[論文レビュー] Securing Tor Tunnels under the Selective-DoS Attack

Anupam Das, Nikita Borisov|arXiv (Cornell University)|Jul 19, 2011

Internet Traffic Analysis and Secure E-voting参考文献 18被引用数 4

ひとこと要約

本論文は、選択的サービス拒否（DoS）攻撃に対して、危険なTorトンネルを検出およびフィルタリングするための確率的プローブメカニズムを提案する。二段階のプローブと確率的推論を用いることで、悪意あるリレーエージェントを高い正確性で特定しつつ、Tor全体の帯域幅の約5%しか消費しない。これにより、適応的攻撃者にとって選択的DoS攻撃を実行するのが非最適であることが保証される。

ABSTRACT

Anonymous communication systems are subject to selective denial-of-service (DoS) attacks. Selective DoS attacks lower anonymity as they force paths to be rebuilt multiple times to ensure delivery which increases the opportunity for more attack. In this paper we present a detection algorithm that filters out compromised communication channels for one of the most widely used anonymity networks, Tor. Our detection algorithm uses two levels of probing to filter out potentially compromised tunnels. We perform probabilistic analysis and extensive simulation to show the robustness of our detection algorithm. We also analyze the overhead of our detection algorithm and show that we can achieve satisfactory security guarantee for reasonable communication overhead (5% of the total available Tor bandwidth in the worst case). Real world experiments reveal that our detection algorithm provides good defense against selective DoS attack.

研究の動機と目的

• Torの匿名性を低下させる選択的DoS攻撃（繰り返し回路再構築を強制）の脅威に対処すること。
• グローバルネットワークプローブを必要としない、軽量でクライアント側に実装された検出メカニズムを設計すること。
• 帯域幅および計算コストを最小限に抑える一方で、危険な回路の検出確率を高めること。
• 攻撃者が行動を変更する反応的攻撃者に対する検出メカニズムの耐性を分析すること。
• シミュレーションおよび実世界実験を通じて、Torネットワークにおける実用的妥当性を評価すること。

提案手法

• 本手法は二段階プローブを用いる：候補回路の初期プローブ、その後に悪意あると疑われるリレーエージェントに対する集中的な検証。
• 少数のリレーエージェントが悪意を持つと仮定し、確率的推論を用いて回路が危険である確率を評価する。
• 検出アルゴリズムは、プローブ成功確率の統計的分析に基づき、誠実なリレーエージェントと悪意あるリレーエージェントの挙動をモデル化する。
• 本手法は、危険なリレーエージェントが非危険な回路からのパケットを意図的に破棄する一方で、誠実なリレーエージェントはランダムにまたは一切破棄しないと仮定する。
• プローブ結果を基に動的に信頼できる回路の集合を維持し、検出精度とリソースコストのバランスを最適化するパラメータを調整する。
• プローブ先として一般的なWebページを用い、時間経過にわたってプローブを分散する、または過去の回路使用履歴を活用して事前に候補を選定することで、オーバーヘッドを最小限に抑える。

実験結果

リサーチクエスチョン

• RQ1 クライアント側で実行される確率的プローブメカニズムは、許容可能なオーバーヘッドで、選択的DoS攻撃下の危険なTor回路を検出可能か？
• RQ2 多数のリレーエージェントが危険である場合に、検出アルゴリズムは悪意ある回路をどれほど効果的にフィルタリングできるか？
• RQ3 検出メカニズムに反応してドロップ戦略を変更する適応的攻撃者の影響は何か？
• RQ4 現実のネットワーク環境および実世界のトラフィックパターン下で、検出メカニズムはどの程度の性能を示すか？
• RQ5 大規模な展開（例：Torネットワーク）における、検出メカニズムの帯域幅およびリソースオーバーヘッドは何か？

主な発見

• 検出アルゴリズムは、3つのゲートリレーエージェントのうち2つが危険であっても、危険な回路を高い確率でフィルタリングする。
• ゲートリレー比 g = 1/3 および g = 2/3 の両方において、従来のTorと比較して回路フィルタリングの改善が顕著に認められ、強い耐性を示す。
• 平均的な帯域幅オーバーヘッドは、1ユーザーあたり6 KB/s（1時間に6つの利用可能な回路）であり、Tor全体の帯域幅の約5%にとどまる。
• 本システムは、1時間に約28,000人の同時ユーザーをサポートでき、2012年10月に記録されたピーク1日間のユーザー数619,696を上回る。
• 確率的ドロップ戦略に切り替える適応的攻撃者も、選択的DoS攻撃を実行する利点を得られないことが示され、むしろ攻撃を実行しないことが最適戦略である。
• 実世界実験により、低遅延かつ最小限のパフォーマンス劣化で、選択的DoS攻撃に対する防御が有効に機能することが確認された。