[논문 리뷰] Censors' Delay in Blocking Circumvention Proxies

David A. Fifield, Lynn Tsai|arXiv (Cornell University)|2016. 05. 27.

Internet Traffic Analysis and Secure E-voting참고 문헌 7인용 수 12

한 줄 요약

이 논문은 Tor 브릿지가 Tor 브라우저에서 공개적으로 공개된 이후에 검열자가 브릿지를 차단하는 데까지의 지연 시간을 측정한다. 중국의 대화벽은 브릿지가 공개된 후 2~36일의 변동 가능한 지연 시간 이후에 새로운 브릿지를 차단하는 것으로 밝혀졌으며, 이는 공개된 지속적으로 이용 가능한 상태임에도 불구하고 즉각적인 차단이 이루어지지 않음을 시사한다. 연구 결과에 따르면 차단는 수동 탐지와 자동화된 시행의 조합을 통해 이루어지며, Orbot 전용 브릿지는 여전히 차단되지 않은 것으로 나타나, 검열 전략에서 운영상의 비대칭성이 존재함을 시사한다.

ABSTRACT

Censors of the Internet must continually discover and block new circumvention proxy servers. We seek to understand this process; specifically, the length of the delay between when a proxy first becomes discoverable and when it is actually blocked. We measure this delay in the case of obfuscated Tor bridges, by testing their reachability before and after their introduction into Tor Browser. We test from sites in the U.S., China, and Iran, over a period of five months. China's national firewall blocked new bridges after a varying delay of between 2 and 36 days. Blocking occurred only after end-user software releases, despite bridges being potentially discoverable earlier through other channels. While the firewall eventually discovered the bridges of Tor Browser, those that appeared only in Orbot, a version of Tor for mobile devices, remained unblocked. Our findings highlight the fact that censors can behave in ways that defy intuition, presenting difficulties for threat modeling but also opportunities for evasion.

연구 동기 및 목표

• 토르 브릿지가 공개된 이후 검열자가 실제로 브릿지를 차단하는 데까지의 시간 지연을 이해하는 것.
• 검열자가 브릿지를 발견하자마자 즉시 차단하는지, 아니면 지연을 두고 있는지, 그리고 이러한 지연에 영향을 주는 요소는 무엇인지 조사하는 것.
• 다른 배포 채널(예: 토르 브라우저 대비 오르봇)이 서로 다른 차단 행동을 유도하는지 평가하는 것.
• 특히 자동화된 프로세스와 수동 프로세스 간의 균형을 고려할 때 검열 시스템의 운영 메커니즘을 탐구하는 것.
• 프oxy 차단의 시기와 패턴을 분석하여 잠재적인 회피 기회를 식별하는 것.

제안 방법

• 토르 브라우저 배포 이전 및 이후에 미국, 중국, 이란의 프로브 사이트에서 오버클라프드 토르 브릿지의 가용성 테스트를 수행했다.
• 다섯 달 간 브릿지 가용성을 모니터링하여, 브릿지가 토르 브라우저 배포에서 처음으로 공개된 이후 첫 번째 차단까지의 시간 창을 집중적으로 분석했다.
• 지리적으로 다양한 위치에서 자동화된 프로빙을 사용하여 차단 사건을 탐지하고 초기 가용성 지속 시간을 측정했다.
• 안정판, 알파판, 나이트리 리포지터리 등 여러 토르 브라우저 배포 배치에 대한 차단 패턴을 분석했다.
• 차단 시점의 요일 및 시간대 데이터를 수집하여, 차단이 수동인지 자동화된 프로세스인지 추론하는 데 사용했다.
• 토르 브라우저에 포함된 브릿지와 오르봇 전용 브릿지 간의 차단 행동을 비교했다.

실험 결과

연구 질문

• RQ1 특히 중국의 대화벽은 새로 공개된 오버클라프드 토르 브릿지를 얼마나 오래 지연 후에 차단하는가?
• RQ2 배포 채널(예: 토르 브라우저 대비 오르봇)에 따라 차단 지연 시간이 달라지는가?
• RQ3 차단 결정은 자동으로 이루어지는가 아니면 수동 프로세스를 통해 이루어지는가? 이를 뒷받침하는 증거는 무엇인가?
• RQ4 왜 일부 브릿지는 공개적으로 이용 가능한 상태임에도 불구하고 오르봇 전용 브릿지처럼 차단되지 않는가?
• RQ5 관찰된 지연 패턴은 더 강력한 회피 전략을 설계하는 데 활용될 수 있는가?

주요 결과

• 중국의 대화벽은 토르 브라우저에 공개된 이후, 새로운 토르 브릿지를 2~36일의 지연 후에 차단했다.
• 중국의 차단는 소스 코드에 브릿지 주소가 공개된 직후가 아니라, 공식적인 토르 브라우저 소프트웨어 배포 이후에만 발생했다.
• 오르봇 전용 브릿지는 공개적으로 이용 가능한 상태임에도 불구하고 차단되지 않았으며, 이는 배포 채널 간에 다르게 대응하는 전략이 존재함을 시사한다.
• 중국의 차단 이벤트는 평일에만 발생했고, 특정 시간대(UTC 02:40, 06:00, 09:00)에 집중되어 있었으며, 이는 수동 탐지와 주기적인 자동화된 시행의 조합을 반영한다.
• 이ран에서는 알려진 검열 메커니즘이 존재함에도 불구하고 기본 브릿지의 차단이 관찰되지 않았으며, 이는 브릿지 차단이 모든 정권에서 일관되거나 보편적인 전략은 아님을 시사한다.
• 관찰된 지연 시간은 새로운 브릿지를 평균 차단 지연 시간(n)보다 하루 전에 배포함으로써 회피 전략을 강화할 수 있음을 시사한다.