[논문 리뷰] Spying the World from your Laptop -- Identifying and Profiling Content Providers and Big Downloaders in BitTorrent

Stevens Le Blond, Arnaud Legout외 3명|arXiv (Cornell University)|2010. 04. 06.

Peer-to-Peer Network Technologies참고 문헌 10인용 수 46

한 줄 요약

이 논문은 공개 트래커 및 웹사이트 데이터를 활용하여 단일 머신이 지속적으로 BitTorrent 트래픽을 모니터링할 수 있음을 보여준다. 높은 정확도로 콘텐츠 제공자와 대량 다운로더를 식별하며, 103일간 1억 4800만 개의 IP 주소를 수집하고 신규 토런트의 70%에 대해 콘텐츠 제공자를 특정하였다. 그 결과, 대부분의 콘텐츠 주입이 해외 데이터 센터에 의해 이루어지며, P2P 파일 공유에서 심각한 개인정보 유출 위험이 존재하는 것으로 드러났다.

ABSTRACT

This paper presents a set of exploits an adversary can use to continuously spy on most BitTorrent users of the Internet from a single machine and for a long period of time. Using these exploits for a period of 103 days, we collected 148 million IPs downloading 2 billion copies of contents. We identify the IP address of the content providers for 70% of the BitTorrent contents we spied on. We show that a few content providers inject most contents into BitTorrent and that those content providers are located in foreign data centers. We also show that an adversary can compromise the privacy of any peer in BitTorrent and identify the big downloaders that we define as the peers who subscribe to a large number of contents. This infringement on users' privacy poses a significant impediment to the legal adoption of BitTorrent.

연구 동기 및 목표

• 공개적으로 이용 가능한 정보 자료만을 사용하여 단일 머신에서 장기적이고 대규모의 BitTorrent 사용자 감시가 가능한지 폭 드러내는 것.
• 트래커 및 웹사이트 데이터를 활용해 BitTorrent에 콘텐츠를 처음 주입하는 피어(콘텐츠 제공자)를 식별하고 프로파일링하는 것.
• 네트워크 오버클러딩 기법에도 불구하고, 많은 수의 토런트에 구독한 피어(대량 다운로더)를 정확하게 식별하고 프로파일링하는 것.
• NAT, 프oxy, Tor 노드, 모니터링 도구 등으로 인한 가짜 피어 식별을 체계적으로 제거하여 활성 피어를 정확히 식별할 수 있는 방법론을 개발하는 것.
• 특히 비불법적 용도 외의 목적에서 BitTorrent의 법적 도입에 있어 개인정보 문제를 부각하는 것.

제안 방법

• 매 분마다 ThePirateBay의 '최근 주입된 콘텐츠' 페이지를 자동으로 크롤링하여 새로 생성된 토런트와 관련된 트래커를 감지했다.
• 신규 토런트가 등장한 지 몇 초 내로 트래커의 announce 요청을 수행하여 첫 번째 피어를 캡처했으며, 이 피어가 초기 존재를 보이므로 콘텐츠 제공자로 간주했다.
• 표준 announce 및 scrape-all 요청을 통해 트래커 응답에서 IP 주소를 수집하고 관련성을 분석하여 피어를 콘텐츠에 매핑했다.
• 대량 다운로더 식별 시 NAT, HTTP/socks 프록시, Tor 출구 노드, 모니터링 도구 등으로 인한 가짜 피어를 탐지하고 제거하기 위한 필터링 파이프라인을 구현했다.
• 중앙 집중식 트래커에 의존하지 않고도 동일한 기법을 적용해 분산 해시 테이블(DHT) 인fra구조로 확장하여 IP 주소-콘텐츠 매핑을 독립적으로 수집했다.
• 프로세스 생성을 최소화하고 요청 처리를 최적화하여 과도한 시스템 오버헤드를 피한 경량 단일 머신 측정 시스템을 구현했다.

실험 결과

연구 질문

• RQ1 적대자가 공개 정보 자료만을 사용하여 BitTorrent에서 콘텐츠 제공자의 IP 주소를 식별할 수 있는가?
• RQ2 대부분의 신규 콘텐츠 주입을 담당하는 콘텐츠 제공자는 몇 명이며, 그들은 지리적으로나 인프라적으로 어디에 위치해 있는가?
• RQ3 네트워크 수준의 오버클러딩 기법에도 불구하고, 적대자가 대량 다운로더(많은 수의 토런트에 구독한 피어)를 얼마나 정확하게 식별할 수 있는가?
• RQ4 대량 다운로더 식별 시 주요 가짜 피어의 원인은 무엇이며, 이를 어떻게 체계적으로 제거할 수 있는가?
• RQ5 대규모 인프라에 의존하지 않고도 단일 머신에서 장기적이고 대규모의 BitTorrent 트래픽 감시가 가능한가?

주요 결과

• 저자들은 103일간 모니터링한 신규 토런트 중 70%에 대해 콘텐츠 제공자의 IP 주소를 식별했다.
• 소수의 콘텐츠 제공자—주로 해외 데이터 센터에 위치한 자—가 대부분의 신규 콘텐츠 주입을 담당했으며, 한 제공자는 하루에 6개 이상의 신규 토런트를 업로드했다.
• 측정 시스템은 1억 2000만 개의 고유한 콘텐츠에 대해 20억 개의 콘텐츠 복제본을 배포하는 데 1억 4800만 개의 IP 주소를 수집했다.
• 이전 연구 대비 50배의 효율 향상을 달성하여, 단일 머신이 12시간 만에 700만 개의 IP 주소를 수집한 반면, 이전 연구는 35台의 머신을 필요로 했다.
• 이 방법론은 NAT, 프록시, Tor 출구 노드, 모니터링 도구 등으로 인한 가짜 피어를 성공적으로 걸러내어 실제 대량 다운로더를 정확히 식별하는 데 기여했다.
• 유사한 추적 기법이 DHT에도 성공적으로 적용되어, 개인정보 유출 취약성이 중앙 집중식 트래커와 분산형 DHT 인프라 모두에 내재되어 있음을 확인했다.