[논문 리뷰] Managing NymBoxes for Identity and Tracking Protection

David Isaac Wolinsky, Bryan Ford|arXiv (Cornell University)|2013. 12. 12.

Internet Traffic Analysis and Secure E-voting참고 문헌 55인용 수 3

한 줄 요약

Nymix는 온라인 다수의 신원을 보호하고 추적 또는 탈동명화를 방지하기 위해 고립된 가상 머신(이하 nymboxes)을 사용하는 프라이버시 중심의 운영체제 아키텍처이다. 각 nymbox는 Tor 또는 기타 익명성 도구를 통한 고립된 네트워크 라우팅을 제공하는 별도의 일시적 또는 지속적 브라우저 세션을 실행하며, 600MB의 메모리와 15~25초의 로드 시간을 통해 강력한 격리와 사용자 중심의 상태 관리를 실현한다.

ABSTRACT

Despite the attempts of well-designed anonymous communication tools to protect users from tracking or identification, flaws in surrounding software (such as web browsers) and mistakes in configuration may leak the user's identity. We introduce Nymix, an anonymity-centric operating system architecture designed "top-to-bottom" to strengthen identity- and tracking-protection. Nymix's core contribution is OS support for nym-browsing: independent, parallel, and ephemeral web sessions. Each web session, or pseudonym, runs in a unique virtual machine (VM) instance evolving from a common base state with support for long-lived sessions which can be anonymously stored to the cloud, avoiding de-anonymization despite potential confiscation or theft. Nymix allows a user to safely browse the Web using various different transports simultaneously through a pluggable communication model that supports Tor, Dissent, and a private browsing mode. In evaluations, Nymix consumes 600 MB per nymbox and loads within 15 to 25 seconds.

연구 동기 및 목표

• 기존 익명성 도구가 존재함에도 불구하고 증가하는 온라인 추적 및 신원 연계 위협에 대응하기 위해.
• 사용자 오류를 줄이기 위해 신원 간의 구조적 격리를 강제함으로써 다수의 온라인 신원을 관리하는 데 어려움을 완화하기 위해.
• 브라우저 지문 분석, 악성 소프트웨어 오염, 설정 오류 등의 클라이언트 사이드 취약성으로 인한 탈동명화를 방지하기 위해.
• 일시적 및 지속적 브라우저 세션을 강력한 상태 격리와 부인 가능성과 함께 안전하게 관리하기 위해.
• Tor 및 Dissent과 같은 다수의 익명성 네트워크를 지원하기 위한 조합 가능하고 플러그인 방식의 프레임워크를 제공하기 위해.

제안 방법

• Nymix는 각 nymbox당 두 개의 QEMU/KVM 가상 머신을 사용한다: 하나는 네트워크 통신(예: Tor)을 담당하고, 다른 하나는 브라우저와 플러그인을 담당한다.
• 각 nymbox는 공통된 기본 상태에서 고립되고 초기화되어 일관성과 공격 표면을 최소화한다.
• 지속적 nymbox 상태는 암호화되어 로컬 또는 익명 클라우드 스토리지에 저장되며, 사용자 명시적 요청 시에만 업데이트된다.
• 시스템은 Tor, Dissent 및 경량 인코고 모드를 포함한 플러그인 방식의 익명성 백엔드를 지원한다.
• Nymix는 USB에서 부팅할 수 있어 부인 가능성을 확보하고, 호스트 머신에 자국을 남기지 않는다.
• 사용자 중심의 정리 기능을 통합하고, 향후 Buddies와 같은 도구와의 통합을 통해 교차 공격에 저항할 수 있다.

실험 결과

연구 질문

• RQ1 어떻게 운영체제 아키텍처가 온라인 다수의 신원 간에 강력한 격리를 구현하여 추적 또는 탈동명화를 방지할 수 있는가?
• RQ2 브라우저 지문 분석, 악성 소프트웨어 오염, 설정 오류 등의 클라이언트 사이드 유출을 방지할 수 있는 메커니즘은 무엇인가?
• RQ3 성능 오버헤드를 최소화하면서 일시적 및 지속적 브라우저 세션을 어떻게 안전하게 관리할 수 있는가?
• RQ4 클라이언트 운영체제에 다수의 익명성 네트워크를 지원하는 조합 가능하고 플러그인 방식의 익명성 프레임워크를 통합할 수 있는가?
• RQ5 장기적 상태를 손상으로부터 보호하면서도 부인 가능성과 교차 공격에 대한 저항력을 유지할 수 있는가?

주요 결과

• Nymix는 nymbox당 600MB의 메모리를 소비하고, 로드 시간은 15~25초로, 네이티브 또는 Tails 유사 성능과 유사하다.
• 시스템은 각 nymbox당 클라이언트 사이드 상태와 자격 증명을 성공적으로 격리하여 잘못된 환경에서 자격 증명을 입력할 위험을 제거한다.
• 상태 업데이트를 사용자 명시적 조작로 연기함으로써 Nymix는 장기적 익명성을 손상시키는 오염 공격에 저항한다.
• Nymix의 설계는 사용자의 지문을 줄임으로써 교차 공격을 완화하며, Buddies와 같은 도구와의 통합을 통해 익명성 임계값 보호를 향상시킬 수 있다.
• 프로토타입은 적대적 레드팀 테스트를 거쳐 알려진 탈동명화 및 추적 기법에 대한 저항성을 입증했다.
• USB 부팅과 상태 없는 운영 방식을 통해 Nymix는 부인 가능성을 확보하여 위험한 환경에서 고위험 사용자에게 적합하다.