[논문 리뷰] ScrambleSuit: A Polymorph Network Protocol to Circumvent Censorship

Philipp Winter, Tobias Pulls외 1명|arXiv (Cornell University)|2013. 05. 14.

Internet Traffic Analysis and Secure E-voting참고 문헌 18인용 수 34

한 줄 요약

ScrambleSuit는 애플리케이션 레이어 트래픽을 가로막는 것을 방지하기 위해 활성 탐지와 프로토콜 지문 분석을 견디기 위해 응용 프로그램 레이어 트래픽을 가로막는 경량의 다형성 전송 프로토콜이다. 공유 비밀을 사용해 인증하고 패킷 길이와 시간 간격을 변형함으로써 트래픽을 계산적으로 무작위 노이즈와 구분할 수 없도록 만들어, 깊은 패킷 검사(DPI)를 효과적으로 회피하면서도 낮은 오버헤드를 유지한다.

ABSTRACT

Deep packet inspection technology became a cornerstone of Internet censorship by facilitating cheap and effective filtering of what censors consider undesired information. Moreover, filtering is not limited to simple pattern matching but makes use of sophisticated techniques such as active probing and protocol classification to block access to popular circumvention tools such as Tor. In this paper, we propose ScrambleSuit; a thin protocol layer above TCP whose purpose is to obfuscate the transported application data. By using morphing techniques and a secret exchanged out-of-band, we show that ScrambleSuit can defend against active probing and other fingerprinting techniques such as protocol classification and regular expressions. We finally demonstrate that our prototype exhibits little overhead and enables effective and lightweight obfuscation for application layer protocols.

연구 동기 및 목표

• Tor와 같은 검열 회피 도구가 활성 탐지와 프로토콜 지문 분석에 취약한 문제를 해결하기 위해.
• 성능 오버헤드가 크게 발생하지 않는 강력한 가로막기 기능을 제공하는 전송 계층 프로토콜을 설계하기 위해.
• 트래픽을 무작위 데이터와 계산적으로 구분할 수 없도록 만들어 깊은 패킷 검사를 회피하기 위해.
• 기존 도구인 Tor와 VPN에 아키텍처 변경 없이 통합할 수 있도록 하기 위해.
• 프로토콜 모방에 의존하는 것은 취약하고 오버헤드가 크므로, 랜덤성 기반의 가로막기로 대체함으로써 의존도를 줄이기 위해.

제안 방법

• 응용 데이터를 가로막기 위해 TCP 위에 얇은 프로토콜 계층을 도입한다.
• 플로우 기반 지문 분석을 피하기 위해 패킷 길이와 도착 간격을 동적으로 변경하는 변형 기법을 적용한다.
• 클라이언트를 인증하기 전에 연결에 응답하기 전에 외부 경로로 공유 비밀을 교환한다.
• 패킷 삽입, 수정 또는 손실를 탐지하기 위해 메시지 인증 코드(MAC)를 적용한다.
• 일반 목적용과 Tor 통합에 특화된 두 가지 인증 메커니즘을 설계한다.
• 트래픽이 계산적으로 무작위 데이터와 구분할 수 없도록 보장하여, 정규 표현식과 페이로드 분석이 무력화되도록 한다.

실험 결과

연구 질문

• RQ1 프로토콜 모방에 의존하지 않고도 검열자가 활성 탐지를 방지할 수 있는 전송 프로토콜을 설계할 수 있는가?
• RQ2 패킷 수준의 특성(길이, 시간 간격)을 변형하는 것이 트래픽 분석 및 분류를 회피하는 데 얼마나 효과적인가?
• RQ3 실제 웹 브라우징과 같은 환경에서 이러한 프로토콜의 성능 오버헤드는 어느 정도인가?
• RQ4 기존의 회피 도구인 Tor와의 통합이 최소한의 변경으로 가능할 수 있는가?
• RQ5 공유 비밀을 사용함으로써 무단 액세스는 방지하면서도 사용성은 유지할 수 있는가?

주요 결과

• ScrambleSuit는 연결에 응답하기 전에 공유 비밀 지식을 입증하도록 요구함으로써 활성 탐지에 효과적으로 대응한다.
• 프로토콜의 트래픽은 계산적으로 무작위 데이터와 구분할 수 없으며, 정규 표현식 기반 지문 분석에 영향을 주지 않는다.
• 변형 기법은 패킷 길이 분포와 도착 간격을 효과적으로 가로막아 플로우 기반 분류기의 성공률을 낮춘다.
• 프로토콜은 최소한의 오버헤드를 유발하여 웹 서핑과 같은 저지연 응용 프로그램에서도 편안하게 사용할 수 있다.
• 프로토타입은 경량 가로막기가 현대적인 검열 기법에 대응하는 데 실현 가능하고 효과적임을 보여준다.
• ScrambleSuit는 정상 프로토콜을 모방하지 않아 프로토콜 전용 탐지 위험을 줄이고, 진화하는 검열 전략에 대한 내성도 향상시킨다.