[논문 리뷰] Website Detection Using Remote Traffic Analysis

Xun Gong, Negar Kiyavash외 2명|arXiv (Cornell University)|2011. 09. 01.

Internet Traffic Analysis and Secure E-voting참고 문헌 9인용 수 4

한 줄 요약

이 논문은 원격 공격자가 홈 브로드밴드 라우터의 대기열 사이드채널을 악용하여 원격 측정 지점에서부터 보낸 프로브 패킷의 대기열 지연을 분석함으로써 사용자의 브라우징 활동을 유추하는 원격 웹사이트 탐지 공격을 제시한다. 패킷 크기 시계열에 대해 동적 시간 왜곡(DTW)을 적용한 방법은 노이즈가 많고 간접적인 측정에도 불구하고 많은 유명 웹사이트에 대해 낮은 거짓 양성률을 달성하며, 암호화된 웹 트래픽에서 중요한 프라이버시 위협을 드러낸다.

ABSTRACT

Recent work in traffic analysis has shown that traffic patterns leaked through side channels can be used to recover important semantic information. For instance, attackers can find out which website, or which page on a website, a user is accessing simply by monitoring the packet size distribution. We show that traffic analysis is even a greater threat to privacy than previously thought by introducing a new attack that can be carried out remotely. In particular, we show that, to perform traffic analysis, adversaries do not need to directly observe the traffic patterns. Instead, they can gain sufficient information by sending probes from a far-off vantage point that exploits a queuing side channel in routers. To demonstrate the threat of such remote traffic analysis, we study a remote website detection attack that works against home broadband users. Because the remotely observed traffic patterns are more noisy than those obtained using previous schemes based on direct local traffic monitoring, we take a dynamic time warping (DTW) based approach to detecting fingerprints from the same website. As a new twist on website fingerprinting, we consider a website detection attack, where the attacker aims to find out whether a user browses a particular web site, and its privacy implications. We show experimentally that, although the success of the attack is highly variable, depending on the target site, for some sites very low error rates. We also show how such website detection can be used to deanonymize message board users.

연구 동기 및 목표

• 암호화된 웹 트래픽에 대해 직접 트래픽 모니터링 없이도 웹사이트 지문 분석이 가능한지 조사하는 것.
• 홈 브로드밴드 라우터의 대기열 사이드채널을 식별하고 악용하여 원격 측정 지점에서 트래픽 패턴을 유추하는 것.
• 원격 프로빙으로부터 노이즈가 많고 간접적인 측정 데이터를 다룰 수 있는 강건한 탐지 방법을 개발하는 것.
• 실제 프로빙과 시뮬레이션 테스트 환경을 활용한 원격 웹사이트 탐지의 실현 가능성과 정확도를 평가하는 것.
• 이러한 공격이 프라이버시에 미치는 영향, 특히 메시지 보드 사용자의 디아노니마이제이션 가능성을 입증하는 것.

제안 방법

• 공격은 원격 서버에서 보낸 프로브 패킷을 통해 마지막 마일 지점의 DSL 링크에서의 대기열 지연을 측정하여 라우터 대기열 상태를 추론한다.
• 노이즈가 있는 측정에도 불구하고 정확한 매칭을 가능하게 하기 위해, 프로브 결과와 학습 프로파일 간의 패킷 크기 순서를 동적 시간 왜곡(DTW)으로 비교하는 방법을 사용한다.
• 웹사이트 지문을 위한 학습 프로파일을 생성하기 위해 시뮬레이션된 DSL 링크와 통제된 환경을 사용한 가상 테스트베드를 구축했다.
• 미국의 실재 홈 DSL 링크에서 수집한 프로브 트레이스를 실험실에서 생성한 학습 프로파일과 비교하여 웹사이트 방문을 탐지한다.
• 공격은 패킷 간격이나 수량만을 기반으로 하지 않으며, 환경 변화에 대한 내성을 높이기 위해 패킷 크기의 전체 시계열을 활용한다.
• 공격는 공격자가 실제 트래픽을 관찰할 수 없더라도, 타겟 사이트의 트래픽 패턴이 프로브 유도 대기열 동역학에서 식별 가능하다는 가정에 기반한다.

실험 결과

연구 질문

• RQ1 프로브 기반 대기열 지연 측정만으로도 원격에서 웹사이트 탐지가 가능한가?
• RQ2 노이즈가 많고 간접적인 원격 트래픽 트레이스에서 동적 시간 왜곡(DTW)이 웹사이트 지문 탐지에 얼마나 효과적인가?
• RQ3 시험 환경과 실제 환경 간의 환경적 차이(예: 시험지점 vs. 실제 위치)가 탐지 정확도에 어떤 영향을 미치는가?
• RQ4 원격 트래픽 분석을 통해 특정 웹사이트 방문을 탐지함으로써 메시지 보드 사용자의 디아노니마이제이션을 가능하게 할 수 있는가?
• RQ5 다양한 웹사이트 간에 원격 웹사이트 탐지 성능은 어떻게 변동하며, 탐지 성공에 영향을 주는 요소는 무엇인가?

주요 결과

• 원격 웹사이트 탐지 공격는 테스트한 1,000개의 유명 웹사이트 중 상당수에 대해 매우 낮은 거짓 양성률로 방문을 성공적으로 식별했다.
• 원격 측정의 노이즈가 많음에도 불구하고, DTW 기반 방법은 특히 학습 데이터와 테스트 데이터가 동일한 지리적 위치에서 수집된 경우 많은 웹사이트에 대해 높은 탐지 정확도를 달성했다.
• 연구 결과, 탐지 성능은 웹사이트 간에 크게 차이가 났으며, 일부 사이트는 거의 완벽한 정확도로 탐지 가능했고, 다른 사이트는 식별하기 매우 어려웠다.
• 이 공격는 원격 트래픽 분석이 사용자 프라이버시에 대한 실현 가능하고 저비용의 위협임을 입증하며, 공격자가 피해자의 트래픽에 직접 접근하지 않고도 낮은 대역폭으로 원격 서버에서 수행할 수 있음을 보여준다.
• 연구자들은 학습 환경과 테스트 환경 간의 환경적 차이로 인해 정확도 손실이 발생하는 것을 관측했으며, 이는 최적 성능을 위해 사이트별 캘리브레이션 필요성을 시사한다.
• 결과는 간접적이고 원격적인 프로빙조차도 특정 웹사이트(예: 메시지 보드)를 방문하는 사용자의 브라우징 행동을 알려진 트래픽 패턴과 연관지켜 디아노니마이제이션을 가능하게 할 정도로 충분한 정보를 泄露할 수 있음을 확인한다.