[논문 리뷰] Counter-RAPTOR: Safeguarding Tor Against Active Routing Attacks

Yixin Sun, Anne Edmundson외 3명|arXiv (Cornell University)|2017. 04. 04.

Internet Traffic Analysis and Secure E-voting참고 문헌 14인용 수 7

한 줄 요약

이 논문은 루트 릴레이 선택 알고리즘과 실시간 BGP 모니터링 시스템을 통해 악성 BGP 라우팅 공격으로부터 클라이언트의 내성적 저항력을 사전에 향상시키는 이중 방어 시스템인 Counter-RAPTOR를 제안한다. 이 접근 방식은 평균적으로 클라이언트의 프리픽스 히잡 공격 노출을 최대 36% 감소시키며, 가짜 경고율이 0.19%인 실시간 시뮬레이션 및 실제 세계의 히잡 공격을 탐지할 수 있다.

ABSTRACT

Tor is vulnerable to network-level adversaries who can observe both ends of the communication to deanonymize users. Recent work has shown that Tor is susceptible to the previously unknown active BGP routing attacks, called RAPTOR attacks, which expose Tor users to more network-level adversaries. In this paper, we aim to mitigate and detect such active routing attacks against Tor. First, we present a new measurement study on the resilience of the Tor network to active BGP prefix attacks. We show that ASes with high Tor bandwidth can be less resilient to attacks than other ASes. Second, we present a new Tor guard relay selection algorithm that incorporates resilience of relays into consideration to proactively mitigate such attacks. We show that the algorithm successfully improves the security for Tor clients by up to 36% on average (up to 166% for certain clients). Finally, we build a live BGP monitoring system that can detect routing anomalies on the Tor network in real time by performing an AS origin check and novel detection analytics. Our monitoring system successfully detects simulated attacks that are modeled after multiple known attack types as well as a real-world hijack attack (performed by us), while having low false positive rates.

연구 동기 및 목표

• Tor 네트워크가 액티브한 BGP 프리픽스 히잡 및 가로채기 공격에 얼마나 취약한지, 특히 AS의 내성적 저항력에 초점을 맞춰 측정한다.
• 클라이언트가 액티브한 라우팅 공격으로부터의 노출을 줄이기 위해 AS 내성적 저항 지표를 통합한 사전적 가드 릴레이 선택 알고리즘을 설계하고 구현한다.
• 낮은 가짜 경고율로 Tor 네트워크에서의 라우팅 이상 현상을 탐지할 수 있는 실시간 BGP 모니터링 시스템을 구축하고 구현한다.
• 액티브한 BGP 공격에 대응하는 사전 및 반응형 방어 조치의 효과성을 평가한다.

제안 방법

• 저자들은 네트워크 구조 및 공의 데이터를 기반으로, BGP 프리픽스 히잡 공격 중 클라이언트가 속임을 당할 가능성을 정량화하기 위해 AS 내성적 저항 지표를 적응적으로 활용한다.
• 티어 1 AS의 가로채기 공격를 모델링하기 위해 이 내성적 저항 지표를 확장하여, 클라이언트 트래픽이 악성 AS로 재定向될 가능성을 평가한다.
• 대역폭과 AS 내성적 저항도 함께 최적화하는 새로운 가드 릴레이 선택 알고리즘을 제안하여, 히잡 공격에 노출될 위험을 최소화한다.
• BGPStream에서 제공하는 실시간 BGP 업데이트와 시간 간격별로 갱신되는 Tor 공의 데이터를 활용해 실시간 BGP 모니터링 시스템을 구축한다.
• 이 시스템은 AS 원본 확인 기능과 새로운 분석 기법—과거 데이터 기반의 빈도 및 시간 기반 임계값—을 사용하여 실제 공격와 양호한 변동을 구분한다.
• 반복적인 발표를 필터링하고 중복된 공격 데이터를 생략함으로써 가짜 경고를 줄인다.

Figure 1 : Hijack Resilience for Tor-related ASes.

실험 결과

연구 질문

• RQ1 특히 높은 Tor 대역폭을 보유한 AS에서, 현재 Tor 네트워크는 액티브한 BGP 프리픽스 히잡 공격에 얼마나 내성적일까?
• RQ2 AS 내성적 저항 지표를 기반으로 한 사전적 가드 릴레이 선택이 프리픽스 히잡 공격으로부터 클라이언트의 노출을 얼마나 줄일 수 있을까?
• RQ3 실시간 BGP 모니터링 시스템은 시뮬레이션된 공격과 실제 세계의 BGP 히잡 공격을 낮은 가짜 경고율로 탐지할 수 있을까?
• RQ4 클라이언트의 위치와 AS 토폴로지가 라우팅 공격에 대한 Tor 클라이언트의 내성적 저항력에 어떻게 영향을 미칠까?
• RQ5 내성적 저항을 고려한 릴레이 선택 알고리즘에서 보안(내성적 저항)과 성능 간의 상호 교환 관계는 어떠한가?

주요 결과

• OVH(AS 16276)와 같은 높은 Tor 대역폭을 보유한 AS는 히잡 공격에 대해 낮은 내성적 저항을 보이며, 내성적 저항 점수가 0.408에 불과해 클라이언트가 속임을 입을 가능성이 약 60%에 이른다.
• 제안된 가드 릴레이 선택 알고리즘은 평균적으로 클라이언트의 프리픽스 히잡 공격에 대한 내성적 저항을 최대 36% 향상시키며, 일부 클라이언트의 경우 최대 166%까지 향상시키지만, 성능 손실은 극히 미미하다.
• 실시간 BGP 모니터링 시스템은 알려진 공격 유형을 모델링한 시뮬레이션된 공격과 저자들이 수행한 실제 세계의 히잡 공격을 모두 가짜 경고율 0.19%로 탐지할 수 있었다.
• 시스템은 대부분의 Tor 릴레이 프리픽스 발표가 단일 AS에서 이루어지므로, 원본 및 분석 검사 기반으로 효과적인 이상 탐지가 가능하다는 것을 확인했다.
• AS 원본 확인과 빈도 및 시간 기반 분석을 조합하면 가짜 경고가 크게 감소하여 탐지 신뢰도가 향상된다.
• 정확한 경로 예측이 아닌 연결성 지표를 사용하기 때문에, AS 경로 추론의 부정확성에 대해 내성적 저항 지표는 강건하다.

Figure 2 : Hijack Resilience and Corresponding Bandwidth per AS. OVH and S.A.S are clear outliers.