[論文レビュー] Towards Predicting Efficient and Anonymous Tor Circuits

Armon Barton, Mohsen Imani+2 more|arXiv (Cornell University)|May 5, 2018

Internet Traffic Analysis and Secure E-voting参考文献 28被引用数 7

ひとこと要約

この論文では、リアルタイムのパフォーマンス測定に基づいてトレーニングされたランダムフォレスト分類器を用いて、より速く混雑の少ない回路を予測・選択する、Tor向けのパス選択技術PredicTorを提案する。シミュレーションおよびライブ実験による評価において、PredicTorはVanilla Torに対して11–23%、CARに対して7–13%のパフォーマンス向上を達成した。一方、ネットワークの場所情報に基づく匿名性漏洩を特定できる新規メトリクスCLASIを導入することで、従来のエントロピー指標では捉えきれない場所関連の匿名性漏洩を明らかにした。

ABSTRACT

The Tor anonymity system provides online privacy for millions of users, but it is slower than typical web browsing. To improve Tor performance, we propose PredicTor, a path selection technique that uses a Random Forest classifier trained on recent measurements of Tor to predict the performance of a proposed path. If the path is predicted to be fast, then the client builds a circuit using those relays. We implemented PredicTor in the Tor source code and show through live Tor experiments and Shadow simulations that PredicTor improves Tor network performance by 11% to 23% compared to Vanilla Tor and by 7% to 13% compared to the previous state-of-the-art scheme. Our experiments show that PredicTor is the first path selection algorithm to dynamically avoid highly congested nodes during times of high congestion and avoid long-distance paths during times of low congestion. We evaluate the anonymity of PredicTor using standard entropy-based and time-to-first-compromise metrics, but these cannot capture the possibility of leakage due to the use of location in path selection. To better address this, we propose a new anonymity metric called CLASI: Client Autonomous System Inference. CLASI is the first anonymity metric in Tor that measures an adversary's ability to infer client Autonomous Systems (ASes) by fingerprinting circuits at the network, country, and relay level. We find that CLASI shows anonymity loss for location-aware path selection algorithms, where entropy-based metrics show little to no loss of anonymity. Additionally, CLASI indicates that PredicTor has similar sender AS leakage compared to the current Tor path selection algorithm due to PredicTor building circuits that are independent of client location.

研究の動機と目的

• ネットワーク状態に応じて動的に適応できない既存のパス選択アルゴリズムの限界を克服し、遅延と混雑の低減を通じてTorのパフォーマンスを向上させること。
• ネットワーク状態に応じて動的に適応できない既存のパス選択アルゴリズムの限界を克服し、遅延と混雑の低減を通じてTorのパフォーマンスを向上させること。
• クライアントの自律システム（AS）の推定リスクを、場所に敏感なパス選択から生じるリスクを捉える新しい匿名性メトリクスCLASIを開発すること。
• パフォーマンス最適化されたパス選択が、特にネットワークレベルのフィンガープrintングを通じてユーザーの匿名性を損なうかどうかを評価すること。
• 生産環境のTorネットワークにスケーラブルで安全かつ効率的なパス選択システムを導入可能にするための基盤を提供すること。

提案手法

• PredicTorは、遅延や帯域幅を含む、Tor回路パフォーマンスのリアルタイム測定に基づいてトレーニングされたランダムフォレスト分類器を採用する。
• 分類器は、回路が構築される前に候補回路のパフォーマンスを予測し、予測された遅延と混雑が低いパスを優先する。
• トレーニングデータは、中央集権的または分散型の機関から毎時間クライアントに送信される定期的な測定ストリームから収集される。
• 測定回路は、検出や操作を防ぐために、宛先ドメインとペイロードサイズをランダム化することで隠蔽される。
• CLASIは、ネットワーク、国、リレーの各レベルで、敵が回路のフィンガープリントを通じてクライアントの自律システム（AS）を推定できる能力を定量化する、新しい匿名性メトリクスとして導入される。
• CLASIは、Torの接続グラフと、リレー帯域幅などの補助データを完全に可視化できる「全知の敵」をモデル化する。

実験結果

リサーチクエスチョン

• RQ1 機械学習ベースのパス選択技術（例：PredicTor）は、匿名性を損なうことなく、Torのパフォーマンスを著しく向上させることができるか？
• RQ2 PredicTorの混雑や距離への動的適応は、CAR や Vanilla Tor といった既存の手法と比較して、どのように異なるか？
• RQ3 場所に敏感なパス選択アルゴリズムは、クライアントのAS情報をどの程度漏洩させるのか。また、この漏洩は、既存の匿名性メトリクスで捉えられるか？
• RQ4 CLASIは、従来のエントロピーに基づくメトリクスが見逃す匿名性リスクを明らかにできるか？
• RQ5 Live TorネットワークへのPredicTorの統合に際して、実用的な導入課題は何か？

主な発見

• Shadowシミュレーションにおいて、PredicTorはVanilla Torに対して23%、CARに対して13%のパフォーマンス向上を達成した。
• ライブTor実験では、高負荷時においてPredicTorが7–13%の中央値のパフォーマンス向上を達成し、Vanilla Torを上回った。
• CLASIは、場所に敏感なパス選択アルゴリズムにおいて、クライアントASの重大な漏洩を明らかにしたが、エントロピーに基づくメトリクスでは匿名性損失が最小限にとどまっていた。
• PredicTorは、クライアントの場所に依存せずに回路を選択するため、Vanilla Torと同様にAS漏洩のリスクを示した。
• ジニ係数と均一性分析の結果、PredicTorにおけるリレー選択はバランスが保たれ、Vanilla Torと比較してエントロピー損失は最小限に抑えられた。
• PredicTorの最初の攻撃成功までの時間（time-to-first-compromise）は、Guard選択が変更されていないため、Vanilla Torと同程度と予想される。