[논문 리뷰] One Bad Apple Spoils the Bunch: Exploiting P2P Applications to Trace and Profile Tor Users

Stevens Le Blond, Pere Manils외 5명|arXiv (Cornell University)|2011. 03. 08.

Internet Traffic Analysis and Secure E-voting참고 문헌 10인용 수 49

한 줄 요약

이 논문은 Tor에서 작동하는 BitTorrent과 같은 비보안 페어 투 페어(P2P) 애플리케이션을 악용하여 보안성과 익명성이 확보된 애플리케이션의 사용자를 추적하고 프로파일링할 수 있음을 입증한다. BitTorrent 트래커 응답을 가로채거나 DHT 통계적 패턴을 활용하여, 저자들은 23일간 10,000명의 Tor 사용자를 추적했으며, Tor의 스트림 멀티플렉싱로 인해 비-P2P 트래픽 중 193% 더 많은 스트림—특히 27%의 HTTP 스트림—이 이들 사용자와 연결됨을 확인했다. 이는 익명성 네트워크에서 심각한 프라이버시 취약점을 드러낸다.

ABSTRACT

Tor is a popular low-latency anonymity network. However, Tor does not protect against the exploitation of an insecure application to reveal the IP address of, or trace, a TCP stream. In addition, because of the linkability of Tor streams sent together over a single circuit, tracing one stream sent over a circuit traces them all. Surprisingly, it is unknown whether this linkability allows in practice to trace a significant number of streams originating from secure (i.e., proxied) applications. In this paper, we show that linkability allows us to trace 193% of additional streams, including 27% of HTTP streams possibly originating from "secure" browsers. In particular, we traced 9% of Tor streams carried by our instrumented exit nodes. Using BitTorrent as the insecure application, we design two attacks tracing BitTorrent users on Tor. We run these attacks in the wild for 23 days and reveal 10,000 IP addresses of Tor users. Using these IP addresses, we then profile not only the BitTorrent downloads but also the websites visited per country of origin of Tor users. We show that BitTorrent users on Tor are over-represented in some countries as compared to BitTorrent users outside of Tor. By analyzing the type of content downloaded, we then explain the observed behaviors by the higher concentration of pornographic content downloaded at the scale of a country. Finally, we present results suggesting the existence of an underground BitTorrent ecosystem on Tor.

연구 동기 및 목표

• 비보안 P2P 애플리케이션이 Tor에 존재할 경우, 보안성과 익명성이 확보된 애플리케이션 사용자를 추적하고 프로파일링하는 데 악용될 수 있는지 조사하기.
• 한 개의 비보안 애플리케이션이 공유된 Tor 회로를 통해 모든 스트림의 익명성을 해칠 수 있는 '나쁜 사과' 공격의 실제 적용 가능성과 스케일 평가하기.
• 특히 BitTorrent 및 웹 브라우징 패턴에 중점을 두고, 추적된 IP 주소를 기반으로 Tor 사용자의 지리적 및 행동적 프로필 분석하기.
• 특정 국가에서 높은 Tor 사용률이 발생하는 사회학적 및 기술적 요인 분석, 특히 콘텐츠 유형과의 관계 파악하기.
• 현대 익명성 네트워크에서 '나쁜 사과' 공격에 대비한 방어 전략 제안 및 평가하기.

제안 방법

• 6개의 Tor 출구 노드를 장비하여, 트래커 응답 가로채기와 DHT 기반 시간 분석을 통해 BitTorrent 트래픽을 모니터링하고 조작하기.
• 실세계에서 23일간 공격을 시행하며, 윤리 기준을 준수하기 위해 비개인정보 데이터(ASN 및 국가)만 수집하기.
• 추적된 BitTorrent 사용자의 IP 주소를 활용해, 다양한 국가에서의 웹 브라우징 행동을 연관 분석하고 프로파일링하기.
• 국가 수준의 불균형을 설명하기 위해 다운로드된 콘텐츠 유형 분석을 수행하며, 특히 포르노그래픽 콘텐츠에 중점을 두기.
• 응용 프로그램 전용 회로, 포트 기반 격리, 단일 스트림 회로 등의 잠재적 방어 조치 평가하며, 각각의 한계성 기록하기.
• 나쁜 사과 효과를 통해 추가로 연결된 스트림 수를 측정하여 공격의 확장성과 영향력 검증하기.

실험 결과

연구 질문

• RQ1 Tor에서 비보안 P2P 애플리케이션이 보안성과 익명성이 확보된 애플리케이션 사용자를 추적하고 프로파일링하는 데 악용될 수 있는가?
• RQ2 Tor의 회로 간 스트림 멀티플렉싱는 비-P2P 트래픽이 비보안 애플리케이션을 사용하는 사용자와 연결되는 데 얼마나 기여하는가?
• RQ3 Tor에서의 BitTorrent 사용자의 지리적 및 행동적 프로필은 비-Tor BitTorrent 사용자와 어떻게 다를까?
• RQ4 특히 포르노그래픽 콘텐츠를 포함한 특정 콘텐츠 유형의 높은 집중도가 Tor 사용의 지역적 격차를 설명할 수 있는가?
• RQ5 실세계 익명성 네트워크에서 '나쁜 사과' 공격에 대비한 제안된 방어 조치의 실용적 한계와 상충 요소는 무엇인가?

주요 결과

• 나쁜 사과 공격 덕분에 BitTorrent 스트림 외에도 193% 더 많은 스트림이 추적되었으며, 이 중 27%는 보안 브라우저에서 기인할 가능성이 있는 HTTP 스트림이 포함되어 있었다.
• 23일간의 기간 동안 공격은 10,000개의 Tor 사용자 IP 주소를 폭 드러내었으며, 이는 현재까지 알려진 바에서 가장 많은 사용자를 추적한 Tor 공격로 기록되었다.
• 장비된 출구 노드를 통해 전달된 모든 Tor 스트림 중 9%가 추적되었으며, 이는 공격의 실질적 영향력이 크다는 것을 입증한다.
• 특정 국가에서는 비-Tor BitTorrent 사용자 대비 Tor에서의 BitTorrent 사용자가 과도하게 높은 비율로 나타나며, 주로 국가 수준에서 포르노그래픽 콘텐츠 다운로드 비율이 높기 때문이다.
• 이 연구는 Tor에서 익명의 BitTorrent 생태계가 존재할 가능성을 입증하며, 이는 조정된 또는 숨겨진 사용 패턴을 시사한다.
• 단일 스트림 회로나 응용 프로그램 전용 격리와 같은 방어 조치는 운영 체제 수준의 제약과 잠재적 우회 공격로 인해 기술적으로 구현이 어렵다.