[논문 리뷰] TCPSnitch: Dissecting the Usage of the Socket API

Gregory Vander Schueren, Quentin De Coninck외 1명|arXiv (Cornell University)|2017. 11. 02.

Advanced Malware Detection Techniques참고 문헌 13인용 수 3

한 줄 요약

TCPSnitch는 안드로이드 및 리눅스 애플리케이션과 TCP/IP 스택 간의 상호작용을 가로채고 상세히 기록하는 시스템으로, 시스템 호출 매개변수, 타임스탬프, 소켓 옵션을 포함한다. 이 연구는 페이스북, 유튜브와 같은 유명 앱들이 표준 자바 API에 존재하지 않는 바에도 불구하고 소켓 옵션, 특히 TCP_INFO를 광범위하게 비표준 방식으로 사용하고 있음을 드러내며, 고수준 추상화와 저수준 시스템 사용 간 격차를 보여준다.

ABSTRACT

Networked applications interact with the TCP/IP stack through the socket API. Over the years, various extensions have been added to this popular API. In this paper, we propose and implement the TCPSnitch software that tracks the interactions between Linux and Android applications and the TCP/IP stack. We collect a dataset containing the interactions produced by more than 120 different applications. Our analysis reveals that applications use a variety of API calls. On Android, many applications use various socket options even if the Java API does not expose them directly. TCPSnitch and the associated dataset are publicly available.

연구 동기 및 목표

• 실제 네트워크 기반 애플리케이션이 안드로이드 및 리눅스에서 소켓 API를 실제로 어떻게 사용하는지 이해하기 위해.
• 고수준 프로그래밍 추상화(예: 자바 API)와 저수준 시스템 호출 간의 불일치를 규명하기 위해.
• 연구를 위해 파rameter-rich 소켓 시스템 호출 트레이스의 대규모 데이터셋을 수집하고 공개하기 위해.
• 비표준 소켓 옵션(예: TCP_INFO 포함)의 실제 사용 패턴을 분석하기 위해.
• 실제 애플리케이션의 요구사항을 드러내어 향후 일반적인 전송 서비스 설계를 지원하기 위해.

제안 방법

• TCPSnitch는 C 라이브러리의 40개의 핵심 네트워크 관련 함수를 가로채기 위해 LD_PRELOAD를 사용하며, 이에는 socket, connect, send, recv, getsockopt 등이 포함된다.
• 타임스탬프, 함수 매개변수, 반환 값, 스레드 ID, 시스템 구성 등의 상세 메타데이터를 기록한다.
• 트레이스는 https://tcpsnitch.org에 위치한 공개 데이터베이스로 업로드되며, 시각화 및 쿼리 인터페이스를 제공한다.
• 시스템은 90개의 유명한 안드로이드 애플리케이션과 리눅스 시스템에 배포되어 230만 건 이상의 시스템 호출을 수집하였다.
• 데이터셋에는 소켓 옵션, 버퍼 크기, 플래그 사용이 포함되어 있어 API 동작의 세밀한 분석이 가능하다.
• 웹 인터페이스를 통해 연구자들은 트레이스를 브라우징하고, 애플리케이션 또는 소켓 옵션 기준으로 필터링하며, 사용 패턴을 탐색할 수 있다.

실험 결과

연구 질문

• RQ1 실제 안드로이드 및 리눅스 애플리케이션은 시스템 호출 시퀀스와 매개변수 측면에서 소켓 API를 어떻게 실제로 사용하는가?
• RQ2 애플리케이션이 안드로이드에서 표준 외 소켓 옵션—특히 자바 API에 노출되지 않은 것들—을 얼마나 자주 사용하는가?
• RQ3 SO_LINGER 및 SO_DEBUG의 사용과 관련하여 연결 수립 및 종료 과정에서 어떤 패턴이 나타나는가?
• RQ4 TCP_INFO와 같은 고급 소켓 옵션은 얼마나 자주 사용되며, 다양한 애플리케이션과 연결 수명 주기 동안 어떻게 분포되어 있는가?
• RQ5 안드로이드 앱에서 UDP 소켓의 실제 사용은 어떠한가, 그리고 그들의 의도된 용도와 비교해보면 어떻게 되는가?

주요 결과

• IPv6가 활성화된 와이파이 네트워크에서는 안드로이드 애플리케이션이 IPv4보다 IPv6를 선호하며, 78%의 연결이 IPv6를 사용한다.
• UDP 소켓은 주로 네트워크 구성 상태를 점검하기 위한 경량 수단으로 사용되며, 실제 데이터 전송을 위한 것이 아니다.
• TCP 연결 수명 주기에서 일관된 패턴이 나타나며, 애플리케이션은 close() 이전에 getsockopt(SO_LINGER)와 getsockopt(SO_DEBUG)를 사용하여 소켓 고유의 정리 작업을 감지하고 처리한다.
• 28개의 안드로이드 애플리케이션이 비표준 TCP_INFO 소켓 옵션을 사용하며, 이는 내부 TCP 스택 카운터를 노출한다. 이 중 26%의 TCP_STREAM 소켓이 적어도 한 번 이상 이를 조회한다.
• 페이스북, 메신저, 인스타그램은 연결당 최대 3,000번까지 TCP_INFO를 호출하며, 시간에 따라 균일하게 분포되어 있어 시작 또는 종료 시에만 호출하는 것이 아니다.
• 비표준이면서 자바 API에 노출되지 않은 TCP_INFO는 유투브, 크롬, 스포티파이와 같은 고속 트래픽 애플리케이션에 의해 사용되고 있어, 고수준 추상화와 저수준 시스템 액세스 사이에 상당한 격차가 있음을 시사한다.