[논문 리뷰] Challenges in Adapting ECH in TLS for Privacy Enhancement over the Internet

Vinod S. Khandkar, Manjesh K. Hanawal외 1명|arXiv (Cornell University)|2022. 07. 05.

Internet Traffic Analysis and Secure E-voting인용 수 4

한 줄 요약

이 논문은 TLS 1.3에서 암호화된 클라이언트 헬로(ECH)를 도입한다고 해서 종단 간 프라이버시를 보장하지 못함을 보여주며, 많은 인터넷 서비스가 여전히 평문 SNI를 통해 서비스 식별 정보를 泄露하는 TLS 1.2를 사용해 사이드채널을 형성하고 있기 때문이다. 저자들은 공격자가 이러한 사이드채널을 악용해 ECH로 보호된 주 채널의 대역폭을 저하시키거나 차단할 수 있음을 보여주며, ECH의 프라이버시 보장을 뒤흔들 수 있음을 입증하고, 완전한 프라이버시를 확보하기 위해서는 모든 연결에서 TLS 1.3로의 전면 이관과 함께 ECH의 전면 배포가 필요하다고 결론 내린다.

ABSTRACT

Security and Privacy are crucial in modern Internet services. Transport Layer Security (TLS) has largely addressed the issue of security. However, information about the type of service being accessed goes in plain-text in the initial handshakes of vanilla TLS, thus potentially revealing the activity of users and compromising privacy. The ``Encrypted ClientHello'' or ECH overcomes this issue by extending TLS 1.3 where all of the information that can potentially reveal the service type is masked, thus addressing the privacy issues in TLS 1.3. However, we notice that Internet services tend to use different versions of TLS for application data (primary connection/channel) and supporting data (side channels) such as scheduling information extit{etc.}. %, during the active session. Although many internet services have migrated to TLS 1.3, we notice that it is only true for the primary connections which do benefit from TLS 1.3, while the side-channels continue to use lower version of TLS (e.g., 1.2) %which do not support ECH and continue to leak type of service accessed. We demonstrate that privacy information leaked from the side-channels can be used to affect the performance on the primary channels, like blocking or throttling specific service on the internet. Our work demonstrates that adapting ECH on primary channels alone is not sufficient to prevent the privacy leaks and attacks on primary channels. Further, we demonstrate that it is necessary for all of the associated side-channels also to migrate to TLS 1.3 and adapt ECH extension in order to offer complete privacy preservatio

연구 동기 및 목표

• TLS 1.3에서 ECH를 사용하는 것이 현대 인터넷 서비스의 프라이버시 누출을 완전히 완화하는지 조사하기.
• TLS 1.3를 주 채널로 사용하고도 여전히 TLS 1.2를 사용하는 사이드채널을 활용하는 주요 서비스의 특징을 식별하고 분석하기.
• 공격자가 TLS 1.2 사이드채널에서 평문 SNI를 악용해 ECH로 보호된 주 채널의 프라이버시와 성능을 침해할 수 있는 방식을 입증하기.
• 모든 연결에서 ECH를 배포함으로써 완전한 프라이버시 보호를 달성할 수 있으며, 주 채널뿐 아니라 사이드채널까지도 ECH가 적용되어야 한다고 주장하기.

제안 방법

• 자체 개발한 내부 모니터링 도구를 사용해 넷플릭스, 프라임비디오, 유튜브 등의 주요 서비스에서 네트워크 트래픽 분석을 수행함.
• SNI 패턴과 데이터 양, 세션 지속 시간 등의 트래픽 특성 분석을 통해 사이드채널을 식별함.
• 사이드채널을 차단하는 제어 실험을 수행해 주 채널 성능과 사용자 경험에 미치는 영향을 관찰함.
• 사이드채널 차단 시 데이터 전송 속도, 콘텐츠 로딩(예: 썸네일, 광고) 및 세션 행동 변화를 측정함.
• 데이터 양과 TLS 세션 길이 등의 지표를 활용해 주 채널과 사이드채널을 식별할 수 있는지 타당성 평가함.
• ECC로 주 채널이 보호됨에도 불구하고 사이드채널의 누출로 인해 공격자가 주 채널을 타겟팅할 수 있음을 입증함.

실험 결과

연구 질문

• RQ1 현대 인터넷 서비스 중 주 채널에서는 TLS 1.3에 ECH를 적용하고 있지만 사이드채널에서는 여전히 TLS 1.2를 사용하는 비율은 어느 정도인가?
• RQ2 TLS 1.2 사이드채널에서 평문 SNI를 사용해 특정 서비스를 식별하고, 대역폭 저하 또는 차단을 위해 타겟팅할 수 있는가?
• RQ3 사이드채널을 차단했을 때, ECH로 보호된 주 채널의 성능과 사용자 경험은 어떻게 영향을 받는가?
• RQ4 다른 TLS 버전을 사용하는 서비스에서 주 채널과 사이드채널을 신뢰성 있게 식별할 수 있는 지표는 무엇인가?
• RQ5 사이드채널이 암호화되지 않은 상태에서 주 채널에만 ECH를 적용하는 것이 종단 간 프라이버시를 보장하는 데 충분한가?

주요 결과

• 넷플릭스, 프라임비디오, 유튜브와 같은 많은 주요 서비스가 주 채널에서는 TLS 1.3에 ECH를 적용하고 있지만, 스케줄링, 광고 또는 썸네일 데이터를 전송하는 사이드채널에서는 여전히 TLS 1.2를 사용함.
• TLS 1.2를 사용하는 사이드채널은 SNI를 평문으로 노출시켜 공격자가 ECH로 암호화된 핸드셰이크를 해독하지 않더라도 서비스를 식별하고 주 채널을 타겟팅할 수 있음.
• 사이드채널을 차단하면 사용자 경험 악화가 발생함 — 예를 들어 유튜브는 4–5 Mbps로 계속 재생되지만 썸네일과 광고 접근이 차단됨으로써 사이드채널이 비주요 콘텐츠를 전송하고 있음을 시사함.
• 주 채널은 데이터 양이 현저히 많고 세션 지속 시간이 길어, 다른 TLS 버전을 사용하더라도 사이드채널과 명확히 구분 가능함.
• 사이드채널을 차단했을 때 주 채널의 성능이 직접 영향을 받음으로써, 사이드채널의 프라이버시 누출이 주 서비스 제공을 방해하는 데 이용될 수 있음을 입증함.
• 현재 ECH 배포 수준은 완전한 프라이버시를 확보하는 데 부족하며, 공격자가 ECH 보호를 회피하기 위해 암호화되지 않은 사이드채널을 타겟팅함으로써 TLS 1.3의 프라이버시 목표를 뒤엎을 수 있음.