[论文解读] Total Eclipse of the Heart -- Disrupting the InterPlanetary File System

Bernd Prünster, Alexander Marsalek+1 more|arXiv (Cornell University)|Nov 2, 2020

Peer-to-Peer Network Technologies被引用 16

一句话总结

本文提出了一种可扩展的、低投入的针对星际文件系统（IPFS）的日食攻击，通过利用其 libp2p 连接管理中的概念性缺陷，实现任意节点的隔离与全局网络中断。该攻击在几分钟内成功污染路由表并实现节点日食，结果显示其在大规模网络中具有线性可扩展性，且即使资源有限也能造成显著影响。

ABSTRACT

Peer-to-peer networks are an attractive alternative to classical client-server architectures in several fields of application such as voice-over-IP telephony and file sharing. Recently, a new peer-to-peer solution called the InterPlanetary File System (IPFS) has attracted attention, which promises to re-decentralise the Web. Being increasingly used as a stand-alone application, IPFS has also emerged as the technical backbone of various other decentralised solutions and was even used to evade censorship. Decentralised applications serving millions of users rely on IPFS as one of their crucial building blocks. This popularity makes IPFS attractive for large-scale attacks. We have identified a conceptual issue in one of IPFS's core libraries and demonstrate their exploitation by means of a successful end-to-end attack. We evaluated this attack against the IPFS reference implementation on the public IPFS network, which is used by the average user to share and consume IPFS content. Results obtained from mounting this attack on live IPFS nodes show that arbitrary IPFS nodes can be eclipsed, i.e. isolated from the network, with moderate effort and limited resources. Compared to similar works, we show that our attack scales linearly even beyond current network sizes and can disrupt the entire public IPFS network with alarmingly low effort. The vulnerability set described in this paper has been assigned CVE-2020-10937. Responsible disclosure procedures are currently being carried out and have led to mitigations being deployed, with additional fixes to be rolled out in future releases.

研究动机与目标

• 调查在去中心化对等系统（如 IPFS）上实施大规模、低成本攻击的可行性。
• 识别并利用 IPFS 核心连接管理机制中的概念性漏洞。
• 评估此类攻击对实际运行中的 IPFS 节点及公共网络的真实影响。
• 证明该攻击的可扩展性与网络规模呈线性关系，不同于以往呈指数级增长的攻击方式。
• 通过向 Protocol Labs 报告发现，推动 IPFS 长期安全加固，促成重大协议更新。

提出的方法

• 利用 libp2p 连接管理器（ConnMgr）中的设计缺陷，操纵 IPFS 节点的路由表条目。
• 建立大量受控的多路复用连接，耗尽并污染目标节点的路由表。
• 利用污染后的路由表，将目标节点与 IPFS 网络其余部分隔离，实现日食攻击。
• 在公共网络中对实际运行的 IPFS 节点实施端到端攻击，以验证其可行性和影响。
• 证明无需额外的 DoS 攻击，该攻击仅依赖连接洪水和路由操纵即可完成。
• 通过在不断扩大的网络规模上模拟攻击行为，评估其可扩展性，显示成本随网络规模线性增长。

实验结果

研究问题

• RQ1 是否能够对真实世界、生产级的 P2P 系统（如 IPFS）实施低成本、全球性的日食攻击？
• RQ2 该攻击是否能随网络规模高效扩展？若能，其成本相对于网络规模如何增长？
• RQ3 IPFS 连接管理中存在哪些架构和实现层面的弱点，使得此类攻击成为可能？
• RQ4 在实际中，该攻击在隔离任意节点和破坏整个 IPFS 网络方面的有效性如何？
• RQ5 现有缓解措施在多大程度上能抵御此类攻击？需要何种长期安全加固？

主要发现

• 仅通过连接管理机制的操纵，该攻击便在几分钟内成功隔离了任意 IPFS 节点，方法是污染其路由表。
• 该攻击在不到一小时内以高概率实现对目标节点的完全日食，且无需任何拒绝服务机制。
• 该攻击与网络规模呈线性可扩展性，使得仅用中等资源即可破坏整个公共 IPFS 网络成为可能。
• 该漏洞根植于 libp2p ConnMgr 的概念性缺陷，即使在重大协议更新后依然存在。
• 研究发现促使了立即的缓解措施，包括发布 IPFS 0.6.1 和 0.7 版本，使攻击成本提高数个数量级。
• 尽管已修复，但连接管理中的根本性架构问题仍难以完全解决，凸显了持续安全加固的必要性。