラビリティは大規模ネットワークでも線形に保たれ、限定的なリソースでも顕著な影響を及ぼす。

ABSTRACT

Peer-to-peer networks are an attractive alternative to classical client-server architectures in several fields of application such as voice-over-IP telephony and file sharing. Recently, a new peer-to-peer solution called the InterPlanetary File System (IPFS) has attracted attention, which promises to re-decentralise the Web. Being increasingly used as a stand-alone application, IPFS has also emerged as the technical backbone of various other decentralised solutions and was even used to evade censorship. Decentralised applications serving millions of users rely on IPFS as one of their crucial building blocks. This popularity makes IPFS attractive for large-scale attacks. We have identified a conceptual issue in one of IPFS's core libraries and demonstrate their exploitation by means of a successful end-to-end attack. We evaluated this attack against the IPFS reference implementation on the public IPFS network, which is used by the average user to share and consume IPFS content. Results obtained from mounting this attack on live IPFS nodes show that arbitrary IPFS nodes can be eclipsed, i.e. isolated from the network, with moderate effort and limited resources. Compared to similar works, we show that our attack scales linearly even beyond current network sizes and can disrupt the entire public IPFS network with alarmingly low effort. The vulnerability set described in this paper has been assigned CVE-2020-10937. Responsible disclosure procedures are currently being carried out and have led to mitigations being deployed, with additional fixes to be rolled out in future releases.

研究の動機と目的

• 分散型ピアツーピアシステム、たとえばIPFSにおける大規模で低コストの攻撃の実現可能性を調査すること。
• IPFSのコア接続管理メカニズムにおける概念的脆弱性を特定し、悪用すること。
• このような攻撃が実際のIPFSノードおよびパブリックネットワークに与える実世界の影響を評価すること。
• 従来の指数関数的スケーリングに比べ、本攻撃がネットワークサイズに比例して線形にスケーリングすることを示すこと。
• Protocol Labsに調査結果を報告し、長期的なIPFSのセキュリティ強化を促進することにより、主要なプロトコルアップデートをもたらすこと。

提案手法

• IPFSノードのルーティングテーブルエントリを操作するために、libp2pのコネクションマネージャ（ConnMgr）における設計上の欠陥を悪用すること。
• 多数の制御されたマルチプレクス接続を確立し、ターゲットノードのルーティングテーブルを枯渇・汚染させること。
• 汚染されたルーティングテーブルを用いて、ターゲットノードをIPFSネットワークの他のノードから隔離し、日食状態を達成すること。
• パブリックネットワーク上の実際のIPFSノードに対してエンドツーエンド攻撃を実施し、実現可能性と影響を検証すること。
• DoS攻撃を追加で必要とせず、接続の洪水とルーティング操作に依存するだけで攻撃が成立することを示すこと。
• ネットワークサイズを増加させたシミュレーションを通じて攻撃のスケーラビリティを評価し、コストがネットワークサイズに比例して線形に増加することを示すこと。

実験結果

リサーチクエスチョン

• RQ1 実世界のプロダクショングレードのP2Pシステム、たとえばIPFSに対して、低コストでグローバルな日食攻撃を実行可能か？
• RQ2 攻撃はネットワークサイズに効率的にスケーリングするか？ もしそうなら、ネットワークサイズに対してコストはどのように増加するか？
• RQ3 IPFSの接続管理におけるアーキテクチャ的・実装的弱みは何か？ それらがこのような攻撃を可能にする要因は何か？
• RQ4 実際の状況において、攻撃は任意のノードを隔離し、広範なIPFSネットワークを混乱させるのにどの程度効果的か？
• RQ5 既存の対策はこの攻撃をどの程度緩和できるか？ また、長期的な強化にはどのような措置が必要か？

主な発見

• 攻撃は、接続管理の操作のみで、ルーティングテーブルの汚染により、数分以内に任意のIPFSノードを隔離することに成功した。
• DoSメカニズムを一切使用せず、1時間以内に高い確率でターゲットノードを完全に日食状態にできた。
• 攻撃はネットワークサイズに比例して線形にスケーリングされ、中程度のリソースでパブリックIPFSネットワーク全体を混乱させることも可能である。
• 脆弱性は、libp2pのConnMgrに内在する概念的欠陥に起因し、主要なプロトコルアップデート後でも依然として存在した。
• 調査結果は直ちに緩和措置を引き起こし、IPFS 0.6.1および0.7のリリースが実施された。これにより攻撃コストは複数桁増加した。
• 修正後も、接続管理における根本的なアーキテクチャ的問題は完全に解消されておらず、継続的なセキュリティ強化の必要性が浮き彫りになった。