[논문 리뷰] Content and popularity analysis of Tor hidden services

Alex Biryukov, Ivan Pustogarov외 2명|arXiv (Cornell University)|2013. 08. 30.

Internet Traffic Analysis and Secure E-voting참고 문헌 4인용 수 10

한 줄 요약

이 논문은 0.2.4.10-alpha 이전 버전의 Tor에서 발견된 프로토콜 결함을 통해 수집한 39,824개의 토르 익명 서비스의 내용과 인기도를 분석한다. 연구 결과, 봇넷 C2 서버와 성인 콘텐츠 사이트가 가장 인기 있는 서비스로 나타났으며, 불법 콘텐츠와 자유의 표현을 위한 자원은 거의 동일한 비중을 차지한다. 또한, 트래픽 분석 기반으로 클라이언트의 익명성 해제를 위한 기회적 방법을 제안하고, 공식 역사 분석을 통해 실버드로드 익명 서비스에 대한 여러 차례의 추적 시도를 탐지하였다.

ABSTRACT

Tor hidden services allow running Internet services while protecting the location of the servers. Their main purpose is to enable freedom of speech even in situations in which powerful adversaries try to suppress it. However, providing location privacy and client anonymity also makes Tor hidden services an attractive platform for every kind of imaginable shady service. The ease with which Tor hidden services can be set up has spurred a huge growth of anonymously provided Internet services of both types. In this paper we analyse the landscape of Tor hidden services. We have studied Tor hidden services after collecting 39824 hidden service descriptors on 4th of Feb 2013 by exploiting protocol and implementation flaws in Tor: we scanned them for open ports; in the case of HTTP services, we analysed and classified their content. We also estimated the popularity of hidden services by looking at the request rate for hidden service descriptors by clients. We found that while the content of Tor hidden services is rather varied, the most popular hidden services are related to botnets.

연구 동기 및 목표

• 토르 익명 서비스의 분산되고 익명적인 특성으로 인해 종합적인 데이터 부족 문제를 해결하기 위해.
• 기존의 히든 위키와 같은 목록 외부의 실제 콘텐츠와 인기도 분포를 연구하기 위해.
• 공식 역사 분석을 통해 실버드로드와 같은 특정 익명 서비스에 대한 추적 시도를 탐지하고 분석하기 위해.
• 트래픽 분석 기반으로 익명 서비스 클라이언트에 대한 기회적 익명성 해제 방법을 개발하기 위해.
• 토르 네트워크에서 불법 콘텐츠와 합법적 서비스(예: 표현의 자유, 인권) 간의 균형을 평가하기 위해.

제안 방법

• 0.2.4.10-alpha 이전 버전의 토르에서 발견된 프로토콜 및 구현 결함을 악용하여 58대의 아마존 EC2 인스턴스를 통해 39,824개의 고유한 온리온 주소를 수집하였다.
• 수집된 온리온 주소를 스캔하여 활성 서비스(예: HTTP, HTTPS, SSH)를 식별하기 위해 개방된 포트를 확인하였다.
• 자동화된 웹 콘텐츠 및 구조 분석을 통해 3,050개의 HTTP/HTTPS 서비스의 콘텐츠를 분류하였다.
• 클라이언트 트래픽에서 익명 서비스 디스크립터 요청 빈도를 측정하여 인기도를 추정하였다.
• 시간 및 트래픽 상관관계 기반으로 익명 서비스 클라이언트에 대한 기회적 익명성 해제 방법을 제안하였다.
• 토르 공식 역사를 분석하여 실버드로드 서비스의 경우에 한해 HSDir(익명 서비스 디렉터리) 할당에서 이질성을 탐지하였다.

실험 결과

연구 질문

• RQ1 토르 익명 서비스의 실제 콘텐츠 유형 분포는 어떻게 되며, 불법 활동에 대한 일반적 인식과는 어떻게 다를까?
• RQ2 토르 네트워크에서 가장 인기 있는 서비스 유형은 무엇이며, 그 인기 요인은 무엇인가?
• RQ3 공식 역사 및 HSDir 할당 분석을 통해 특정 익명 서비스의 추적 가능성을 탐지할 수 있는가?
• RQ4 기회적 익명성 해제 기법을 통해 클라이언트 익명성은 어느 정도 위협받을 수 있는가?
• RQ5 특정 익명 서비스를 추적하기 위한 공격이 얼마나 자주 발생하며, 이러한 감시를 나타내는 패턴은 무엇인가?

주요 결과

• 가장 인기 있는 토르 익명 서비스는 스킨넷 봇넷의 C2 서버로, 포트 55080을 통해 식별되었으며 악성 인프라의 광범위한 존재를 시사한다.
• 활성 HTTP/HTTPS 서비스 중 봇넷 C2, 성인 콘텐츠, 표현의 자유/인권 자원이 주요 콘텐츠 유형이며, 각각의 수가 거의 동일하다.
• 실버드로드 마켓플레이스는 20대 내외의 가장 인기 있는 익명 서비스 중 하나로 기록되어 불법 마켓플레이스의 높은 가시성과 사용도를 반영한다.
• 실버드로드 익명 서비스에 대해 추적 시도가 세 건 명확하게 탐지되었다: 저자들의 실험에 의한 하나, 한 엔티티가 장기간 동안 단일 HSDir를 제어한 하나, 그리고 24시간 동안 모든 여섯 HSDir를 동시에 제어한 하나.
• 공식 역사 분석 결과, 지문 변경과 디스크립터 ID 및 릴레이 지문 간의 작은 거리가 잠재적 추적의 신뢰할 수 있는 지표임을 확인하였다.
• 콘텐츠 분류 분석 결과, 토르 익명 서비스의 환경은 매우 다양하며 불법 콘텐츠 외에도 체스 서버, 검색 엔진(예: 덱덕고), 안전한 통신 플랫폼 등이 포함되어 있음을 확인하였다.