[논문 리뷰] De-anonymizing BitTorrent Users on Tor

Stevens Le Blond, Pere Manils외 5명|arXiv (Cornell University)|2010. 04. 08.

Internet Traffic Analysis and Secure E-voting인용 수 4

한 줄 요약

이 논문은 토르 네트워크를 통해 트래픽을 라우팅하는 BitTorrent 사용자를 대상으로 한 탈식별 공격을 제시한다. 시간 분석 및 트래픽 상관관계 기법을 활용하여 사용자를 실제 IP 주소로 연결한다. 여러 토런트에서 업로드 및 다운로드 패턴을 분석함으로써 공격은 사용자를 탈식별하는 데 높은 성공률를 달성하며, 이는 토르의 익명성 보장이 피어 투 피어 파일 공유 환경에서 상당히 약화됨을 보여준다.

ABSTRACT

HAL is a multi-disciplinary open access archive for the deposit and dissemination of sci-entific research documents, whether they are pub-lished or not. The documents may come from teaching and research institutions in France or abroad, or from public or private research centers. L’archive ouverte pluridisciplinaire HAL, est destinée au dépôt et a ̀ la diffusion de documents scientifiques de niveau recherche, publiés ou non, émanant des établissements d’enseignement et de recherche français ou étrangers, des laboratoires publics ou privés.

연구 동기 및 목표

• 토르를 익명성 수단으로 사용하는 BitTorrent 사용자가 트래픽 분석을 통해 여전히 탈식별될 수 있는지 조사하기 위해.
• 시간 및 상관관계를 활용한 탈식별 공격의 실현 가능성을 평가하기 위해.
• BitTorrent의 특정 트래픽 특성으로 인해 토르의 익명성 보장이 약화될 수 있음을 입증하기 위해.
• 실제 네트워크 조건과 공격 시나리오 하에서 탈식별 성공률를 정량화하기 위해.

제안 방법

• 공격은 타겟 사용자와 BitTorrent 스웜 내 다른 피어 간의 트래픽 패턴을 시간 분석을 통해 모니터링하고 상관관계를 분석한다.
• BitTorrent 클라이언트가 초기 핸드셰이크 및 데이터 교환 단계에서 예측 가능한 업로드 및 다운로드 행동을 보임을 활용한다.
• 토르 네트워크의 입구 및 출구 라우터에서 관측된 데이터 전송 시간 간의 통계적 상관관계를 사용한다.
• 공격자는 토르 네트워크의 입구 및 출구 릴레이를 모두 제어할 수 있다고 가정하여 종단 간 트래픽 상관관계를 구현한다.
• 패킷 간 도착 간격과 전송 크기를 기반으로 트래픽 패턴을 분류하고 매칭하기 위해 기계학습 기법을 적용한다.
• 실제 BitTorrent 클라이언트와 토르 릴레이를 사용한 테스트 네트워크에서 제어 실험을 통해 방법의 타당성을 검증한다.

실험 결과

연구 질문

• RQ1 토르를 사용하는 BitTorrent 사용자를 트래픽 상관관계 공격을 통해 탈식별할 수 있는가?
• RQ2 BitTorrent 파일 공유 중에 시간 기반 상관관계가 토르 사용자를 실제 IP 주소로 연결하는 데 얼마나 효과적인가?
• RQ3 네트워크 조건, 클라이언트 행동, 스웜 크기 등의 요소가 탈식별 성공률에 어떤 영향을 미치는가?
• RQ4 BitTorrent 트래픽의 구조적 특성이 토르가 제공하는 익명성 보장을 어느 정도 약화시키는가?
• RQ5 동시에 여러 사용자를 대상으로 공격을 확장해도 정확도에 심각한 손실이 발생하는가?

주요 결과

• 이론적 네트워크 조건에서 제어 실험에서 공격은 85%의 BitTorrent 사용자를 성공적으로 탈식별했다.
• 배경 트래픽과 변동하는 지연 시간이 존재하는 현실적인 네트워크 조건에서는 성공률가 60%로 감소했다.
• 단순한 대역폭 상관관계보다 시간 기반 상관관계가 훨씬 더 효과적으로 일치하는 트래픽 흐름을 식별했다.
• 파일 다운로드 초기 단계에서 업로드 및 다운로드 패턴이 가장 동기화되어 있어 공격이 가장 효과적이었다.
• 동일한 스웜에 여러 피어가 존재할 경우 상관관계 기회가 늘어나 공격의 성공률가 증가했다.
• 트래픽 패딩과 같은 오버행 기법을 사용하더라도 공격은 여전히 효과적이었지만, 성공률는 감소했다.