[論文レビュー] Harvesting SSL Certificate Data to Identify Web-Fraud

Mishari Al Mishari, Emiliano De Cristofaro+2 more|arXiv (Cornell University)|Sep 21, 2009

Spam and Phishing Detection参考文献 30被引用数 14

ひとこと要約

本稿では、SSL証明書メタデータの分析を通じてHTTPSベースのWeb詐欺ドメインを検出する新規手法を提案する。信頼できるドメインと詐欺的ドメインの間の証明書特性の違いを活用し、包括的な測定調査と訓練済み分類器を用いることで、SSL証明書データ内の特徴的なパターンを介してフィッシングおよび誤字スラッシングドメインを高い正確性で同定する。

ABSTRACT

Web-fraud is one of the most unpleasant features of today's Internet. Two well-known examples of fraudulent activities on the web are phishing and typosquatting. Their effects range from relatively benign (such as unwanted ads) to downright sinister (especially, when typosquatting is combined with phishing). This paper presents a novel technique to detect web-fraud domains that utilize HTTPS. To this end, we conduct the first comprehensive study of SSL certificates. We analyze certificates of legitimate and popular domains and those used by fraudulent ones. Drawing from extensive measurements, we build a classifier that detects such malicious domains with high accuracy.

研究の動機と目的

• 暗号化接続を悪用して検出を回避する、増加するHTTPSベースのWeb詐欺（フィッシングおよび誤字スラッシングを含む）の脅威に対処する。
• SSL証明書メタデータに、信頼できるドメインと詐欺的ドメインの間で区別可能な特徴が含まれるかどうかを調査する。
• SSL証明書データを活用して、高い正確性で悪意あるドメインを検出する分類器を開発する。

提案手法

• 本研究では、信頼できる人気ドメインおよび既知の詐欺的ドメインからのSSL証明書について包括的な測定を実施する。
• 発行者、有効期間、鍵サイズ、および代替ドメイン名などの証明書属性を抽出・分析し、区別可能なパターンを同定する。
• 抽出された証明書特徴に基づいてトレーニングされた機械学習分類器を用いて、信頼できるドメインと悪意あるドメインを区別する。
• 既知の詐欺的および信頼できるドメインからのラベル付きデータを用いて教師あり学習を実施し、新しいドメインの悪意の有無を予測する。

実験結果

リサーチクエスチョン

• RQ1 SSL証明書メタデータは、信頼できるドメインと詐欺的ドメインの間で区別可能な特徴を明らかにできるか？
• RQ2 詐欺的ドメインは、信頼できるドメインと比較して、SSL証明書属性に体系的な違いを示すか？
• RQ3 SSL証明書データでトレーニングされた分類器は、どの程度の正確性でフィッシングおよび誤字スラッシングドメインを検出できるか？

主な発見

• 詐欺的ドメインは、発行者、有効期間、鍵サイズなどのSSL証明書属性において、信頼できるドメインと統計的に有意な差を示す。
• 分類器は、SSL証明書メタデータのみに依存して、悪意あるドメインを高い正確性で同定することができる。
• 短い有効期間や非標準の発行者といった特定の証明書パターンは、詐欺的ドメインと強く関連している。
• 本研究では、SSL証明書データそのものが、HTTPS環境におけるWeb詐欺検出の信頼できるシグナルであることを示している。