[논문 리뷰] Total Eclipse of the Heart -- Disrupting the InterPlanetary File System

Bernd Prünster, Alexander Marsalek외 1명|arXiv (Cornell University)|2020. 11. 02.

Peer-to-Peer Network Technologies인용 수 16

한 줄 요약

이 논문은 IPFS의 libp2p 연결 관리에서 발생하는 개념적 결함을 악용하여 확장 가능하고 비용이 낮은 일식 공격을 제시한다. 이 공격은 임의의 노드 고립과 전 세계 네트워크 장애를 가능하게 하며, 결과적으로 라우팅 테이블을 오염시키고 몇 분 내로 노드를 일식 상태로 만든다. 실험 결과는 큰 네트워크에서 선형 확장성을 보이며, 제한된 자원으로도 상당한 영향을 미친다.

ABSTRACT

Peer-to-peer networks are an attractive alternative to classical client-server architectures in several fields of application such as voice-over-IP telephony and file sharing. Recently, a new peer-to-peer solution called the InterPlanetary File System (IPFS) has attracted attention, which promises to re-decentralise the Web. Being increasingly used as a stand-alone application, IPFS has also emerged as the technical backbone of various other decentralised solutions and was even used to evade censorship. Decentralised applications serving millions of users rely on IPFS as one of their crucial building blocks. This popularity makes IPFS attractive for large-scale attacks. We have identified a conceptual issue in one of IPFS's core libraries and demonstrate their exploitation by means of a successful end-to-end attack. We evaluated this attack against the IPFS reference implementation on the public IPFS network, which is used by the average user to share and consume IPFS content. Results obtained from mounting this attack on live IPFS nodes show that arbitrary IPFS nodes can be eclipsed, i.e. isolated from the network, with moderate effort and limited resources. Compared to similar works, we show that our attack scales linearly even beyond current network sizes and can disrupt the entire public IPFS network with alarmingly low effort. The vulnerability set described in this paper has been assigned CVE-2020-10937. Responsible disclosure procedures are currently being carried out and have led to mitigations being deployed, with additional fixes to be rolled out in future releases.

연구 동기 및 목표

• 분산형 페어 투 페어 시스템인 IPFS와 같은 시스템에 대해 대규모이면서도 저비용의 공격이 가능한지 조사한다.
• IPFS의 핵심 연결 관리 메커니즘에 존재하는 개념적 취약점을 식별하고 악용한다.
• 실제 IPFS 노드와 공용 네트워크에 영향을 미치는 이러한 공격의 실제 영향을 평가한다.
• 이 공격이 네트워크 크기에 비례하여 선형적으로 확장됨을 입증하며, 이는 이전의 지수적 확장 방식과는 다름을 보여준다.
• Protocol Labs에 연구 결과를 보고하여 IPFS의 장기적인 보안 강화를 이끌어내고, 주요 프로토콜 업데이트를 이끌어낸다.

제안 방법

• IPFS 노드의 라우팅 테이블 항목을 조작하기 위해 libp2p의 연결 관리자(ConnMgr)에 존재하는 설계 결함을 악용한다.
• 대규모의 제어된 멀티플렉스 연결을 설정하여 대상 노드의 라우팅 테이블을 고갈시키고 오염시킨다.
• 오염된 라우팅 테이블을 이용해 대상 노드를 나머지 IPFS 네트워크에서 고립시키고 일식 상태를 달성한다.
• 공용 네트워크 내 실시간 IPFS 노드를 대상으로 종단 간 공격을 수행하여 공격의 가능성과 영향을 검증한다.
• 공격은 별도의 DoS 공격이 필요로 하지 않으며, 오직 연결 폭주와 라우팅 조작에 의존함을 입증한다.
• 네트워크 크기가 증가하는 상황에서 공격의 확장성을 평가하기 위해 시뮬레이션을 수행하여 비용이 네트워크 크기에 비례하여 선형 증가하는 것을 확인한다.

실험 결과

연구 질문

• RQ1 실세계의 프로덕션 수준의 P2P 시스템인 IPFS에 대해 저비용이며 전 세계적인 일식 공격을 수행할 수 있는가?
• RQ2 공격이 네트워크 크기에 따라 효율적으로 확장되는가? 만약 그렇다면, 비용은 네트워크 크기와 어떻게 상관관계를 가지는가?
• RQ3 IPFS의 연결 관리에서 이러한 공격을 가능하게 하는 아키텍처적 및 구현 수준의 취약점은 무엇인가?
• RQ4 실제로 공격이 임의의 노드를 고립시키고 넓은 범위의 IPFS 네트워크를 장애 상태로 만들 수 있는가?
• RQ5 기존의 대응 조치는 이 공격을 얼마나 효과적으로 완화할 수 있으며, 장기적인 보안 강화를 위해 어떤 조치가 필요한가?

주요 결과

• 공격은 오직 연결 관리 조작만으로도 몇 분 내로 임의의 IPFS 노드를 고립시키며, 이는 라우팅 테이블 오염을 통해 달성된다.
• 공격은 DoS 메커니즘을 전혀 사용하지 않아도, 한 시간 이내에 높은 확률로 대상 노드를 완전히 일식 상태로 만들 수 있다.
• 공격은 네트워크 크기에 비례하여 선형적으로 확장되며, 중간 수준의 자원만으로도 전체 공용 IPFS 네트워크를 장애 상태로 만들 수 있다.
• 이 취약성은 libp2p의 ConnMgr에 존재하는 개념적 결함에서 기인했으며, 주요 프로토콜 업데이트 후에도 여전히 지속되었다.
• 연구 결과는 즉각적인 대응 조치를 이끌었으며, IPFS 0.6.1 및 0.7의 출시로 공격 비용을 수 개의 지수 단위 이상 높였다.
• 수정 조치가 이루어졌음에도 불구하고, 연결 관리의 근본적인 아키텍처적 문제는 여전히 완전히 해결하기 어려워, 지속적인 보안 강화가 필요함을 시사한다.