[論文レビュー] Website Detection Using Remote Traffic Analysis

Xun Gong, Negar Kiyavash+2 more|arXiv (Cornell University)|Sep 1, 2011

Internet Traffic Analysis and Secure E-voting参考文献 9被引用数 4

ひとこと要約

本論文は、遠隔の観測ポイントから送信されたプローブパケットのキューイング遅延を分析することで、家庭用ブロードバンドルーターにおけるキューイングサイドチャnelを悪用し、ユーザーの閲覧行動を推測するリモートウェブサイト検出攻撃を提案する。パケットサイズの系列に対して動的時間ワープ（DTW）を適用することで、ノイジーで間接的な測定にもかかわらず、多数の代表的ウェブサイトに対して低誤検出率を達成し、暗号化済みウェブトラフィックにおいて顕著なプライバシー脅威を示している。

ABSTRACT

Recent work in traffic analysis has shown that traffic patterns leaked through side channels can be used to recover important semantic information. For instance, attackers can find out which website, or which page on a website, a user is accessing simply by monitoring the packet size distribution. We show that traffic analysis is even a greater threat to privacy than previously thought by introducing a new attack that can be carried out remotely. In particular, we show that, to perform traffic analysis, adversaries do not need to directly observe the traffic patterns. Instead, they can gain sufficient information by sending probes from a far-off vantage point that exploits a queuing side channel in routers. To demonstrate the threat of such remote traffic analysis, we study a remote website detection attack that works against home broadband users. Because the remotely observed traffic patterns are more noisy than those obtained using previous schemes based on direct local traffic monitoring, we take a dynamic time warping (DTW) based approach to detecting fingerprints from the same website. As a new twist on website fingerprinting, we consider a website detection attack, where the attacker aims to find out whether a user browses a particular web site, and its privacy implications. We show experimentally that, although the success of the attack is highly variable, depending on the target site, for some sites very low error rates. We also show how such website detection can be used to deanonymize message board users.

研究の動機と目的

• リモートで直接のトラフィック監視が行えない状況でも、ウェブサイトファングプリントが可能かどうかを調査すること。
• 家庭用ブロードバンドルーターに存在するキューイングサイドチャネルを同定・悪用し、遠隔の観測ポイントからトラフィックパターンを推測すること。
• リモートプロービングによるノイジーで間接的な測定にも耐えうる、堅牢な検出手法を開発すること。
• 実世界でのプロービングとエミュレーテッドテスト環境を用いた、リモートウェブサイト検出の実現可能性と精度を評価すること。
• このような攻撃が、特にウェブフォーラム利用者のデアノニマイズを含む、プライバシーへの影響を実証すること。

提案手法

• 攻撃は、遠隔サーバーから送信されたプローブパケットを用いて、最後マイルのDSL回線におけるキューイング遅延を測定し、ルーターのキュー状態を推測する。
• ノイズに左右されにくく、類似性を高精度で特定できるよう、プローブ結果とトレーニングプロファイル間のパケットサイズの順序付き系列を、動的時間ワープ（DTW）で比較する。
• ウェブサイトファングプリント用のトレーニングプロファイルを生成するために、エミュレーテッドDSL回線と制御された環境を用いた仮想テストベッドを構築した。
• 米国の実際の家庭用DSL回線から収集したプローブトレースを、ラボで生成したトレーニングプロファイルと比較することで、ウェブサイト訪問を検出する。
• 本手法は、パケットのタイミングやカウントのみに依存するのではなく、パケットサイズの完全な系列を用いることで、環境要因の変動に対する耐性を高めている。
• 攻撃は、攻撃者が実際のトラフィックを観測できない状況下でも、ターゲットサイトのトラフィックパターンがプローブ誘発キューイングダイナミクスに明確に現れるものと仮定している。

実験結果

リサーチクエスチョン

• RQ1 プローブベースのキューイング遅延測定のみを用いて、リモートでウェブサイト検出が可能かどうか。
• RQ2 ノイジーで間接的なリモートトラフィックトレースから、動的時間ワープ（DTW）がウェブサイトファングプリント検出にどの程度有効であるか。
• RQ3 テスト環境と実世界環境との間の環境差異（例：場所の違い）が、検出精度に与える影響は何か。
• RQ4 リモートトラフィック分析を用いて、特定のサイト訪問を検出することで、メッセージボード利用者のデアノニマイズが可能かどうか。
• RQ5 リモートウェブサイト検出の性能は、異なるウェブサイト間でどのように変動し、検出成功に影響を与える要因は何か。

主な発見

• リモートウェブサイト検出攻撃は、1,000件の代表的ウェブサイトのうち、顕著な割合を非常に低い誤検出率で正しく特定できた。
• リモート測定のノイジーな性質にもかかわらず、DTWベースの手法は、特にトレーニングデータとテストデータが同じ地理的場所から収集された場合、多くのウェブサイトに対して高い検出精度を達成した。
• 研究では、ウェブサイトごとに検出性能が著しくばらつき、一部のサイトではほぼ完璧な正確度で検出可能である一方、他のサイトははるかに検出が困難であることが判明した。
• 攻撃は、リモートトラフィック分析が、低コストかつ容易に実行可能なユーザーのプライバシー脅威であることを示しており、攻撃者が被害者のトラフィックに直接アクセスせず、遠隔のサーバーから最小限の帯域幅で実行可能である。
• 研究者らは、トレーニング環境とテスト環境との間の環境差異によって、測定精度に顕著な低下が生じることを観測した。これは、最適なパフォーマンスを得るためには、サイトごとのキャリブレーションが必要である可能性を示唆している。
• 結果は、間接的かつリモートでのプロービングでも、特定のウェブサイト（例：メッセージボード）の訪問を関連付けることで、ユーザーのデアノニマイズに十分な情報を漏洩させうることを確認した。