[논문 리뷰] SiamHAN: IPv6 Address Correlation Attacks on TLS Encrypted Traffic via Siamese Heterogeneous Graph Attention Network

Tianyu Cui, Gaopeng Gou외 4명|arXiv (Cornell University)|2022. 04. 20.

Internet Traffic Analysis and Secure E-voting참고 문헌 28인용 수 4

한 줄 요약

이 논문은 지식 그래프에서 다중 수준의 의미적 특징을 모델링하여 TLS 암호화된 트래픽를 통해 IPv6 주소를 사용자와 연관짓는 Siamese Heterogeneous Graph Attention Network인 SiamHAN을 제안한다. 장기적인 사용자 추적에서 99%의 정확도와 사용자 발견에서 88%의 정확도를 달성하여, Deepcorr와 같은 최신 기술들(각각 85% 및 60%)을 크게 능가한다.

ABSTRACT

Unlike IPv4 addresses, which are typically masked by a NAT, IPv6 addresses could easily be correlated with user activity, endangering their privacy. Mitigations to address this privacy concern have been deployed, making existing approaches for address-to-user correlation unreliable. This work demonstrates that an adversary could still correlate IPv6 addresses with users accurately, even with these protection mechanisms. To do this, we propose an IPv6 address correlation model - SiamHAN. The model uses a Siamese Heterogeneous Graph Attention Network to measure whether two IPv6 client addresses belong to the same user even if the user's traffic is protected by TLS encryption. Using a large real-world dataset, we show that, for the tasks of tracking target users and discovering unique users, the state-of-the-art techniques could achieve only 85% and 60% accuracy, respectively. However, SiamHAN exhibits 99% and 88% accuracy.

연구 동기 및 목표

• NAT가 흔하지 않고 주소가 자주 정적 또는 예측 가능하기 때문에, TLS 암호화된 트래픽 내에서 IPv6 주소 연관이 증가하는 개인정보 위협을 해결한다.
• 기존 방법들이 주소 구조나 트래픽 패턴 분석에 의존하여 거짓 긍정이 많고 확장성이 제한되는 문제를 해결한다.
• TLS 암호화와 주소 무작위화로 보호된 상황에서도 임의의 IPv6 주소를 동일한 사용자로 연관지킬 수 있는 확장성 있고 정확한 방법을 개발한다.
• 다중 수준의 주의망과 지식 그래프 기반의 거리 학습이 기존 접근 방식에 비해 사용자 연관 정확도를 크게 향상시킬 수 있음을 입증한다.

제안 방법

• TLS 핸드셰이크 및 트래픽 패턴에서 유래한 다중 유형의 의미적 메타정보를 사용해 각 IPv6 클라이언트 주소에 대해 이질적 지식 그래프를 구축한다.
• 지식 그래프 쌍을 비교할 수 있도록 시암 네트워크 아키텍처를 활용하여 주소-사용자 연관의 엔드 투 엔드 학습을 가능하게 한다.
• 지식 그래프 내의 다양한 노드 및 간선 유형 간의 복잡한 다중 수준 관계를 포착하기 위해 이질적 그래프 주의망(HGAT)을 통합한다.
• 두 클라이언트 그래프 간의 유사도를 측정하는 강력한 거리 메트릭을 학습하기 위해 대비 손실 함수를 통한 거리 학습을 적용한다.
• 다중 헤드 주의망을 사용해 그래프 내 다양한 특징과 관계의 중요도를 동적으로 가중한다.
• 대조 학습을 위해 양성 및 음성 쌍을 사용하여, 5개월간의 실세계 IPv6 트래픽 데이터셋(관측 지점에서 수집)을 기반으로 모델을 훈련시킨다.

실험 결과

연구 질문

• RQ1 주소 무작위화와 암호화가 적용된 상황에서도 머신러닝 모델이 TLS 암호화된 트래픽을 기반으로 동일한 사용자로 IPv6 주소를 효과적으로 연관지킬 수 있는가?
• RQ2 장기적인 사용자 추적 및 사용자 발견 작업에서, 제안된 SiamHAN 모델은 Deepcorr와 같은 최신 기술에 비해 성능 면에서 어떻게 비교되는가?
• RQ3 다중 수준의 주의망과 거리 학습은 단순한 분류나 임bedding 기반 접근 방식에 비해 IPv6 주소 연관 정확도를 얼마나 향상시키는가?
• RQ4 이러한 연관 공격에 대비한 가장 효과적인 대응 조치는 무엇이며, 트래픽 가로막기와 공격 표면 축소는 모델 성능에 어떤 영향을 미치는가?

주요 결과

• SiamHAN은 5개월 동안의 목표 사용자 추적에서 99%의 정확도를 달성하였으며, Deepcorr의 85%에 비해 뚜렷이 뛰어나다.
• 사용자 발견 작업에서는 SiamHAN이 88%의 정확도를 기록하여 Deepcorr의 60%에 비해 우수한 확장성과 강건성을 입증하였다.
• 배경 지식이 단 1개월 분량일 경우에도 SiamHAN은 쌍별 주소 연관에서 90%의 정확도를 유지한다.
• 거리 메트릭을 이진 분류기(SiamHAN-Classifier)로 대체할 경우 성능이 심각하게 저하되며, 이는 거리 학습의 우수성을 확인한다.
• 다양한 트래픽 가로막기 기법(예: 무작위로 위장한 주소 및 배경 트래픽)을 병합하면 SiamHAN의 주소 연관 정확도가 70.5%로 떨어지며, 이는 다중 계층의 방어 조치가 적용될 경우 방어가 가능함을 시사한다.
• SiamHAN의 시간 복잡도는 추적 시 O(cN), 발견 시 O(kN)이며, 실세계 모니터링 환경에서 대규모 배포에 효율적이다.