[論文レビュー] Your Smart Home Can't Keep a Secret: Towards Automated Fingerprinting of IoT Traffic with Neural Networks

Shuaike Dong, Zhou Li+4 more|arXiv (Cornell University)|Aug 31, 2019

Internet Traffic Analysis and Secure E-voting参考文献 36被引用数 9

ひとこと要約

本稿では、LSTMおよび双方向LSTMモデルを用いたニューラルネットワークベースのフレームワークHomeMoleを提案する。このフレームワークは、ネットワークトラフィックの時間的パターンを分析することで、IoTデバイスを自動的にフォグプリント化する。NAPTおよびVPN構成下でも最大99.2%の精度を達成し、暗号化やトラフィックの難読化が施されても、IoTトラフィックが依然としてデバイス識別に対して脆弱であることを示している。

ABSTRACT

The IoT (Internet of Things) technology has been widely adopted in recent years and has profoundly changed the people's daily lives. However, in the meantime, such a fast-growing technology has also introduced new privacy issues, which need to be better understood and measured. In this work, we look into how private information can be leaked from network traffic generated in the smart home network. Although researchers have proposed techniques to infer IoT device types or user behaviors under clean experiment setup, the effectiveness of such approaches become questionable in the complex but realistic network environment, where common techniques like Network Address and Port Translation (NAPT) and Virtual Private Network (VPN) are enabled. Traffic analysis using traditional methods (e.g., through classical machine-learning models) is much less effective under those settings, as the features picked manually are not distinctive any more. In this work, we propose a traffic analysis framework based on sequence-learning techniques like LSTM and leveraged the temporal relations between packets for the attack of device identification. We evaluated it under different environment settings (e.g., pure-IoT and noisy environment with multiple non-IoT devices). The results showed our framework was able to differentiate device types with a high accuracy. This result suggests IoT network communications pose prominent challenges to users' privacy, even when they are protected by encryption and morphed by the network gateway. As such, new privacy protection methods on IoT traffic need to be developed towards mitigating this new issue.

研究の動機と目的

• NAPTおよびVPNが有効な現実的なネットワーク環境下でも、IoTデバイス識別が可能かどうかを調査すること。
• ネットワークレベルの難読化技術によってポートやIPベースのフォグプリントが消去される状況において、IoTデバイスを区別する課題に対処すること。
• シーケンスモデリングを用いて、パケットレベルでのデバイス識別が可能な堅牢で自動化されたトラフィック分析システムを開発すること。
• 混合されたIoTおよび非IoTトラフィックを伴う高ノイズ環境下で、ディープラーニングモデルの有効性を評価すること。
• 今後のIoTトラフィックのプライバシーおよび防御メカニズムに関する研究を支援するため、データセットおよびモデルを公開すること。

提案手法

• フレームワークは、連続するパケットを固定時間ウィンドウにグループ化することで、時間的シーケンスを捉える。
• 長短記憶（LSTM）および双方向LSTMネットワークを用いて、パケットサイズ、到着間隔、プロトコルタイプなどの特徴に基づき、パケット間の依存関係をモデル化する。
• モデルの入力は、パケットサイズ、方向、プロトコルを含む特徴ベクトルとして表現されるパケットレベルの特徴のシーケンスである。
• モデルはエンドツーエンドで訓練され、各パケットに該当するIoTデバイスラベルを分類することで、細粒度のパケットレベルの識別を可能にする。
• 双方向LSTMバージョンは、シーケンス内の過去および未来の文脈を活用することで、性能を向上させる。
• システムは、さまざまなネットワーク環境下で実収集された2つの実世界データセットを用いて評価された。

実験結果

リサーチクエスチョン

• RQ1 NAPTおよびVPNによって、ソース/ディスティネーションポートやIPアドレスといったネットワークレベルのメタデータが難読化された状況下でも、IoTデバイス識別が有効に機能するか。
• RQ2 非IoTトラフィックが多数存在する状況下で、シーケンスベースのモデルによるデバイスフォグプリントの精度にどのような影響が生じるか。
• RQ3 トラフィック難読化下で、LSTMベースのモデルが、ランダムフォレストなどの従来の機械学習モデルをどの程度上回るか。
• RQ4 個々のパケット特徴が曖昧であるか、複数のデバイスで共有されている状況下でも、パケットシーケンスの時間的パターンが信頼性のあるデバイス識別を可能にするか。
• RQ5 低トラフィックデバイス（例：スマートプラグ）からのトラフィック量およびパターンが、フォグプリントモデルの性能に与える影響はどの程度か。

主な発見

• 双方向LSTMモデルはNAPT構成下で99.2%の精度を達成し、従来のモデルを顕著に上回った。
• VPN構成下では、双方向LSTMが97.7%の精度を達成し、プロトコルレベルの難読化に対しても耐性があることを示した。
• 高密度の非IoTトラフィックが存在するノイズの高い環境下でも、NAPTおよびVPN設定下でそれぞれ92.1%および81.0%の精度を維持した。
• 特にVPNモード下でプロトコル情報が欠落している状況において、高トラフィックデバイスによるパケットシーケンスの乱れが原因で、低トラフィックデバイス（例：orvibo、tplinkプラグ）の性能劣化が生じた。
• 双方向LSTMは、将来的なパケット文脈（例：1388バイト対105バイトの応答パターン）を活用することで、単方向LSTMを上回った。
• 本研究は、パケットレベルでのデバイス識別が実現可能で効果的であることを確認した。これにより、デバイスのアクティブ状態、アイドル状態、スタンバイ状態のリアルタイム検出が可能になった。