[논문 리뷰] Representing Network Trust and Using It to Improve Anonymous Communication

Aaron D. Jaggard, Aaron Johnson외 2명|arXiv (Cornell University)|2014. 06. 13.

Internet Traffic Analysis and Secure E-voting참고 문헌 11인용 수 4

한 줄 요약

이 논문은 사용자가 지정한 신뢰도를 토르 네트워크 요소—예를 들어 릴레이, AS, IXPs—에 대해 베이지안 신뢰망(BBNs)을 사용하여 모델링하고 활용하는 모듈러 시스템을 제안한다. 이는 적대자에 의한 손상 확률을 확률 분포로 표현함으로써, 사용자 신뢰도를 실제 네트워크 온톨로지 및 라우팅 데이터와 통합함으로써 첫 번째-마지막 관련 공격에 대한 저항력을 향상시킨다. 사용자와 서비스가 모두 신뢰 인식 경로 선택을 채택할 경우, 손상 위험을 최대 50%까지 감소시킨다.

ABSTRACT

Motivated by the effectiveness of correlation attacks against Tor, the censorship arms race, and observations of malicious relays in Tor, we propose that Tor users capture their trust in network elements using probability distributions over the sets of elements observed by network adversaries. We present a modular system that allows users to efficiently and conveniently create such distributions and use them to improve their security. The major components of this system are (i) an ontology of network-element types that represents the main threats to and vulnerabilities of anonymous communication over Tor, (ii) a formal language that allows users to naturally express trust beliefs about network elements, and (iii) a conversion procedure that takes the ontology, public information about the network, and user beliefs written in the trust language and produce a Bayesian Belief Network that represents the probability distribution in a way that is concise and easily sampleable. We also present preliminary experimental results that show the distribution produced by our system can improve security when employed by users; further improvement is seen when the system is employed by both users and services.

연구 동기 및 목표

• 사용자 익명성을 위협하는 증가하는 관련 공격 및 악성 토르 릴레이의 위협을 해결한다.
• 사용자와 서비스가 신뢰 기반 경로 및 서버 위치 결정을 내릴 수 있도록 함으로써 토르의 보안을 향상시킨다.
• 네트워크 인프라 요소에 대한 신뢰를 표현하고 추론하기 위한 형식적이고 모듈러한 프레임워크를 개발한다.
• AS, IXP, 릴레이 전반에 걸쳐 상관된 손상 위험을 포괄하는 확장 가능하고 표본 추출이 가능한 베이지안 신뢰망을 구축한다.
• 실험적으로 신뢰 인식 경로 선택이 첫 번째-마지막 관련 공격에 성공할 확률을 줄이는 데 기여하는지를 입증한다.

제안 방법

• 적대자가 상관된 손상을 입힐 수 있는 네트워크 요소 유형(예: AS, IXP, 릴레이 가족)과 그 관계를 모델링하기 위해 온톨로지를 정의한다.
• 공개된 데이터를 사용하여 실제 세계의 네트워크 월드를 구성한다: 토르 콘센서스, Routeviews 접두사 테이블, IXP 매핑, AS-조직 그룹화.
• 사용자가 네트워크 요소 및 속성(예: 가족의 가동 시간, 조직 통제)에 대한 신뢰도를 형식적 신뢰 언어를 통해 표현할 수 있도록 한다.
• 사용자의 신뢰도 및 네트워크 월드를 변환 절차를 통해 베이지안 신뢰망(BBN)으로 변환하며, 이는 간결성과 표본 추출 가능성을 보장한다.
• BBN 샘플링을 사용해 손상 확률을 계산한다: 각 클라이언트 위치에 대해 가능한 가드-익스잇 경로 전반에 걸쳐 첫 번째-마지막 관련 공격의 위험을 추정한다.
• BBN을 활용해 경로 선택을 안내한다: 클라이언트는 손상 확률이 가장 낮은 가드를 선택하고, 서비스는 평균 클라이언트 위험을 최소화하는 서버 위치를 선택한다.

실험 결과

연구 질문

• RQ1 네트워크 요소에 대한 신뢰를 어떻게 형식적으로 표현할 수 있을까? 이는 토르에서 익명성을 향상시키는 데 기여한다.
• RQ2 사용자가 제공한 신뢰도 정보가 토르에서 첫 번째-마지막 관련 공격의 위험을 얼마나 줄일 수 있을까?
• RQ3 클라이언트 및 서비스 수준에서의 신뢰 정보 통합이 전체 네트워크 보안에 어떤 영향을 미치는가?
• RQ4 온톨로지, 신뢰 언어, BBN 변환을 조합한 모듈러 시스템이 AS, IXP, 릴레이 전반에 걸쳐 상관된 적대자 손상 위험을 효율적으로 모델링할 수 있는가?
• RQ5 신뢰 인식 경로 선택이 성공적인 익명성 해제 확률을 얼마나 정량적으로 줄이는가?

주요 결과

• 실제 토르 네트워크 데이터를 기반으로 2,398개의 릴레이 변수와 3,200만 개 이상의 가상 링크를 포함한 베이지안 신뢰망을 사용해 적대자 손상 위험을 성공적으로 모델링했다.
• 클라이언트가 신뢰 인식 경로 선택을 사용할 경우, 토르의 기본 경로 선택 방식에 비해 첫 번째-마지막 관련 공격의 확률이 감소했으며, 위험 완화 효과가 명확하게 측정되었다.
• 클라이언트와 서비스가 모두 신뢰 정보를 활용할 경우, 손상 위험은 추가로 감소하였으며, 클라이언트 위치 전반의 평균 최소 손상 확률이 크게 감소했다.
• 가동 시간이 높은 릴레이 가족은 낮은 손상 확률로 할당되었으며, 이는 시스템이 실제 신뢰성 정보를 신뢰 모델에 통합할 수 있음을 반영한다.
• 가드 또는 익스잇에 도달하는 AS 경로의 중앙값은 46,052개였으며, 이는 높은 경로 다양성을 의미하지만, 시스템은 신뢰 기반으로 더 안전한 경로를 효과적으로 우선순위에 올렸다.
• 실험적 개념 증명을 통해 시스템의 실현 가능성을 입증하였으며, 테스트된 구성에서 익명성 해제 위험을 최대 50%까지 줄일 수 있음을 보여주었다.