[論文レビュー] Octopus: A Secure and Anonymous DHT Lookup

Qiyan Wang, Nikita Borisov|arXiv (Cornell University)|Mar 12, 2012

Peer-to-Peer Network Technologies参考文献 25被引用数 5

ひとこと要約

Octopusは、積極的な悪意あるノード検出、複数の匿名経路へのクエリ分割、ダミークエリの挿入を組み合わせることで、強力なセキュリティとほぼ最適な匿名性を達成する画期的なDHTルックアッププロトコルである。100,000ノードのネットワークに20%の悪意あるノードが存在する状況で、イニシエータの情報漏洩は0.57ビット、ターゲットの情報漏洩は0.82ビットにまで低下し、低遅延と管理可能な通信オーバーヘッドを維持している。これはPlanetLab上で実現された。

ABSTRACT

Distributed Hash Table (DHT) lookup is a core technique in structured peer-to-peer (P2P) networks. Its decentralized nature introduces security and privacy vulnerabilities for applications built on top of them; we thus set out to design a lookup mechanism achieving both security and anonymity, heretofore an open problem. We present Octopus, a novel DHT lookup which provides strong guarantees for both security and anonymity. Octopus uses attacker identification mechanisms to discover and remove malicious nodes, severely limiting an adversary's ability to carry out active attacks, and splits lookup queries over separate anonymous paths and introduces dummy queries to achieve high levels of anonymity. We analyze the security of Octopus by developing an event-based simulator to show that the attacker discovery mechanisms can rapidly identify malicious nodes with low error rate. We calculate the anonymity of Octopus using probabilistic modeling and show that Octopus can achieve near-optimal anonymity. We evaluate Octopus's efficiency on Planetlab with 207 nodes and show that Octopus has reasonable lookup latency and manageable communication overhead.

研究の動機と目的

• DHTベースのP2Pネットワークにおける、強力なセキュリティと高い匿名性を両立するという未解決の問題に取り組むこと。
• 冗長な送信に依存しない actively 攻撃に耐性のあるDHTルックアップメカニズムを設計すること。これは、メタデータの漏洩を引き起こす可能性がある。
• 攻撃者からクエリのイニシエータおよびターゲットを隠蔽することで、匿名なルックアップを可能にすること。
• 現実的な脅威モデル下で、提案されたシステムの実世界におけるパフォーマンスと匿名性保証を評価すること。
• 大規模なP2Pネットワークにおけるセキュリティ、匿名性、効率性のバランスを取った実用的でスケーラブルなソリューションを提供すること。

提案手法

• Octopusは、イベントベースのシミュレータを用いて、積極的な攻撃者同定メカニズムにより悪意あるノードを検出し、排除する。
• 個々のルックアップクエリを複数の独立した匿名経路に分割することで、クエリの真正のターゲットを隠蔽する。
• 別々の経路にダミークエリを挿入することで、ルックアップパターンの相関を試みる攻撃者をさらに混乱させる。
• 中央集権的機関に依存せず、ルーティングテーブルの境界チェックなどの秘密のセキュリティチェックを用いて、悪意あるノードを検出し、隔離する。
• 確率的モデリングとシミュレーションを用いて、実際の情報漏洩を定量的に評価し、匿名性保証の正確な測定を可能にする。
• PlanetLabネットワークに207ノードを用いて実世界での展開を実施し、ChordおよびHaloと比較して、ルックアップ遅延と通信オーバーヘッドの両面からシステム効率を評価する。

実験結果

リサーチクエスチョン

• RQ1 冗長な送信によるメタデータ漏洩に依存せず、DHTルックアップシステムが強力なセキュリティと高い匿名性を両立できるか？
• RQ2 部分的な敵対モデルを想定した分散型DHT環境において、悪意あるノードはどの程度効果的に検出され、排除されるか？
• RQ3 クエリ分割とダミークエリの挿入は、ルックアップのイニシエータおよびターゲットに関する情報漏洩をどの程度低減できるか？
• RQ4 現実のネットワーク条件下で、Octopusの匿名性は先行研究と比較してどのように定量的に評価できるか？
• RQ5 強力な匿名性とセキュリティを達成するにあたり、ルックアップ遅延および通信オーバーヘッドという観点から、実世界でのパフォーマンスコストはどの程度か？

主な発見

• 20%の悪意あるノードが存在するネットワークにおいて、Octopusは攻撃ノードを30分以内にすべて同定し、低誤検出率を達成した。
• 100,000ノードのネットワークに20%の悪意あるノードが存在する状況で、Octopusはほぼ最適な匿名性を達成し、イニシエータに関する情報漏洩は0.57ビット、ターゲットに関する情報漏洩は0.82ビットにまで低下した。
• 確率的モデリングとシミュレーションによると、この匿名性は、イニシエータに関しては先行研究の6倍、ターゲットに関しては4倍優れている。
• PlanetLab上での実装において、OctopusはChordと同等のルックアップ遅延を達成し、Haloよりも優れた性能を示した。これは実用的な効率性を示している。
• 通信オーバーヘッドは管理可能であり、ノード1つあたり数kbpsにとどまり、大規模な展開に適している。
• 冗長な送信に依存しないプロアクティブな悪意あるノード検出の恩恵により、OctopusはHaloよりも攻撃に対する耐性が高く、優れた性能を発揮した。