[논문 리뷰] Censorship in the Wild: Analyzing Internet Filtering in Syria

Abdelberi Chaabane, Terence Chen외 4명|arXiv (Cornell University)|2014. 02. 14.

Internet Traffic Analysis and Secure E-voting참고 문헌 17인용 수 18

한 줄 요약

이 논문은 2011년 7월~8월 기간 동안 유출된 600GB의 블루 코트 프록시 로그를 사용하여Syria에서의 인터넷 검열에 대한 첫 번째 대규모 분석을 제시한다. 탐색 기반 방법에 의존하는 대신 실제 트래픽 로그를 분석함으로써, 이 연구는 전체 하위망(예: 이스라엘), 특정 도메인, 키워드—특히 검열 방지 도구와 관련된 키워드—를 차단하는 타겟팅되고 은밀한 검열 체계를 드러낸다. 이는 상당한 부작용을 동반하며, 동시에 사용자들이 토르, 프록시, BitTorrent와 같은 회피 도구를 광범위하게 사용하고 있음을 보여준다.

ABSTRACT

Internet censorship is enforced by numerous governments worldwide, however, due to the lack of publicly available information, as well as the inherent risks of performing active measurements, it is often hard for the research community to investigate censorship practices in the wild. Thus, the leak of 600GB worth of logs from 7 Blue Coat SG-9000 proxies, deployed in Syria to filter Internet traffic at a country scale, represents a unique opportunity to provide a detailed snapshot of a real-world censorship ecosystem. This paper presents the methodology and the results of a measurement analysis of the leaked Blue Coat logs, revealing a relatively stealthy, yet quite targeted, censorship. We find that traffic is filtered in several ways: using IP addresses and domain names to block subnets or websites, and keywords or categories to target specific content. We show that keyword-based censorship produces some collateral damage as many requests are blocked even if they do not relate to sensitive content. We also discover that Instant Messaging is heavily censored, while filtering of social media is limited to specific pages. Finally, we show that Syrian users try to evade censorship by using web/socks proxies, Tor, VPNs, and BitTorrent. To the best of our knowledge, our work provides the first analytical look into Internet filtering in Syria.

연구 동기 및 목표

• Syria의 검열 인프라에 대해 공개 정보가 제한적인 국가에서 인터넷 필터링 관행을 데이터 기반으로 첫 번째 상세한 스냅샷을 제공하기 위해.
• 탐색 기반 방법에 의존하는 대신 실제 프록시 로그를 분석함으로써, 일반적으로 부정확하거나 편향된 표현을 제공하는 경우가 많은 검열 정책의 완전하지도 않은 표현을 피하기 위해.
• IP 기반, 도메인 기반, 키워드 기반, 카테고리 기반 필터링을 포함한 검열의 기술적 메커니즘과 그 실제 영향을 이해하기 위해.
• Syria의 사용자들이 어떻게 검열을 회피하는지와 토르, 프록시, BitTorrent와 같은 다양한 도구의 효과성을 분석하기 위해.
• 키워드 기반 필터링으로 인한 부작용의 정도를 평가하고, 민감하지 않은 콘텐츠(예: 광고 또는 도구 쿼리)가 의도치 않게 차단되는지 확인하기 위해.

제안 방법

• 2011년 7월~8월 기간 동안 시리아 내에 설치된 일곱 대의 블루 코트 SG-9000 프록시 장치에서 수집된 600GB의 실제 로그를 분석함. 이 로그는 해커그룹 텔레콤익스(telecomix)의 유출를 통해 확보됨.
• 모든 로그를 대상으로 요청 패턴의 통계 분석을 수행하여, IP 기반 하위망 차단, 도메인 수준 필터링, 키워드/카테고리 기반 차단 등의 필터링 기법을 식별함.
• 시간에 따른 검열 이벤트 분석을 통해 패턴을 탐지함. 예를 들어, 일부 프록시가 몇 일간 토르 트래픽을 차단하는 등 전용 기능이 있는지 여부를 확인함.
• URL, 쿼리 매개변수, 키워드를 기반으로 차단된 콘텐츠를 식별하고 분류함. 특히, 검열된 콘텐츠에 접근하기 위해 Google 캐시를 사용한 분석을 포함함.
• 사용자 행동과 회피 도구 간의 상관관계를 분석하기 위해, 알려진 검열 방지 서비스(예: 핫스팟 실드, 토르, 울트라서프) 및 BitTorrent와 같은 P2P 네트워크로의 요청을 분석함.
• HTTPS 보호를 받는 Google 캐시를 잠재적 회피 수단으로 활용한 것으로 평가함. 이는 webcache.googleusercontent.com으로의 허용 및 차단 요청을 분석함으로써 검토됨.

실험 결과

연구 질문

• RQ1 Syria에서 사용되는 주요 기술적 필터링 메커니즘은 무엇이며, 이는 다양한 트래픽 유형에 어떻게 적용되는가?
• RQ2 키워드 기반 검열이 비민감한 콘텐츠(예: 광고 또는 도구 쿼리)까지도 차단함으로써 발생시키는 부작용의 정도는 어느 정도인가?
• RQ3 Syria의 사용자들은 어떻게 검열을 회피하려고 하는가? 그리고 로그 데이터 기반으로 볼 때, 토르, 프록시, BitTorrent 등의 도구 중 어느 것이 가장 효과적인가?
• RQ4 개별 프록시 간에 필터링 행동에 차이가 있는가? 일부 프록시가 특정 유형의 트래픽(예: 토르, 즉시 메시징)을 전용으로 차단하는가?
• RQ5 Google 캐시와 같은 널리 사용되는 서비스를 이용해 검열된 콘텐츠에 접근할 수 있는가? 어떤 조건에서 가능한가?

주요 결과

• 키워드 기반 검열은 상당한 부작용을 초래하며, 총 4,860건의 Google 캐시 요청 중 12건이 블랙리스트 키워드로 인해 차단됨. 이 중 하나는 정치적으로 민감한 페이스북 페이지의 캐시 버전에 대한 요청이었음.
• 스카이프와 같은 즉시 메시징 서비스는 엄격히 차단되지만, 페이스북이나 트위터와 같은 보다 광범위한 소셜 미디어 플랫폼은 'Syrian Revolution' 그룹과 같은 특정 페이지를 제외하고는 대부분 접근 가능함.
• 한 대의 블루 코트 프록시는 몇 일간 토르 트래픽을 지속적으로 차단했지만, 다른 프록시는 그렇지 않았으며, 이는 프록시 전용 기능과 네트워크 전반의 일관성 없는 시행을 시사함.
• 총 4,860건의 Google 캐시 요청이 이루어졌고, 그 중 12건만 키워드 필터링으로 인해 차단됨. 이는 Google 캐시가 검열된 콘텐츠에 접근하기 위한 타당한, 비록 제한적인 수단이 될 수 있음을 시사함.
• 사용자들은 웹/소켓 프록시, 토르, VPN, BitTorrent를 혼합하여 검열을 회피함. 특히 BitTorrent는 '울트라서프'와 같은 검열 방지 소프트웨어를 다운로드하는 데 사용됨.
• 시리아의 검열 체계는 비교적 은밀하고 타겟팅되어 있으며, 정치적 반대 세력 콘텐츠, 이스라엘 하위망, 검열 방지 도구를 중심으로 집중되어 있으며, 전체 플랫폼을 광범위하게 차단하지는 않음.