[논문 리뷰] Pisces: Anonymous Communication Using Social Networks

Prateek Mittal, Matthew Wright외 1명|arXiv (Cornell University)|2012. 08. 30.

Internet Traffic Analysis and Secure E-voting참고 문헌 41인용 수 44

한 줄 요약

Pisces는 사회적 네트워크 관계를 활용하여 신뢰 기반의 회로를 구축하는 탈중앙화된 익명 통신 시스템으로, 경로 탈취 공격을 완화하기 위해 편향된 랜덤 워크와 상호적 이웃 정책을 도입하여 악성 노드의 조작을 방지한다. 기존 시스템에 비해 훨씬 높은 익명성을 달성하며, 1회 통신 라운드당 ShadowWalker 대비 최대 6비트 높은 엔트로피를 제공하고, 100라운드 동안 기존의 랜덤 워크 대비 두 배의 엔트로피를 확보한다.

ABSTRACT

The architectures of deployed anonymity systems such as Tor suffer from two key problems that limit user's trust in these systems. First, paths for anonymous communication are built without considering trust relationships between users and relays in the system. Second, the network architecture relies on a set of centralized servers. In this paper, we propose Pisces, a decentralized protocol for anonymous communications that leverages users' social links to build circuits for onion routing. We argue that such an approach greatly improves the system's resilience to attackers. A fundamental challenge in this setting is the design of a secure process to discover peers for use in a user's circuit. All existing solutions for secure peer discovery leverage structured topologies and cannot be applied to unstructured social network topologies. In Pisces, we discover peers by using random walks in the social network graph with a bias away from highly connected nodes to prevent a few nodes from dominating the circuit creation process. To secure the random walks, we leverage the reciprocal neighbor policy: if malicious nodes try to exclude honest nodes during peer discovery so as to improve the chance of being selected, then honest nodes can use a tit-for-tat approach and reciprocally exclude the malicious nodes from their routing tables. We describe a fully decentralized protocol for enforcing this policy, and use it to build the Pisces anonymity system. Using theoretical modeling and experiments on real-world social network topologies, we show that (a) the reciprocal neighbor policy mitigates active attacks that an adversary can perform, (b) our decentralized protocol to enforce this policy is secure and has low overhead, and (c) the overall anonymity provided by our system significantly outperforms existing approaches.

연구 동기 및 목표

• 비정형 사회적 네트워크 구조에서 Byzantine 공격자에 대비할 수 있는 신뢰 인식 탈중앙화 익명 시스템의 부족을 해결하기 위해.
• 중앙 집중식 서버나 구조화된 오버레이에 의존하지 않고도 랜덤 워크를 자신에게 유리하게 편향시키려는 악성 노드를 방지할 수 있는 안전한 탈중앙화된 피어 발굴 방법을 설계하기 위해.
• 중앙 집중적 제어 없이도 상호적 이웃 정책을 이행하여 정직한 노드가 악성 피어를 배제할 수 있도록 보장하기 위해.
• 사회적 신뢰를 활용하여 온리온 라우팅의 익명성을 향상시키면서도 Sybil 공격 및 경로 탈취 공격에 노출되는 것을 최소화하기 위해.
• 실제 사회적 네트워크 구조와 이론적 모델링을 활용하여 시스템의 내성 및 성능을 평가하기 위해.

제안 방법

• 악성 허브 노드의 지배를 방지하기 위해 고도로 연결된 노드에 대한 선호도를 낮춘 사회적 네트워크 그래프에서의 편향된 랜덤 워크를 사용하여 익명 회로의 피어를 선택한다.
• 정직한 노드가 자신을 배제하는 악성 노드를 배제하기 위해 상호적 이웃 정책을 구현하며, 조건부 응답 전략을 통해 조작을 억제한다.
• Whanau를 통해 연락처 목록을 분산 배포하고 무결성 검증하며, 도용 탐지에 위해 암호 기반 서명을 사용한다.
• 부분 온리온 라우팅과 프라이버시 보존 집합 교차 기법을 사용하여 랜덤 워크 중 노드를 검증함으로써 Sybil 공격에 대비하고, 워크 참가자의 신원을 폭 드러내지 않는다.
• 악성 사회적 링크가 일부 존재하더라도 정직한 릴레이를 포함할 가능성이 높은 보호된 랜덤 워크에서 회로를 구성한다.
• 실제 사회적 네트워크 데이터 기반 이론적 모델링과 시뮬레이션을 통해 익명성, 내성 및 오버헤드를 평가한다.

실험 결과

연구 질문

• RQ1 탈중앙화된 익명 시스템이 사회적 신뢰를 활용하여 Byzantine 공격자에 의한 회로 위반 확률을 줄일 수 있는가?
• RQ2 중앙 집중형 서버나 구조화된 오버레이에 의존하지 않고도 비정형 사회적 네트워크 구조에서 안전한 피어 발굴을 어떻게 달성할 수 있는가?
• RQ3 상호적 이웃 정책이 악성 노드를 향해 랜덤 워크를 편향시키려는 활성 공격을 효과적으로 억제할 수 있는가?
• RQ4 노드의 도달 수 편향이 랜덤 워크 기반의 회로 구성에서 내성과 익명성에 어떤 영향을 미치는가?
• RQ5 실제로 Pisces가 기존의 탈중앙화 및 중심 집중형 익명 시스템에 비해 어떤 수준의 익명성을 제공하는가?

주요 결과

• 상호적 이웃 정책 덕분에 악성 노드가 랜덤 워크를 신뢰할 수 있게 조작할 수 없게 되어 경로 탈취 공격의 위험을 크게 감소시킨다.
• 중앙 집중적 제어 없이도 상호적 이웃 정책을 탈중앙화 방식으로 이행함으로써 낮은 통신 및 계산 오버헤드로 강력한 보안을 달성한다.
• 실제 사회적 네트워크 구조를 사용한 결과, Pisces는 1회 통신 라운드당 ShadowWalker 대비 최대 6비트 높은 엔트로피를 제공하여 훨씬 뛰어난 익명성을 입증한다.
• 100회의 통신 라운드 동안 Pisces는 기존의 랜덤 워크(예: Drac 시스템)의 두 배의 엔트로피를 확보하여 장기적인 익명성에서 뛰어난 성능을 보인다.
• 높은 연결도를 가진 노드에 대한 편향과 상호 배제 메커니즘 덕분에 사용자가 소수의 악성 사회적 링크를 가진 상태에서도 시스템이 높은 내성을 유지한다.
• Tor보다 더 높은 지연 시간을 보이는 것은 랜덤 워크의 길이 때문이지만, 이미 구현된 시스템에서 사용되는 바와 같이 사전에 회로를 설정함으로써 이 문제를 완화할 수 있다.