[논문 리뷰] Robust Website Fingerprinting Through the Cache Occupancy Channel

Anatoly Shusterman, Lachlan Kang외 5명|arXiv (Cornell University)|2018. 11. 17.

Internet Traffic Analysis and Secure E-voting참고 문헌 81인용 수 14

한 줄 요약

이 논문은 브라우저 캐시 사이드 챌린널을 통한 웹사이트 지문화가 현대 방어 조치가 있음에도 불구하고 매우 효과적임을 입증한다. JavaScript를 사용해 최종 레벨 캐시 점유율을 측정함으로써 저자들은 네트워크 기반 지문화에 맞추거나 이를 초월하는 고정밀도의 웹사이트 분류를 달성한다. 이는 트래픽 형식 조정 및 낮은 타이머 해상도 방어 조치에 대해서도 저항력이 있다.

ABSTRACT

Website fingerprinting attacks, which use statistical analysis on network traffic to compromise user privacy, have been shown to be effective even if the traffic is sent over anonymity-preserving networks such as Tor. The classical attack model used to evaluate website fingerprinting attacks assumes an on-path adversary, who can observe all traffic traveling between the user's computer and the secure network. In this work we investigate these attacks under a different attack model, in which the adversary is capable of sending a small amount of malicious JavaScript code to the target user's computer. The malicious code mounts a cache side- channel attack, which exploits the effects of contention on the CPU's cache, to identify other websites being browsed. The effectiveness of this attack scenario has never been systematically analyzed, especially in the open-world model which assumes that the user is visiting a mix of both sensitive and non-sensitive sites. We show that cache website fingerprinting attacks in JavaScript are highly feasible. Specifically, we use machine learning techniques to classify traces of cache activity. Unlike prior works, which try to identify cache conflicts, our work measures the overall occupancy of the last- level cache. We show that our approach achieves high classification accuracy in both the open-world and the closed- world models. We further show that our attack is more resistant than network-based fingerprinting to the effects of response caching, and that our techniques are resilient both to network-based defenses and to side-channel countermeasures introduced to modern browsers as a response to the Spectre attack. To protect against cache-based website fingerprinting, new defense mechanisms must be introduced to privacy-sensitive browsers and websites. We investigate one such mechanism, and show that generating artificial cache activity reduces the effectiveness of the attack and completely eliminates it when used in the Tor Browser.

연구 동기 및 목표

• 악성 JavaScript 삽입을 통해 CPU 캐시 사이드 채널을 이용한 웹사이트 지문화의 가능성 탐구.
• 사용자가 민감한 웹사이트와 비민감한 웹사이트를 혼합하여 방문하는 오픈 월드 모델에서 캐시 기반 지문화 평가.
• 트래픽 형식 조정 및 브라우저 내 타이머 해상도 감소와 같은 일반적인 방어 조치에 대한 저항성 평가.
• 캐시 기반 지문화를 완화하기 위한 인공 캐시 활동 기반 방어 메커니즘 제안 및 평가.

제안 방법

• 최종 레벨 캐시 점유율을 시간에 따라 측정함으로써 브라우저 캐시 활동을 캡처하는 두 개의 메모리그래머 개발.
• 캐시 활동 트레이스 기반으로 웹사이트 지문을 분류하기 위해 딥러닝 모델 사용.
• 실제 사용자 브라우징 세션에서 수집한 캐시 점유 패턴을 기반으로 분류기 학습.
• 웹사이트의 완전한 제어 없이도 악성 브라우저에 JavaScript를 삽입하여 캐시 동작을 모니터링.
• 네트워크 수준의 오버뷰레이션을 시뮬레이션하여 트래픽 형식 조정 방어 조치에 대한 강건성 평가.
• 캐시 기반 지문화를 방해하기 위해 인공 캐시 활동을 포함한 방어 메커니즘 제안 및 테스트.

실험 결과

연구 질문

• RQ1 악성 JavaScript 삽입을 통해 CPU 캐시 사이드 채널만을 이용해 웹사이트 지문화를 효과적으로 수행할 수 있는가?
• RQ2 오픈 월드 모델에서 캐시 기반 지문화는 닫힌 월드 설정에 비해 어떻게 성능을 발휘하는가?
• RQ3 트래픽 형식 조정과 같은 네트워크 기반 방어 조치에 대해 캐시 기반 지문화는 어느 정도 저항력이 있는가?
• RQ4 최근 브라우저의 대응 조치(예: 낮은 타이머 해상도)는 캐시 기반 지문화에 얼마나 효과적인가?
• RQ5 인공 캐시 활동는 캐시 기반 웹사이트 지문화에 대해 실현 가능한 방어 수단이 될 수 있는가?

주요 결과

• 캐시 기반 웹사이트 지문화는 최신 네트워크 기반 지문화와 비교해 유사한 분류 정확도를 달성한다.
• 브라우저 응답 캐싱이 활성화된 경우, 네트워크 트래픽의 변동성이 감소하므로 네트워크 기반 지문화보다 성능이 뛰어나다.
• 타이머 해상도가 100ms로 낮아진 경우, 토르 브라우저와 같이 구현된 바에도 공격이 효과적으로 유지되어, 브라우저 측 대응 조치에 대한 저항력이 뛰어나다.
• 인공 캐시 활동는 지문화 정확도를 크게 낮추며, 토르 브라우저에서 사용할 경우 완전히 제거할 수 있다.
• 다양한 하드웨어 구성에서도 강건하며, 한 시스템에서 학습된 분류기는 다른 시스템으로 일반화하여 상당히 잘 작동한다.
• 정확한 타이밍 정렬 없이도 캐시 활동는 노이즈가 있지만 추적 동기화에 사용 가능한 신호가 될 수 있다.