[論文レビュー] Website fingerprinting at scale

Jamie Hayes, George Danezis|arXiv (Cornell University)|Sep 2, 2015

Internet Traffic Analysis and Secure E-voting被引用数 3

ひとこと要約

本稿では、暗号化されたトラフィックを用いてウェブページを特定するランダム・ディシジョン・フォレストを活用するk-fingerprintingというウェブサイトフォグプロット技術を提案する。本手法は、100,000件の監視対象外ウェブページを含む環境下でも、30件の監視対象Tor Hidden Serviceへのアクセスを識別する際、85%の真正陽性率と0.02%の偽陽性率を達成し、高いノイズレベル下でも、最先端の手法を上回る性能を示す。

ABSTRACT

Website fingerprinting enables an attacker to infer which web page a client is browsing through encrypted or anonymized network connections. We present a new website fingerprinting technique based on random decision forests and evaluate performance over standard web pages as well as Tor hidden services, on a larger scale than previous works. Our technique, k-fingerprinting, performs better than current state-of-the-art attacks even against website fingerprinting defenses, and we show that it is possible to launch a website fingerprinting attack in the face of a large amount of noisy data. We can correctly determine which of 30 monitored hidden services a client is visiting with 85% true positive rate (TPR), a false positive rate (FPR) as low as 0.02%, from a world size of 100,000 unmonitored web pages. We further show that error rates vary widely between web resources, and thus some patterns of use will be predictably more vulnerable to attack than others.

研究の動機と目的

• 暗号化および匿名化されたネットワークトラフィックに対して効果的なスケーラブルなウェブサイトフォグプロット技術の開発。
• 標準的なウェブページおよびTor Hidden Serviceにおいて、大規模なスケールでの提案手法の性能評価。
• 高いレベルのネットワークノイズおよび多様なウェブアクセスパターン下での技術のレジリエンスの評価。
• 予測可能なトラフィックパターンを持つため、フォグプロットに対して inherently より脆弱なウェブリソースの同定。

提案手法

• 本手法は、暗号化接続から抽出されたパケットレベル特徴量に基づいて、ネットワークトラフィックを分類するランダム・ディシジョン・フォレストを採用する。
• 現実的なバックグラウンドノイズを再現するために、100,000件の監視対象外ウェブページから構成される大規模データセットを活用する。
• モデルは、30件の監視対象Tor Hidden Serviceと、より広範なウェブ全体の集団を区別するように学習される。
• 特徴量エンジニアリングは、パケットのタイミング、サイズ、およびシーケンスパターンに焦点を当て、識別可能なトラフィックシグネイチャを捉える。
• 本手法は、高密度のバックグラウンドトラフィックおよび多様なユーザ行動を含む現実的な条件下で評価される。
• システムは効率的なスケーラビリティを設計しており、大規模なネットワークトラフィックにおけるリアルタイム推論を可能にする。

実験結果

リサーチクエスチョン

• RQ1 100,000件の監視対象外ウェブページがバックグラウンドノイズとして存在する状況下でも、ウェブサイトフォグプロット技術が高い正確性を維持できるか？
• RQ2 提案手法の性能は、Tor Hidden Serviceに対して適用された最先端の攻撃と比較してどのように異なるか？
• RQ3 異なるウェブリソースのトラフィックパターンが、フォグプロットに対する脆弱性にどの程度影響を及えるか？
• RQ4 高いノイズレベル下でも、監視対象のHidden Serviceと広範なウェブ全体を効果的に区別できるか？
• RQ5 ウェブ利用行動に予測可能なパターンが存在し、特定のウェブサイトが inherently フォグプロットに対してより脆弱になる要因となるか？

主な発見

• k-fingerprinting手法は、30件の監視対象Tor Hidden Serviceへのアクセスを識別する際、真正陽性率が85%に達する。
• 偽陽性率はわずか0.02%であり、監視対象と非監視対象のページを高精度に区別できることを示している。
• 防御策が適用された状況下でも、既存の最先端のウェブサイトフォグプロット攻撃を上回る性能を示している。
• 誤差率はウェブリソースごとに顕著に異なるため、予測可能なトラフィックパターンを持つサイトは、本質的にフォグプロットに対してより脆弱であると示唆される。
• 大規模なノイズの多いバックグラウンドトラフィックが存在する状況下でも、本手法は有効であることが確認され、現実世界の環境下での強靭性を示している。