[논문 리뷰] kIP: a Measured Approach to IPv6 Address Anonymization

David Plonka, Arthur Berger|arXiv (Cornell University)|2017. 07. 12.

Internet Traffic Analysis and Secure E-voting참고 문헌 3인용 수 12

한 줄 요약

이 논문은 실질적인 측정 자료를 바탕으로 동시에 활성화된 주소 수를 분석하여 동적으로 접두사 길이를 자르는 방식으로 k-익명성을 보장하는 가변 길이 IPv6 주소 익명화 방법인 kIP를 제안한다. 고정 길이 자르기(예: /48)와는 달리 kIP는 각 익명화된 접두사에 최소 k개의 활성 주소가 포함되도록 접두사 길이를 조정함으로써, 실제 CDN 로그를 활용한 스케일링된 환경에서의 실현 가능성과 뛰어난 개인정보 보호 기능을 입증한다.

ABSTRACT

Privacy-minded Internet service operators anonymize IPv6 addresses by truncating them to a fixed length, perhaps due to long-standing use of this technique with IPv4 and a belief that it's "good enough." We claim that simple anonymization by truncation is suspect since it does not entail privacy guarantees nor does it take into account some common address assignment practices observed today. To investigate, with standard activity logs as input, we develop a counting method to determine a lower bound on the number of active IPv6 addresses that are simultaneously assigned, such as those of clients that access World-Wide Web services. In many instances, we find that these empirical measurements offer no evidence that truncating IPv6 addresses to a fixed number of bits, e.g., 48 in common practice, protects individuals' privacy. To remedy this problem, we propose kIP anonymization, an aggregation method that ensures a certain level of address privacy. Our method adaptively determines variable truncation lengths using parameter k, the desired number of active (rather than merely potential) addresses, e.g., 32 or 256, that can not be distinguished from each other once anonymized. We describe our implementation and present first results of its application to millions of real IPv6 client addresses active over a week's time, demonstrating both feasibility at large scale and ability to automatically adapt to each network's address assignment practice and synthesize a set of anonymous aggregates (prefixes), each of which is guaranteed to cover (contain) at least k of the active addresses. Each address is anonymized by truncating it to the length of its longest matching prefix in that set.

연구 동기 및 목표

• 기존의 고정 길이 자르기(예: /48)를 통한 전통적인 IPv6 주소 익명화 방식의 개인정보 보호 수준을 평가한다. 이는 일반적으로 사용되지만 충분한 익명성 보장을 보장하지 못할 수 있다.
• 클라이언트 활동에 대한 피사측 측정 자료가 동시에 할당된 IPv6 주소 수를 추정함으로써 더 나은 익명화 결정을 내리는 데 기여할 수 있는지 탐구한다.
• 실제 네트워크 행동에 기반해 자동으로 자르기 길이를 조정함으로써, 원하는 수준의 k-익명성을 보장하는 확장 가능한 익명화 방법을 개발한다.
• 고정 길이 자르기(예: /48)가 일반적인 IPv6 할당 관행 하에서 k > 32일 경우 의미 있는 개인정보 보호를 제공하지 못함을 입증한다.
• kIP를 제안하고 평가한다. 이는 각 익명화된 집합이 최소 k개의 활성 주소를 포함하도록 보장하는 익명화 집합을 생성함으로써, 운영 및 연구에 필요한 유용성을 유지하면서도 개인정보 보호 수준을 향상시킨다.

제안 방법

• kIP는 CDN 관측점에서의 피사측 로그를 활용하여 동시에 활성화된 IPv6 주소 수를 세며, SLAAC를 통해 일시적인 개인정보 보호 주소를 사용함으로써 간헐적인 활동 동안에도 활성 할당을 유추한다.
• 시간 창 기반 활동 행렬을 활용하여, 한 접두사에 동시에 할당된 주소 수의 하한을 계산하며, 두 관측 창 모두에서 활성인 주소는 여전히 할당되어 있을 가능성이 높다고 가정한다.
• 3일간 안정된 상태로 간주하는 정의를 기반으로 한 카운팅 기법을 적용하여 활성 주소 수의 중앙값 추정치를 도출하고, 이를 적응형 자르기의 기초로 삼는다.
• kIP는 사용자가 정의한 개인정보 보호 파rameter k(예: 32 또는 256)를 만족시키기 위해, 각 익명화된 접두사에 최소 k개의 활성 주소가 포함되도록 하는 가장 짧은 접두사 길이를 동적으로 결정한다.
• 각 주소는 생성된 익명화 집합 내에서 가장 긴 매칭 접두사 길이로 자르는 방식으로 익명화되어 k-익명성을 확보한다.
• 익명화 과정은 이전 로그에 대해 오프라인으로 적용되며, 관측된 활동 패tern에 기반한 강력한 개인정보 보호 보장을 제공한다.

실험 결과

연구 질문

• RQ1 현재 IPv6 주소 할당 관행 하에서 고정 길이 자르기(예: /48)가 충분한 개인정보 보호를 제공하는가?
• RQ2 간헐적이고 일시적인 주소일지라도, 클라이언트 활동 로그의 피사측 측정 자료를 통해 동시에 할당된 IPv6 주소 수를 추정할 수 있는가?
• RQ3 실제 네트워크 행동에 기반해 동적으로 조정 가능한 확장 가능한 주소 익명화 방법이 존재하는가? 이는 k-익명성을 보장하면서도 운영 및 연구에 필요한 유용성을 유지한다.
• RQ4 고객당 /64 또는 더 큰 접두사 할당 방식과 같은 일반적인 IPv6 할당 관행이 고정 길이 익명화의 효과성에 어떤 영향을 미치는가?
• RQ5 실제 네트워크 활동에 맞춰 조정되는 가변 길이 자르기 방식이 고정 길이 방법보다 더 의미 있는 개인정보 보호 보장을 달성하는 데 뛰어난가?

주요 결과

• k=32일 경우, 미국의 ISP는 /48 자르기로 고객의 90~95%에 대해 k-익명성을 보장하지만, k=256일 경우 이 비율은 30~40%로 떨어지며, 이는 스케일링된 환경에서의 충분한 집합화가 부족함을 시사한다.
• 일본과 유럽의 ISP는 k=32 또는 k=256를 확보하기 위해 80비트 이상을 자르는(즉, /48보다 짧은 접두사 길이) 것이 필요했으며, 이는 /48이 강력한 개인정보 보호를 위해 부적합함을 보여준다.
• kIP 익명화로 생성된 익명 접두사 길이는 /25에서 /58 사이로, /48보다 훨씬 짧아 더 적극적이고 효과적인 집합화를 의미한다.
• kIP는 고정 /48 자르기 대비 익명화 접두사 수를 줄였으며, 同시에 k-익명성을 보장함으로써 효율성과 개인정보 보호 수준 향상을 입증했다.
• 이 방법은 많은 ISP가 더 큰 접두사(예: /60 또는 /56)를 사용하고 있음을 성공적으로 파악했으며, 이는 익명화된 접두사당 고유 고객 수를 감소시켜 k-익명성에 악영향을 줄 수 있음을 시사한다.
• 연구 결과, 주간 기준으로 97%의 IPv6 주소가 활성 상태였으며(43.3억 개), 일일 기준으로는 93%였으며(6.84억 개), 이는 피사측 로그를 활용해 활성 주소 집합을 추정하는 데 적합함을 검증한다.