[论文解读] Evaluating Snowflake as an Indistinguishable Censorship Circumvention Tool

Kyle MacMillan, Jordan Holland+1 more|arXiv (Cornell University)|Jul 23, 2020

Internet Traffic Analysis and Secure E-voting被引用 4

一句话总结

本文评估了 Snowflake（一种利用 WebRTC 绕过网络审查的可插拔传输协议），发现其通过独特的握手特征在其他 WebRTC 服务中极易被识别。尽管其设计目标是实现不可区分性，但通过扩展消息序列和特定 DTLS 扩展等特征，其流量可被准确识别，准确率达 99.8%，因此建议对协议进行加固以抵御流量分析。

ABSTRACT

Tor is the most well-known tool for circumventing censorship. Unfortunately, Tor traffic has been shown to be detectable using deep-packet inspection. WebRTC is a popular web frame-work that enables browser-to-browser connections. Snowflake is a novel pluggable transport that leverages WebRTC to connect Tor clients to the Tor network. In theory, Snowflake was created to be indistinguishable from other WebRTC services. In this paper, we evaluate the indistinguishability of Snowflake. We collect over 6,500 DTLS handshakes from Snowflake, Facebook Messenger, Google Hangouts, and Discord WebRTC connections and show that Snowflake is identifiable among these applications with 100% accuracy. We show that several features, including the extensions offered and the number of packets in the handshake, distinguish Snowflake among these services. Finally, we suggest recommendations for improving identification resistance in Snowflake. We have made the dataset publicly available.

研究动机与目标

• 评估 Snowflake（一种基于 WebRTC 的审查绕过工具）是否仍能与合法的 WebRTC 应用程序保持不可区分。
• 识别使审查者能够从其他 WebRTC 服务中检测 Snowflake 流量的具体握手特征。
• 评估现有可插拔传输协议在抵御深度包检测和流量指纹识别方面的有效性。
• 提出可操作的建议，以提升 Snowflake 对审查者识别的抵抗能力。

提出的方法

• 从 Firefox 和 Chrome 浏览器中收集了超过 6,500 个孤立的 DTLS 握手，涵盖 Snowflake、Facebook Messenger、Google Hangouts 和 Discord。
• 从 DTLS 握手中提取了 61 项特征，包括消息序列、扩展类型、长度以及密码套件详情。
• 应用独热编码将分类特征转换为机器学习可用的二进制输入。
• 使用五折交叉验证训练随机森林分类器，以评估检测准确率和特征重要性。
• 分析特征重要性，识别出 Snowflake 握手中独特的标识特征，如消息序列和扩展提供情况。
• 通过对比分析，评估特定协议级变更对检测抵抗能力的影响。

实验结果

研究问题

• RQ1 能否基于其 DTLS 握手特征，将 Snowflake 与其它基于 WebRTC 的服务区分开？
• RQ2 哪些具体的握手特征使得 Snowflake 流量能够以高准确率被识别？
• RQ3 Snowflake 当前实现中，其 DTLS 握手在多大程度上泄露了可识别的元数据？
• RQ4 所提出的协议修改在多大程度上能有效提升 Snowflake 的不可区分性？

主要发现

• Snowflake 握手平均需要 13.42 个数据包，显著高于 Facebook（4.4 个）、Google Hangouts（4.5 个）和 Discord（5.6 个），主要由于频繁的重传。
• 随机森林分类器在区分 Snowflake 与其他服务时，准确率达到 99.8%，且微加权 F1 分数为 1.0。
• 特征 'Server Message Sequence: 1' 在 100% 的 Snowflake 握手中出现，而在其他所有服务中均未出现，表明其具有独特的协议行为。
• 'renegotiation_info' 和 'supported_groups' 扩展在 100% 的 Snowflake 握手中被提供，但在 Facebook 和 Google Hangouts 中完全缺失，使其成为强有力的标识特征。
• Snowflake 握手中存在可选的 Client Hello 和 Hello Verify Request 数据包，这是其他服务未采用的区分性特征。
• 研究结论认为，Snowflake 当前实现不具备不可区分性，建议通过协议级修改来提升其匿名性。