[논문 리뷰] Holding all the ASes: Identifying and Circumventing the Pitfalls of AS-aware Tor Client Design

Rishab Nithyanand, Rachee Singh외 2명|arXiv (Cornell University)|2016. 05. 11.

Internet Traffic Analysis and Secure E-voting참고 문헌 24인용 수 6

한 줄 요약

이 논문은 실시간 네트워크 측정과 경로 다각도를 활용하여 취약한 자율 시스템(Autonomous Systems)을 피하는 AS 수준의 트래픽 상관 공격을 완화하는 AS-aware Tor 클라이언트인 Cipollino을 제안한다. Cipollino는 성능을 보존하면서도 기존 Tor 클라이언트와 유사한 성능을 유지하면서도 AS 수준의 탈식별 위험을 58%에서 1.4%로 감소시켰으며, 릴레이 수준의 공격자에 대비한 보안성을 80% 향상시켰다.

ABSTRACT

Traffic correlation attacks to de-anonymize Tor users are possible when an adversary is in a position to observe traffic entering and exiting the Tor network. Recent work has brought attention to the threat of these attacks by network-level adversaries (e.g., Autonomous Systems). We perform a historical analysis to understand how the threat from AS-level traffic correlation attacks has evolved over the past five years. We find that despite a large number of new relays added to the Tor network, the threat has grown. This points to the importance of increasing AS-level diversity in addition to capacity of the Tor network. We identify and elaborate on common pitfalls of AS-aware Tor client design and construction. We find that succumbing to these pitfalls can negatively impact three major aspects of an AS-aware Tor client -- (1) security against AS-level adversaries, (2) security against relay-level adversaries, and (3) performance. Finally, we propose and evaluate a Tor client -- Cipollino -- which avoids these pitfalls using state-of-the-art in network-measurement. Our evaluation shows that Cipollino is able to achieve better security against network-level adversaries while maintaining security against relay-level adversaries and

연구 동기 및 목표

• 최근 5년간 Tor에서의 AS 수준 트래픽 상관 공격 위협의 변화를 분석하기 위해.
• 기존 AS-aware Tor 클라이언트에서 발생하는 보안과 성능에 악영향을 미치는 다섯 가지 핵심 설계 결함을 식별하고 특성화하기 위해.
• 정확한 경로 측정과 지능적인 회로 선택을 통해 이러한 결함을 피하는 Cipollino를 설계하고 평가하기 위해.
• 성능을 희생시키지 않고 AS 수준 및 릴레이 수준의 공격자에 대비한 보안을 향상시키기 위해.

제안 방법

• 저자는 PathCache에서 확보한 역사적 및 현재 네트워크 측정 자료를 활용하여 7.1만 개의 Tor 릴레이를 대상으로 AS 수준 상관 위험을 분석한다.
• 실시간 경로 데이터를 기반으로 트래픽 상관에 취약한 AS를 거치지 않는 경로를 통해만 회로를 사전 구축하고 재사용하도록 Cipollino를 설계한다.
• 클라이언트와 목적지 AS 간의 안전하고 겹치지 않는 경로를 식별하기 위해 목적지 기반 그래프를 활용하는 스티칭 알고리즘을 적용한다.
• 사전 구축된 회로 간의 트래픽을 균형 있게 분배하여 공격 표면을 줄이기 위한 로드 밸런싱 전략을 구현한다.
• 안전한 사전 구축된 회로가 존재하지 않을 경우, 선형 프로그래밍 기반 접근법을 사용하여 AS 수준 공격자에 노출되는 것을 최소화하는 새로운 회로를 구성한다.
• 정확하고 최신의 경로 정보를 확보하기 위해 제어 평면과 데이터 평면 측정을 통합하여 정적 또는 오래된 라우팅 모델에 의존하지 않도록 한다.

실험 결과

연구 질문

• RQ1 최근 5년간 네트워크 확장에도 불구하고, Tor에서의 AS 수준 트래픽 상관 공격 위협은 어떻게 변화해 왔는가?
• RQ2 기존 AS-aware Tor 클라이언트의 핵심 설계 결함는 무엇이며, 이는 보안 취약성 또는 성능 저하를 초래하는가?
• RQ3 새로운 Tor 클라이언트 설계가 기존 Tor 클라이언트와 유사한 성능을 유지하면서도 강력한 AS 수준 공격 대비 보안을 확보할 수 있는가?
• RQ4 회로 사전 구축 및 재사용은 릴레이 수준 공격자에 의한 탈식별 위험을 어느 정도 감소시킬 수 있는가?

주요 결과

• AS 수준 트래픽 상관 공격 위협은 시간이 지남에 따라 증가했다: 웹 전용 클라이언트의 경우 취약한 회로 비율이 2010년 38%에서 2015년 41%로 증가했으며, 혼합 애플리케이션 클라이언트의 경우 21%에서 35%로 상승했다.
• 기본 Tor 클라이언트는 공격적인 회로 재사용로 인해 AS 수준 상관 공격을 통해 58%의 웹 페이지를 탈식별 위험에 노출시켰다.
• Cipollino는 취약한 웹 페이지 비율을 단 1.4%로 감소시켜 기본 Tor(58%)와 Astoria(11%)에 비해 극적으로 향상시켰다.
• Cipollino는 최신 기술 수준의 AS-aware 클라이언트인 Astoria 대비 릴레이 수준 공격자에 대한 공격 표면을 80% 감소시켰다.
• Cipollino의 중앙값 페이지 로드 시간은 기본 Tor보다 1.6초 뿐 느리며, Astoria보다 7초나 빠르게 성능 상 평형을 유지함을 보여주었다.
• 이 연구는 Tor 네트워크 내에서 AS 수준의 다양성이 용량 증가 속도에 따라 따라가지 못하고 있음을 확인하였으며, Cipollino와 같은 사전 방어 기반 클라이언트 솔루션이 필수적임을 입증한다.