[论文解读] How Unique is Your .onion? An Analysis of the Fingerprintability of Tor Onion Services

Rebekah Overdorf, Marc Juárez+3 more|arXiv (Cornell University)|Aug 28, 2017

Internet Traffic Analysis and Secure E-voting参考文献 21被引用 31

一句话总结

本文使用三种最先进的网站指纹识别技术，对482个真实存在的Tor洋葱服务进行了分析，揭示了站点可识别性的显著差异。研究发现，较大且内容较少动态的站点比小型、动态的站点更容易被识别，同时识别出若干会增加指纹识别风险的流量与设计特征，为隐私保护型网页设计提供了更好的对策参考。

ABSTRACT

Recent studies have shown that Tor onion (hidden) service websites are particularly vulnerable to website fingerprinting attacks due to their limited number and sensitive nature. In this work we present a multi-level feature analysis of onion site fingerprintability, considering three state-of-the-art website fingerprinting methods and 482 Tor onion services, making this the largest analysis of this kind completed on onion services to date. Prior studies typically report average performance results for a given website fingerprinting method or countermeasure. We investigate which sites are more or less vulnerable to fingerprinting and which features make them so. We find that there is a high variability in the rate at which sites are classified (and misclassified) by these attacks, implying that average performance figures may not be informative of the risks that website fingerprinting attacks pose to particular sites. We analyze the features exploited by the different website fingerprinting methods and discuss what makes onion service sites more or less easily identifiable, both in terms of their traffic traces as well as their webpage design. We study misclassifications to understand how onion service sites can be redesigned to be less vulnerable to website fingerprinting attacks. Our results also inform the design of website fingerprinting countermeasures and their evaluation considering disparate impact across sites.

研究动机与目标

• 探究单个洋葱服务之间指纹识别性的差异，超越平均性能指标的局限。
• 识别哪些流量和网页设计特征会使洋葱服务更容易或更难受到网站指纹识别攻击的影响。
• 通过分析导致可识别性的误分类和站点级特征，为洋葱服务运营者和防御设计者提供建议。
• 为开发针对性的、应用层防御措施提供依据，以在不损害可用性的前提下降低指纹识别性。

提出的方法

• 收集并清洗了482个Tor洋葱服务的流量追踪数据和网页内容，构建了一个具有代表性的隐匿服务生态系统数据集。
• 应用三种最先进的网站指纹识别方法，分析数据集中分类准确率和误分类模式。
• 开展多层次的特征分析，重点关注网络层的流量模式和应用层的网页特征。
• 使用随机森林回归模型基于站点级特征估算指纹识别性，识别出最具识别性的属性。
• 将洋葱服务生态系统视为封闭世界，假设攻击者可维护一份完整且实时更新的模板数据库。
• 分析误分类情况，识别出降低可识别性的设计模式，提出实用的加固策略。

实验结果

研究问题

• RQ1 哪些洋葱服务最容易受到网站指纹识别攻击？其背后的关键特征是什么？
• RQ2 指纹识别性在不同洋葱服务之间如何变化？为何平均准确率指标无法捕捉这种差异？
• RQ3 哪些具体的流量和网页设计特征在网站指纹识别攻击中对站点可识别性贡献最大？
• RQ4 洋葱服务运营者如何基于误分类模式重新设计其站点以降低指纹识别性？
• RQ5 能否通过针对本研究识别出的最具识别性的特征，优化应用层防御措施？

主要发现

• 较大的洋葱服务显著比小型服务更容易被识别，指纹识别性与站点规模和静态内容呈现强相关。
• 小型、动态站点最难被指纹识别，表明频繁的内容变化可降低指纹识别性。
• 最具识别性的特征不仅包括网络层的流量模式，还包括应用层的网页特征，如脚本数量和DOM结构。
• 误分类常发生在规模和结构相似的站点之间，表明结构相似性会增加指纹识别分类器的混淆度。
• 平均分类器准确率是风险的不良代理指标，因为某些站点可被稳定识别，而另一些则持续被误分类，凸显了不同服务间影响的不均衡性。
• 本研究识别出若干关键特征（如高脚本数量和低内容动态性），这些是指纹识别性的强指标，可支持针对性的防御设计。