[논문 리뷰] k-fingerprinting: a Robust Scalable Website Fingerprinting Technique

Jamie Hayes, George Danezis|arXiv (Cornell University)|2015. 09. 02.

Internet Traffic Analysis and Secure E-voting참고 문헌 17인용 수 94

한 줄 요약

이 논문은 암호화되거나 익명화된 트래픽 기반으로 웹 페이지—특히 토르 히든 서비스까지 포함—를 식별하는 데 사용할 수 있는 새로운 유형의 랜덤 결정수림을 활용한 강건하고 확장 가능한 웹사이트 지문화 기법인 k-지문화를 소개한다. 암호화된 트래픽에서 30개의 모니터링된 히든 서비스를 100,000개의 모니터링되지 않은 페이지와 구분할 때, 이 기법은 85%의 참 양성률과 0.02%의 참 음성률을 기록하며, 방어 조치나 노이즈가 있는 조건에서도 이전 방법들을 능가한다.

ABSTRACT

Website fingerprinting enables an attacker to infer which web page a client is browsing through encrypted or anonymized network connections. We present a new website fingerprinting technique based on random decision forests and evaluate performance over standard web pages as well as Tor hidden services, on a larger scale than previous works. Our technique, k-fingerprinting, performs better than current state-of-the-art attacks even against website fingerprinting defenses, and we show that it is possible to launch a website fingerprinting attack in the face of a large amount of noisy data. We can correctly determine which of 30 monitored hidden services a client is visiting with 85% true positive rate (TPR), a false positive rate (FPR) as low as 0.02%, from a world size of 100,000 unmonitored web pages. We further show that error rates vary widely between web resources, and thus some patterns of use will be predictably more vulnerable to attack than others.

연구 동기 및 목표

• 클라이언트가 모니터링된 웹사이트와 모니터링되지 않은 웹사이트를 모두 브라우징하는 현실적인 오픈월드 환경에서 작동하는 더 정확하고 확장 가능한 웹사이트 지문화 기법을 개발하는 것.
• k-지문화가 웹사이트 지문화 방어 조치와 노이즈가 있는 데이터(실제 브라우징 패턴 포함)가 존재하는 상황에서의 효과성을 평가하는 것.
• 암호화 또는 익명화 조건 하에서 웹 페이지 정체성을 노출시키는 데 가장 많은 정보를 泄露하는 네트워크 특징(예: 패킷 수, 시간 간격)을 분석하는 것.
• 소규모 데이터 조각으로도 매우 정확한 공격을 도출할 수 있음을 보여주어 장기적 감시를 위한 설정 비용을 줄이는 것.
• 토르가 지문화에 대해 의미 있는 보호 기능을 제공하지 않으며, 히든 서비스가 표준 웹사이트와 고도로 정확하게 구분될 수 있음을 보여주는 것.

제안 방법

• k-지문화는 네트워크 트래픽 트레이스에서 분류 가능한 특징을 추출하기 위해 수정된 랜덤 결정수림 알고리즘을 사용하여 오픈월드 환경에서의 분류를 가능하게 한다.
• 이 방법은 특히 패킷 수와 트래픽 크기와 같은 일부 특징을 사용하며, 이들이 상대적으로 복잡한 특징(예: 패킷 간 간격, 순서)보다 더 많은 정보를 泄露한다는 것을 보여준다.
• 이론적으로 100,000개의 모니터링되지 않은 웹사이트까지 포함하는 오픈월드 환경에서 작동하며, 이는 이전 연구들(예: 5,000 또는 25,000개의 웹사이트)보다 훨씬 크다.
• 분류기는 전체 데이터의 소량에 대해서만 훈련되므로, 신속한 배포와 초기 데이터 수집 오버헤드 감소가 가능하다.
• 오류율 추정은 훈련 세트에서 수행되어 고오류 위험을 가진 웹사이트를 식별하고 제외함으로써 전체 정확도를 향상시킨다.
• 이 접근법은 네 개의 독립된 데이터셋을 통해 검증되었으며, 다양한 브라우징 세션과 네트워크 조건에서의 강건성과 일반화 능력을 확인했다.

실험 결과

연구 질문

• RQ1 100,000개의 모니터링되지 않은 웹사이트가 포함된 오픈월드 환경에서 웹사이트 지문화 공격이 높은 정확도를 유지할 수 있는가?
• RQ2 트래픽 변형 또는 가짜 페이지와 같은 알려진 방어 조치에 대해 k-지문화는 어떤 성능을 보이는가?
• RQ3 암호화 또는 익명화 조건 하에서 웹 페이지 정체성을 식별하는 데 가장 유용한 네트워크 특징(예: 패킷 수, 시간 간격)은 무엇인가?
• RQ4 소규모 데이터 조각으로도 여전히 매우 정확한 지문화 분류기가 도출될 수 있는 정도는 어느 정도인가?
• RQ5 토르를 통해 브라우징하는 것이 지문화에 대해 의미 있는 저항력을 제공하는가? 그리고 히든 서비스는 표준 웹사이트와 신뢰성 있게 구분될 수 있는가?

주요 결과

• k-지문화는 100,000개의 모니터링되지 않은 웹사이트 중 30개의 모니터링된 토르 히든 서비스를 식별할 때 참 양성률 85%와 참 음성률 최저 0.02%를 기록한다.
• 공격은 소량의 데이터로도 훈련된 경우에도 효과적이며, 장기적 감시를 위한 낮은 설정 비용과 확장성을 보여준다.
• 패킷 수와 같은 단순한 특징이 패킷 간 간격이나 순서와 같은 복잡한 특징보다 더 많은 정보를 泄露한다.
• 오류율은 웹사이트마다 크게 다름을 보이며, 공격자는 훈련 데이터를 활용해 고오류 위험 대상을 식별하고 제외함으로써 분류기 성능을 향상시킬 수 있다.
• 토르는 지문화에 대해 의미 있는 보호 기능을 제공하지 않으며, k-지문화는 표준 웹사이트와 토르 히든 서비스 모두에서 높은 정확도를 달성한다.
• 이 방법은 정확도와 계산 효율성 측면에서 이전 최첨단 공격들보다 뛰어나며, 각 인스턴스의 테스트 시간은 약 0.1 CPU 초이다.