[论文解读] Counter-RAPTOR: Safeguarding Tor Against Active Routing Attacks

Yixin Sun, Anne Edmundson+3 more|arXiv (Cornell University)|Apr 4, 2017

Internet Traffic Analysis and Secure E-voting参考文献 14被引用 7

一句话总结

本文提出 Counter-RAPTOR，一种针对 Tor 的双层防御系统，通过一种具备韧性感知的网关中继选择算法和实时 BGP 监测系统，主动提升客户端对主动 BGP 路由攻击的韧性。该方法平均可将客户端暴露于前缀劫持攻击的风险降低 36%，并以 0.19% 的误报率检测到模拟和真实世界中的劫持攻击。

ABSTRACT

Tor is vulnerable to network-level adversaries who can observe both ends of the communication to deanonymize users. Recent work has shown that Tor is susceptible to the previously unknown active BGP routing attacks, called RAPTOR attacks, which expose Tor users to more network-level adversaries. In this paper, we aim to mitigate and detect such active routing attacks against Tor. First, we present a new measurement study on the resilience of the Tor network to active BGP prefix attacks. We show that ASes with high Tor bandwidth can be less resilient to attacks than other ASes. Second, we present a new Tor guard relay selection algorithm that incorporates resilience of relays into consideration to proactively mitigate such attacks. We show that the algorithm successfully improves the security for Tor clients by up to 36% on average (up to 166% for certain clients). Finally, we build a live BGP monitoring system that can detect routing anomalies on the Tor network in real time by performing an AS origin check and novel detection analytics. Our monitoring system successfully detects simulated attacks that are modeled after multiple known attack types as well as a real-world hijack attack (performed by us), while having low false positive rates.

研究动机与目标

• 衡量 Tor 网络对主动 BGP 前缀劫持和拦截攻击的脆弱性，尤其关注自治系统（AS）的韧性。
• 设计并实现一种主动的网关中继选择算法，整合 AS 韧性指标，以减少客户端遭受主动路由攻击的暴露风险。
• 构建并部署一个实时 BGP 监测系统，能够以极低的误报率检测 Tor 网络中的路由异常。
• 评估主动与被动防御措施在缓解 Tor 网络中主动 BGP 攻击方面的有效性。

提出的方法

• 作者将一种 AS 韧性度量方法进行适配，基于网络拓扑和共识数据，量化 Tor 客户端在 BGP 前缀劫持期间被欺骗的可能性。
• 他们将该韧性度量扩展至建模 Tier 1 AS 的拦截攻击，评估客户端流量被重定向至恶意 AS 的概率。
• 提出一种新型网关中继选择算法，联合优化带宽与 AS 韧性，以最小化被劫持暴露的风险。
• 利用来自 BGPStream 的实时 BGP 更新和每小时一次的 Tor 共识数据，构建一个实时 BGP 监测系统，用于检测可疑的前缀宣告。
• 系统采用 AS 源检查机制，并结合新颖的分析方法——基于频率和时间的阈值，利用历史数据区分真实攻击与良性波动。
• 通过过滤重复宣告并剔除冗余攻击数据，防止污染，从而降低误报率。

Figure 1 : Hijack Resilience for Tor-related ASes.

实验结果

研究问题

• RQ1 当前 Tor 网络对主动 BGP 前缀劫持攻击的韧性如何，特别是在高 Tor 带宽的自治系统中？
• RQ2 基于 AS 韧性的主动网关中继选择能在多大程度上减少客户端对前缀劫持攻击的暴露？
• RQ3 实时 BGP 监测系统能否以极低的误报率检测到 Tor 网络中的模拟攻击和真实世界劫持攻击？
• RQ4 客户端位置和 AS 拓扑如何影响 Tor 客户端对路由攻击的韧性？
• RQ5 在具备韧性感知的中继选择算法中，安全（韧性）与性能之间存在何种权衡？

主要发现

• 高 Tor 带宽的自治系统（如 OVH，AS 16276）对劫持攻击的韧性较低，其韧性得分为 0.408，表明客户端有 60% 的概率被欺骗。
• 所提出的网关中继选择算法可平均将客户端对前缀劫持攻击的韧性提升 36%，对某些客户端甚至提升高达 166%，且性能损失极小。
• 实时 BGP 监测系统以仅 0.19% 的误报率，成功检测到基于已知攻击类型的模拟攻击以及作者发起的真实世界劫持攻击。
• 系统成功识别出大多数 Tor 中继前缀宣告均由单一 AS 发出，从而可通过源检查和分析方法实现有效的异常检测。
• 结合 AS 源检查与频率及时间阈值分析，可显著降低误报率，提升检测可靠性。
• 该韧性度量对 AS 路径推断不准确具有鲁棒性，因其依赖连接性指标而非精确的路由预测。

Figure 2 : Hijack Resilience and Corresponding Bandwidth per AS. OVH and S.A.S are clear outliers.