[논문 리뷰] ProxyTorrent: Untangling the Free HTTP(S) Proxy Ecosystem

Diego Perino, Matteo Varvello외 1명|arXiv (Cornell University)|2016. 12. 19.

Internet Traffic Analysis and Secure E-voting참고 문헌 9인용 수 7

한 줄 요약

ProxyTorrent는 Chrome 플러그인을 통해 수동으로 수집한 사용자 데이터와 능동적 탐색을 결합한 분산 측정 플랫폼으로, 무료 HTTP(S) 프록시 생태계를 분석한다. 이 플랫폼은 공개된 프록시 중 기능성이 있는 비율이 2% 미만이며, 성능이 사용 가능한 경우는 절반에 불과하고, 약 10%는 광고 삽입 및 TLS 인터셉션과 같은 악성 행동을 보이는 것으로 드러났다. 이러한 악성 행동을 보이는 프록시는 종종 빠른 성능을 자랑하여 '무료이지만 이유가 있다'는 가설을 뒷받对方한다.

ABSTRACT

Free web proxies promise anonymity and censorship circumvention at no cost. Several websites publish lists of free proxies organized by country, anonymity level, and performance. These lists index hundreds of thousand of hosts discovered via automated tools and crowd-sourcing. A complex free proxy ecosystem has been forming over the years, of which very little is known. In this paper we shed light on this ecosystem via ProxyTorrent, a distributed measurement platform that leverages both active and passive measurements. Active measurements discover free proxies, assess their performance, and detect potential malicious activities. Passive measurements relate to proxy performance and usage in the wild, and are collected by free proxies users via a Chrome plugin we developed. ProxyTorrent has been running since January 2017, monitoring up to 180,000 free proxies and totaling more than 1,500 users. Our analysis shows that less than 2% of the proxies announced on the web indeed proxy traffic on behalf of users; further, only half of these proxies have decent performance and can be used reliably. Around 10% of the working proxies exhibit malicious behaviors, e.g., ads injection and TLS interception, and these proxies are also the ones providing the best performance. Through the analysis of more than 2 Terabytes of proxied traffic, we show that web browsing is the primary user activity. Geo-blocking avoidance is not a prominent use-case, with the exception of countries hosting popular geo-blocked content.

연구 동기 및 목표

• 무료 HTTP(S) 프록시 생태계의 규모, 신뢰성, 보안 수준을 이해하기 위해, 널리 사용되고 있음에도 불구하고 거의 탐색되지 않은 분야를 조사한다.
• 매일 수십만 개가 공개되는 프록시 중 실제로 기능성 있고 신뢰할 수 있는 프록시의 실제 수를 파악한다.
• 실제 환경에서의 익명성, 성능, 잠재적 오남용과 관련된 사용자 행동 및 프록시 사용 패턴을 조사한다.
• 능동적 탐색과 수동 모니터링을 모두 가능하게 하는 확장성 있고 분산된 측정 플랫폼을 개발한다.

제안 방법

• 필터 기반 테스트 파이프라인을 통한 능동적 측정: 프록시 목록 크롤링, 접근 가능성 테스트, 프록시 전달 정확성 검증, TLS 인증서 유효성 검사를 위해 특수 제작된 '유인' 웹 페이지를 사용한다.
• 약 30개의 글로벌 네트워크 위치(PlanetLab 노드)에서 신뢰할 수 있는 프록시의 성능 벤치마킹을 수행하여, HTTP 및 HTTPS를 통해 인기 있는 웹사이트에 접근한다.
• 익명성 수준과 국가 기반으로 프록시 선택이 가능한 프라이버시를 보존하는 Chrome 플러그인(Ciao)을 배포한다.
• 7개월 간 1,500명의 Ciao 사용자로부터 수동 데이터 수집을 통해 2TB 이상의 프록시 트래픽을 확보하여 실제 사용 환경 분석을 수행한다.
• 프록시 성능, 지리적 위치, 사용자 행동 간 상관관계 분석을 통해 사용 패턴을 추론하고 악성 프록시를 탐지한다.
• 콘텐츠 비교 및 TLS 점검 기법을 활용하여 광고 삽입, 중간자 공격 등 프록시 오작동 여부를 탐지한다.

실험 결과

연구 질문

• RQ1 공개된 무료 프록시 중 실제로 기능성 있고 트래픽을 라우팅할 수 있는 비율은 얼마인가?
• RQ2 기능성 있는 프록시의 성능은 지리적 지역 간에 어떻게 비교되며, 성능 변동성에 기여하는 요인은 무엇인가?
• RQ3 기능성 있는 프록시 중 광고 삽입 또는 TLS 인터셉션과 같은 악성 행동을 보이는 비율은 얼마이며, 이러한 행동은 성능과 어떻게 관련이 있는가?
• RQ4 실제 환경에서 무료 프록시의 주요 사용 패턴은 무엇이며, 지오블로킹 회피가 주요 사용 목적인가?
• RQ5 사용자들은 실제로 프록시를 어떻게 선택하며, 그 선택은 공언된 익명성 목표와 일치하는가?

주요 결과

• 모든 공개된 무료 프록시 중 기능성이 있는 비율은 2% 미만이며, 이 중 절반만이 장기간에 걸쳐 안정적인 성능을 유지한다.
• 기능성 있는 프록시 약 10%가 광고 삽입 또는 TLS 인터셉션과 같은 악성 행동을 보이며, 이러한 프록시는 종종 가장 빠른 성능을 자랑하여 '무료이지만 이유가 있다'는 가설을 지지한다.
• 웹 브라우징이 주요 사용 활동로, 프록시 트래픽의 대부분을 차지한다. 다운로드의 95%는 1분 이내에 완료되며 평균 크기는 500KB이다.
• 지오블로킹 회피는 전반적으로 주요 사용 사례는 아니지만, 미국과 같은 국가에서는 특정 사이트 트래픽의 60%가 지오로컬라이제이션되어 있어 퓨피나 넷플릭스와 같은 인기 지오블로킹 서비스 접근을 위한 것으로 보인다.
• Ciao 플러그인 사용자들은 고급 익명성 수준을 제공하는 프록시보다 익명성 프록시(70%)를 선호하며, 이는 이름 혼동으로 인해 발생할 수 있다.
• 짧지 않은 지속 시간과 높은 트래픽량을 가진 다운로드(최대 몇 GB)가 소수 존재하여 영상 스트리밍이나 소프트웨어 다운로드가 가능한 것으로 보이나, 이러한 세션 동안 추가적인 브라우징 활동은 관찰되지 않았다.