[論文レビュー] The fifteen year struggle of decentralizing privacy-enhancing technology

Rolf Jagerman, Wendo Sabée+3 more|arXiv (Cornell University)|Apr 18, 2014

Internet Traffic Analysis and Secure E-voting参考文献 21被引用数 6

ひとこと要約

この論文は、15年間にわたりプライバシー強化技術の分散化をめぐる闘いを分析し、Torの準中央集権的アーキテクチャと、スケーリングにおける真の匿名性の達成に限界がある点に焦点を当てる。数十年にわたる研究と、Freenet や I2P といった複数の分散型代替手法が存在するが、まだ完全な分散化と強固な匿名性の両方を達成したシステムは存在せず、スケーラビリティ、セキュリティ、ユーザーの採用という点で根本的な課題が浮き彫りになっている。

ABSTRACT

Ever since the introduction of the internet, it has been void of any privacy. The majority of internet traffic currently is and always has been unencrypted. A number of anonymous communication overlay networks exist whose aim it is to provide privacy to its users. However, due to the nature of the internet, there is major difficulty in getting these networks to become both decentralized and anonymous. We list reasons for having anonymous networks, discern the problems in achieving decentralization and sum up the biggest initiatives in the field and their current status. To do so, we use one exemplary network, the Tor network. We explain how Tor works, what vulnerabilities this network currently has, and possible attacks that could be used to violate privacy and anonymity. The Tor network is used as a key comparison network in the main part of the report: a tabular overview of the major anonymous networking technologies in use today.

研究の動機と目的

• 15年間にわたる研究開発にもかかわらず、分散型プライバシー強化技術が広範な採用に至らなかった理由を調査すること。
• 最も広く使われている匿名ネットワークであるTorの技術的・構造的限界、特に準中央集権的設計の点を分析すること。
• Freenet、I2P、Gnutella といった代替の分散型匿名ネットワークの実現可能性と成熟度を評価すること。
• インターネット上でのスケーラブルで安全かつ分散型の匿名通信を達成するための継続的な課題を文書化すること。
• 活動性、コードベースのサイズ、貢献者参加度といった主要指標に基づき、既存の分散型オーバーレイネットワークを比較分析すること。

提案手法

• オニオンルーティングメカニズム、回路の構築、ディレクトリサーバーやガードノードといった主要コンponentsを含む、Torネットワークの技術的分析を実施した。
• Torにおける既知の脆弱性、たとえばトラフィック相関攻撃、エグジットノードの乱用、ボランティア提供の帯域幅依存による性能ボトルネックを評価した。
• 匿名性、分散性、パフォーマンスといった特徴を評価する枠組みを用いて、14の分散型P2Pオーバーレイネットワークを調査・比較した表形式のフレームワークを採用した。
• GitHub や Ohloh から得たオープンソースプロジェクトのメトリクス（コミット数、貢献者数、コード行数など）を収集・分析し、プロジェクトの成熟度と活動レベルを評価した。
• redecentralize.org リポジトリからのデータを収集・評価し、代替インターネットプロジェクトの全体像をマップし、開発持続性に関する傾向を特定した。
• 他の匿名ネットワーキングシステムの能力と限界を比較するため、Tor をベンチマークとして用い、リンク不能性とデアノニマイゼーション攻撃に対する耐性に焦点を当てた。

実験結果

リサーチクエスチョン

• RQ1 15年間にわたる研究開発にもかかわらず、なぜプライバシー強化技術の分散化が実現されていないのか。
• RQ2 Tor が完全に分散化できない根幹的な技術的・アーキテクチャ的限界は何か。
• RQ3 Freenet、I2P、Gnutella といった代替の分散型匿名ネットワークは、匿名性の保証、パフォーマンス、保守性の観点から Tor と比べてどのように異なるか。
• RQ4 コミット頻度、貢献者数、コードベースのサイズといったプロジェクトメトリクスは、分散型プライバシーシステムの長期的持続可能性とセキュリティとどの程度相関しているか。
• RQ5 技術的に成熟したシステムであっても、なぜ分散型匿名ネットワークの採用とスケーリングが妨げられているのか、その根本的課題は何か。

主な発見

• 15年間の取り組みにもかかわらず、Tor はディレクトリサーバーへの依存とボランティア運営のリレーサービスに依存しており、準中央集権的であるため、スケーリングに伴い匿名性の保証が損なわれている。
• 高い開発活動が見られるにもかかわらず、Freenet と Tor は類似したコードベースのサイズと貢献者数を有するが、Tor のユーザー数は桁違いに多く、技術的成熟度だけでは採用が保証されないことを示している。
• 完全に分散化された匿名ネットワークは現時点で、Tor と同等の匿名性とパフォーマンスを提供するものは存在せず、I2P や Gnutella は有望ではあるが、セキュリティ面やスケーラビリティに欠けている。
• redecentralize.org に掲載された分散型プライバシープロジェクトの大多数は、活動が低止まりまたは減少傾向にあり、初期段階の活発な開発にかかわらず、長期的な持続可能性に欠けていることが示された。
• ユーザーの集積が十分に得られていないことが、新規システムにおける匿名性の主な障壁である。小さなネットワークはトラフィック相関攻撃やデアノニマイゼーション攻撃に対して脆弱である。
• Tor の分散化に向けた取り組みは、帯域幅の制限、ディレクトリ当局への信頼、長期的参加を促すインcentiveの難しさといった技術的・経済的・社会的課題により、これまで失敗に終わった。