[论文解读] Holding all the ASes: Identifying and Circumventing the Pitfalls of AS-aware Tor Client Design

Rishab Nithyanand, Rachee Singh+2 more|arXiv (Cornell University)|May 11, 2016

Internet Traffic Analysis and Secure E-voting参考文献 24被引用 6

一句话总结

本文提出 Cipollino，一种具备 AS 级别感知能力的 Tor 客户端，通过实时网络测量和路径多样性技术，避免存在漏洞的自治系统（AS），从而缓解流量相关性攻击。该方案将 AS 级别去匿名化风险从原始 Tor 的 58% 降低至 1.4%，同时保持与原始客户端相当的性能，并使针对中继级攻击者的安全性提升 80%。

ABSTRACT

Traffic correlation attacks to de-anonymize Tor users are possible when an adversary is in a position to observe traffic entering and exiting the Tor network. Recent work has brought attention to the threat of these attacks by network-level adversaries (e.g., Autonomous Systems). We perform a historical analysis to understand how the threat from AS-level traffic correlation attacks has evolved over the past five years. We find that despite a large number of new relays added to the Tor network, the threat has grown. This points to the importance of increasing AS-level diversity in addition to capacity of the Tor network. We identify and elaborate on common pitfalls of AS-aware Tor client design and construction. We find that succumbing to these pitfalls can negatively impact three major aspects of an AS-aware Tor client -- (1) security against AS-level adversaries, (2) security against relay-level adversaries, and (3) performance. Finally, we propose and evaluate a Tor client -- Cipollino -- which avoids these pitfalls using state-of-the-art in network-measurement. Our evaluation shows that Cipollino is able to achieve better security against network-level adversaries while maintaining security against relay-level adversaries and

研究动机与目标

• 分析过去五年中 Tor 网络中 AS 级别流量相关性攻击威胁的演变情况。
• 识别并描述现有 AS 级别感知 Tor 客户端中导致安全性和性能受损的五个关键设计缺陷。
• 设计并评估 Cipollino，一种新型 Tor 客户端，通过精确的路径测量和智能电路选择避免这些缺陷。
• 在不牺牲性能的前提下，提升对 AS 级别和中继级别攻击者的防护能力。

提出的方法

• 作者利用 PathCache 的历史和当前网络测量数据，分析 7.1K 个 Tor 中继的 AS 级别相关性风险。
• 他们设计 Cipollino，仅通过实时路径数据确定的、对流量相关性不敏感的 AS 构建并重用电路。
• 客户端使用基于目的地的图结构，结合缝合算法，识别客户端与目标 AS 之间安全且无重叠的路径。
• 通过在预构建电路之间实施负载均衡策略，分配流量以减少攻击面。
• 当不存在安全的预构建电路时，Cipollino 采用基于线性规划的方法，构建暴露于 AS 级别对手风险最小的新电路。
• 系统整合控制平面与数据平面的测量，确保路径信息的准确性和实时性，避免依赖静态或过时的路由模型。

实验结果

研究问题

• RQ1 尽管网络规模持续增长，过去五年中，Tor 网络中 AS 级别流量相关性攻击的威胁如何演变？
• RQ2 现有 AS 级别感知 Tor 客户端中，导致漏洞增加或性能下降的关键设计缺陷是什么？
• RQ3 新型 Tor 客户端设计能否在保持与原始 Tor 客户端相当性能的同时，实现对 AS 级别对手的强安全防护？
• RQ4 电路预构建与重用能在多大程度上降低中继级别攻击者导致的去匿名化风险？

主要发现

• AS 级别流量相关性攻击的威胁随时间推移而上升：对于仅访问网页的客户端，易受攻击的电路比例从 2010 年的 38% 上升至 2015 年的 41%；对于混合应用客户端，该比例从 21% 上升至 35%。
• 原始 Tor 客户端由于激进的电路重用策略，导致 58% 的网页面临通过 AS 级别相关性实现的去匿名化风险。
• Cipollino 将易受攻击网页的比例降低至仅 1.4%，相比原始 Tor（58%）和 Astoria（11%）有显著改进。
• 与最先进的 AS 级别感知客户端 Astoria 相比，Cipollino 将中继级别攻击者的攻击面减少了 80%。
• Cipollino 的中位页面加载时间仅比原始 Tor 慢 1.6 秒，且比 Astoria 快 7 秒，表明其性能与原始客户端高度一致。
• 研究证实，Tor 网络中的 AS 级别多样性并未跟上容量增长的步伐，因此主动的客户端防御机制（如 Cipollino）至关重要。