[논문 리뷰] Tor is not enough: Coercion in Remote Electronic Voting Systems

Christian Meter, Alexander Schneider외 2명|arXiv (Cornell University)|2017. 02. 09.

Internet Traffic Analysis and Secure E-voting참고 문헌 10인용 수 3

한 줄 요약

이 논문은 터널링 기반의 저지연 익명망인 Tor와 같은 시스템이 원격 전자투표 시스템에서 강압에 저항하는 데에 부적합하다고 보여준다. ISP 백본에 접근한 공격자가 지연 시간을 유지하는 트래픽 패턴을 악용할 경우, 투표자 트래픽을 상관관계 분석하여 특정 투표자가 선거에 참여했는지 여부를 파악할 수 있으며, 이는 익명화 조치가 되어 있음에도 불구하고 강압에 저항하지 못하게 만든다.

ABSTRACT

Current electronic voting systems require an anonymous channel during the voting phase to prevent coercion. Typically, low-latency anonymization-networks like Tor are used for this purpose. In this paper we devise a monitoring attack that allows an attacker to monitor whether participants of an election voted, despite the use of a low-latency network during the voting phase, thereby breaking an important part of coercion-freeness. We implement a simulation carrying out our attack and measure its success rates.

연구 동기 및 목표

• 저지연 익명망인 Tor와 같은 기술이 원격 전자투표 시스템에서 강압에 저항하는 데 효과적으로 기능하는지 조사하기.
• 익명화된 투표 트래픽의 시간 간격과 트래픽량 패턴을 악용하는 상관관계 기반 트래픽 모니터링 공격의 실현 가능성을 분석하기.
• 시뮬레이션과 실제 네트워크 데이터를 사용하여 이러한 공격의 실제 적용 가능성 평가하기.
• 기존 전자투표 시스템이 Tor에 의존하고 있다는 전제가 고감시 환경에서 강압에 저항하지 못하는지 도전하기.
• 전자투표에서 신뢰할 수 있는 익명성을 확보하기 위해 저지연 네트워크의 대안을 제안하기.

제안 방법

• 공격자가 ISP 백본을 제어하고 Tor를 사용하는 투표자의 트래픽을 관찰하는 네트워크 모니터링 공격 모델 설계.
• 실제 투표 트래픽과 공격자 상관관계 기법을 시뮬레이션하기 위해 이산 이벤트 기반 네트워크 시뮬레이터 구현.
• 패킷 간 간격과 트래픽량에 대한 패턴 매칭을 통해 클라이언트 측 투표 활동과 서버 측 투표 제출 간 상관관계 분석.
• 실제 웹 브라우징 및 투표 트래픽 트레이스를 사용해 현실적인 조건에서 탐지 정확도 평가를 위한 공격 시뮬레이션.
• 다양한 네트워크 조건과 트래픽 패턴에서 공격의 성공률 평가.
• 저지연 네트워크(Tor 등)와 고지연 대안(Nonesuch, Mixminion 등)의 익명성 성능 비교 분석.

실험 결과

연구 질문

• RQ1 ISP 수준의 시야를 확보한 공격자가 트래픽 상관관계 분석을 통해 Tor 기반 원격 전자투표 시스템에서 투표자를 탈익명화할 수 있는가?
• RQ2 Tor와 같은 저지연 네트워크의 지연 시간 유지 특성이 강압에 저항하지 못하게 만드는 상관관계 공격을 가능하게 하는 정도는 어느 정도인가?
• RQ3 종단 간 암호화와 Tor 익명화가 적용된 상황에서도 패턴 기반 트래픽 모니터링 공격이 투표 참여를 식별하는 데 얼마나 효과적인가?
• RQ4 대규모 전자투표에서 강압에 저항하는 데에 저지연 익명망을 사용하는 데 실질적인 제약은 무엇인가?
• RQ5 고지연 익명망은 Tor의 대안으로 원격 전자투표 시스템을 보호하는 데 실현 가능할까?

주요 결과

• 시뮬레이션 결과, 공격자가 ISP 백본에 접근한 경우, 조차도 Tor를 사용하더라도 투표자 트래픽과 투표 제출 간 상관관계를 높은 정확도로 분석할 수 있음.
• 공격자가 충분한 수의 투표자를 모니터링하고 패킷 전송의 일관된 시간 패턴을 관찰할 경우, 상관관계 공격의 성공률이 크게 향상됨.
• 저지연 네트워크인 Tor를 사용한다고 해도, 공격자가 네트워크 전반의 시야를 확보하고 시간 간격 및 트래픽량 패턴을 악용할 경우 탈익명화가 가능하므로 익명성 보장이 불가능함.
• 트래픽 스트림에 무작위 노이즈나 가짜 패킷을 추가하더라도 공격을 안정적으로 방지할 수 없으며, 패턴 매칭 알고리즘이 이러한 오염 방식을 탐지하고 적응할 수 있음.
• Nonesuch나 Mixminion과 같은 고지연 익명망은 내재된 지연 및 스테고그래피 특성 덕분에 이러한 상관관계 공격에 더 강건함.
• 현재 Tor에 의존하는 원격 전자투표 시스템은 강압에 저항하지 못하므로, 대통령 선거와 같은 고위험 투표에는 부적합함.