[논문 리뷰] Hijacking Routes in Payment Channel Networks: A Predictability Tradeoff

Saar Tochner, Stefan Schmid외 1명|arXiv (Cornell University)|2019. 09. 15.

Blockchain Technology Applications and Security참고 문헌 22인용 수 35

한 줄 요약

The paper identifies a route-hijacking DoS vulnerability in off-chain payment networks (Lightning), empirically analyzes routing implementations, and reveals a fundamental tradeoff: reducing predictability increases security but raises costs.

ABSTRACT

Off-chain transaction networks can mitigate the scalability issues of today's trustless electronic cash systems such as Bitcoin. However, these peer-to-peer networks also introduce a new attack surface which is not well-understood today. This paper identifies and analyzes, a novel Denial-of-Service attack which is based on route hijacking, i.e., which exploits the way transactions are routed and executed along the created channels of the network. This attack is conceptually interesting as even a limited attacker that manipulates the topology through the creation of new channels can navigate tradeoffs related to the way it attacks the network. Furthermore, the attack also highlights a fundamental design tradeoff for the defender (who determines its own routes): to become less predictable and hence secure, a rational node has to pay higher fees to nodes that forward its payments. We find that the three most common implementations for payment channels in Bitcoin (lnd, C-lightning, Eclair) approach routing differently. We begin by surveying the current state of the Lightning network and explore the routes chosen by these implementations. We find that in the current network nearly 60\% of all routes pass through only five nodes, while 80\% go through only 10 nodes. Thus, a relatively small number of colluding nodes can deny service to a large fraction of the network. We then turn to study an external attacker who creates links to the network and draws more routes through its nodes by asking for lower fees. We find that just five new links are enough to draw the majority (65\% - 75\%) of the traffic regardless of the implementation being used. The cost of creating these links is very low. We discuss the differences between implementations and eventually derive our own suggested routing policy, which is based on a novel combination of existing approaches.

연구 동기 및 목표

• 오프체인 결제 네트워크에서 확장성과 라우팅 보안 문제를 제기한다.
• 라우팅 결정과 채널 수수료가 공격 표면에 어떤 영향을 미치는지 특성화한다.
• 현행 Lightning 구현과 네트워크 토폴로지를 실증적으로 평가한다.
• 공모된 중앙 노드와 외부 공격자에 대한 공격 가능성을 분석한다.
• 탈취 위험을 완화하기 위한 설계 및 정책상의 트레이드오프를 논의한다.

제안 방법

• 간선이 채널인 그래프로 지불 채널 네트워크를 모델링한다.
• lnd, C-lightning, Eclair에서 사용되는 라우팅 알고리즘과 가중치 계산을 조사한다.
• 실시간 Lightning Network 데이터(2019년 7월)를 실증적으로 분석하여 중심성, 경로 사용, 수수료를 평가한다.
• 공모된 중앙 노드와 새로운 채널을 생성하는 외부 공격자를 기반으로 DoS 경로 하이재킹 공격을 시뮬레이션한다.
• 중심화된 중심성과 부분모듈러 최적화 특성에 의해 공격자 전략을 평가한다.
• 기존 접근에서 영감을 얻은 라우팅 정책의 혼합을 제안하고 방어 전략을 논의한다.

실험 결과

연구 질문

• RQ1 현재의 Lightning Network 구현에서 경로 하이재킹 DoS 공격의 실행 가능성은 어느 정도인가?
• RQ2 대다수의 경로를 가로채려면 몇 개의 새로운 채널이나 어떤 중앙 노드가 필요한가?
• RQ3 다양한 라우팅 구현(lnd, C-lightning, Eclair)은 취약성과 라우팅 동작 면에서 어떻게 비교되는가?
• RQ4 라우팅 전략을 선택할 때 방어자의 보안 및 경제적 트레이드오프(예측가능성의 대가)는 무엇인가?
• RQ5 네트워크 성능을 저해하지 않으면서 하이재킹 위험을 줄일 수 있는 실용적 완화 방법이나 라우팅 정책 변화는 무엇인가?

주요 결과

• 새로운 다섯 개의 저수수료 링크가 약 65%–75%의 트래픽을 가로챌 수 있다(구현 간에 일관되게).
• 경로의 약 60%가 상위 다섯 노드를 통과하고 80%가 상위 열 노드를 통해 통과하여 표적화된 공모에 의한 장애를 가능하게 한다.
• 단지 다섯 개의 외부 링크가 다수의 트래픽(65%–75%)을 끌어들일 수 있으며, 30개 링크가 이를 약 80%까지 올릴 수 있다.
• 노드들은 대부분 기본 수수료를 사용하며 이기적 라우팅의 증거가 거의 없어 저수수료 하이재킹 전략에 취약함을 시사한다.
• 경로 선택에서 라우팅 구현(lnd, C-lightning, Eclair)이 다르지만 모두 중심성 기반 취약점을 보이며; Eclair의 상위 3개 무작위화는 제한된 보호를 제공한다.
• 근본적인 설계 트레이드오프가 존재한다: 예측 가능성을 줄이기 위해 대체 경로를 선택하면 보안이 향상되지만 방어자의 라우팅 수수료가 증가한다.