[논문 리뷰] RAPTOR: Routing Attacks on Privacy in Tor

Yixin Sun, Anne Edmundson외 5명|arXiv (Cornell University)|2015. 03. 13.

Internet Traffic Analysis and Secure E-voting참고 문헌 38인용 수 107

한 줄 요약

RAPTOR는 라우팅 비대칭성, 혼란도, 가로채기 등을 악용하여 BGP 기반의 새로운 공격을 제시하며, 자율 시스템(AS)이 토르 트래픽의 양 끝을 관찰할 수 있도록 함으로써 토르 사용자의 익명성을 해체한다. 저자들은 실시간 실험에서 95%의 익명성 해제 정확도를 입증했으며, 토르 릴레이의 90% 이상가 이러한 공격에 취약하다고 밝혀내, 익명성 확보에 있어 불안정한 네트워크 라우팅에 의존하는 토르의 심각한 결함을 드러낸다.

ABSTRACT

The Tor network is a widely used system for anonymous communication. However, Tor is known to be vulnerable to attackers who can observe traffic at both ends of the communication path. In this paper, we show that prior attacks are just the tip of the iceberg. We present a suite of new attacks, called Raptor, that can be launched by Autonomous Systems (ASes) to compromise user anonymity. First, AS-level adversaries can exploit the asymmetric nature of Internet routing to increase the chance of observing at least one direction of user traffic at both ends of the communication. Second, AS-level adversaries can exploit natural churn in Internet routing to lie on the BGP paths for more users over time. Third, strategic adversaries can manipulate Internet routing via BGP hijacks (to discover the users using specific Tor guard nodes) and interceptions (to perform traffic analysis). We demonstrate the feasibility of Raptor attacks by analyzing historical BGP data and Traceroute data as well as performing real-world attacks on the live Tor network, while ensuring that we do not harm real users. In addition, we outline the design of two monitoring frameworks to counter these attacks: BGP monitoring to detect control-plane attacks, and Traceroute monitoring to detect data-plane anomalies. Overall, our work motivates the design of anonymity systems that are aware of the dynamics of Internet routing.

연구 동기 및 목표

• 동적 인터넷 라우팅 프rotocol를 악용하는 고도로 발전한 공격에 대해 자율 시스템(AS)이 토르의 취약성을 노출하는 방식을 폭 드러내기 위해.
• 라우팅 비대칭성과 자연적인 BGP 혼란도가 AS 수준의 적대자가 토르 통신의 양 끝을 관찰할 가능성을 증가시키는 방식을 조사하기 위해.
• 트래픽 분석을 통해 토르 클라이언트의 익명성 해제를 위한 BGP 가로채기 및 가로채기 공격의 실현 가능성을 입증하기 위해.
• 역사적 BGP 및 트래서이트 데이터와 실시간 토르 네트워크 실험을 통해 이러한 공격의 실제 세계 영향을 정량화하기 위해.
• RAPTOR 유형의 공격을 탐지하고 완화하기 위한 효과적인 모니터링 기반 대응 조치를 설계하고 제안하기 위해.

제안 방법

• 실시간 토르 네트워크 실험을 활용해 비대칭 트래픽 관련성을 수행하며, 양방향 경로에서 패킷 시간 및 크기의 차이를 관찰하였다.
• 역사적 BGP 및 트래서이트 데이터를 분석하여, 라우팅 비대칭성과 경로 혼란도로 인한 공격 표면의 증가를 정량화하였다.
• 실제 사용자를 해치지 않도록 주의 깊게 제어된 실시간 토르 릴레이에서 BGP 가로채기 공격을 제어적으로 수행하였다.
• BGP 가로채기 시뮬레이션을 통해 전략적 적대자가 토르 트래픽을 자신의 AS로 재지정하여 트래픽 분석을 가능하게 할 수 있음을 입증하였다.
• 두 가지 모니터링 프레임워크를 설계: 제어 평면 이상 징후를 위한 BGP 모니터링 및 데이터 평면 이질성에 대한 트래서이트 모니터링.
• 네트워크 수준의 방화벽을 구현하여 실험 트래픽을 격리하고 실시간 테스트 중 실제 토르 사용자가 영향을 받지 않도록 하였다.

실험 결과

연구 질문

• RQ1 BGP에서의 라우팅 비대칭성이 자율 시스템 수준의 적대자가 토르 통신의 양 끝을 관찰할 가능성을 얼마나 증가시키는가?
• RQ2 시간이 지남에 따라 자연적인 BGP 경로 혼란도가 토르 클라이언트가 AS 수준의 트래픽 분석에 노출되는 장기적 영향을 어떻게 증가시키는가?
• RQ3 BGP 가로채기 및 가로채기 공격이 토르 트래픽을 재지정하고 모니터링하여 익명성 해제를 위해 효과적으로 사용될 수 있는가?
• RQ4 실시간 실험과 역사적 데이터 분석을 통해 이러한 공격의 실제 세계 가능성과 영향은 어떠한가?
• RQ5 제안된 모니터링 기반 대응 조치는 실시간으로 RAPTOR 유형의 공격을 탐지하는 데 얼마나 효과적인가?

주요 결과

• RAPTOR의 비대칭 트래픽 관련성 공격은 실시간 토르 네트워크 실험에서 95%의 익명성 해제 정확도를 달성했으며, 0%의 잘못된 경고가 발생하였다.
• 단지 라우팅 비대칭성만으로도 대칭 경로 가정 대비 AS 수준 공격의 위협 표면이 50% 증가한다.
• BGP 경로 혼란도는 시간이 지남에 따라 공격 표면을 100% 증가시켜, 적대자가 인프라를 변경하지 않더라도 더 많은 토르 클라이언트를 관찰할 수 있도록 한다.
• 역사적 BGP 데이터는 토르 릴레이 프리픽스를 대상으로 한 여러 가로채기 사건을 드러냈으며, 이는 2014년 비트코인 및 인도사트 가로채기 사례를 포함한다.
• 실시간 BGP 가로채기 공격은 제어된 토르 릴레이를 통해 트래픽을 성공적으로 재지정하고 모니터링하여 실현 가능성을 입증하였다.
• BGP 가로채기 및 비대칭성 공격에 취약한 불안정한 동적 라우팅 프로토콜에 의존함으로써, 토르 릴레이의 90% 이상이 적어도 하나의 RAPTOR 공격 벡터에 취약하다.