[论文解读] ProxyTorrent: Untangling the Free HTTP(S) Proxy Ecosystem

Diego Perino, Matteo Varvello+1 more|arXiv (Cornell University)|Dec 19, 2016

Internet Traffic Analysis and Secure E-voting参考文献 9被引用 7

一句话总结

ProxyTorrent 是一个分布式测量平台，通过 Chrome 插件收集的被动用户数据与主动探测相结合，分析免费 HTTP(S) 代理生态系统。研究发现，仅不到 2% 的公布代理是功能正常的，仅一半具有可用性能，约 10% 存在广告注入和 TLS 降级等恶意行为——这些行为往往出现在速度最快的代理上，表明存在‘免费是有原因的’权衡取舍。

ABSTRACT

Free web proxies promise anonymity and censorship circumvention at no cost. Several websites publish lists of free proxies organized by country, anonymity level, and performance. These lists index hundreds of thousand of hosts discovered via automated tools and crowd-sourcing. A complex free proxy ecosystem has been forming over the years, of which very little is known. In this paper we shed light on this ecosystem via ProxyTorrent, a distributed measurement platform that leverages both active and passive measurements. Active measurements discover free proxies, assess their performance, and detect potential malicious activities. Passive measurements relate to proxy performance and usage in the wild, and are collected by free proxies users via a Chrome plugin we developed. ProxyTorrent has been running since January 2017, monitoring up to 180,000 free proxies and totaling more than 1,500 users. Our analysis shows that less than 2% of the proxies announced on the web indeed proxy traffic on behalf of users; further, only half of these proxies have decent performance and can be used reliably. Around 10% of the working proxies exhibit malicious behaviors, e.g., ads injection and TLS interception, and these proxies are also the ones providing the best performance. Through the analysis of more than 2 Terabytes of proxied traffic, we show that web browsing is the primary user activity. Geo-blocking avoidance is not a prominent use-case, with the exception of countries hosting popular geo-blocked content.

研究动机与目标

• 为了理解免费 HTTP(S) 代理生态系统的规模、可靠性和安全性，尽管其被广泛使用，但该领域仍基本未被探索。
• 确定每天公布的数十万个代理中，实际功能正常且可信的代理数量。
• 调查真实世界中用户行为和代理使用模式，特别是关于匿名性、性能以及潜在滥用行为。
• 开发一个可扩展的分布式测量平台，实现对代理行为的主动发现与被动监控。

提出的方法

• 通过基于漏斗的测试流水线进行主动测量：爬取代理列表，使用特制的‘诱饵’网页测试可达性、代理转发正确性以及 TLS 证书有效性。
• 从约 30 个全球网络位置（PlanetLab 节点）对可信代理进行性能基准测试，通过 HTTP 和 HTTPS 方式获取热门网站。
• 部署一个保护隐私的 Chrome 插件（Ciao），使用户可根据匿名级别和国家选择代理，同时匿名收集使用统计数据。
• 在 7 个月内从 1,500 名 Ciao 用户处被动收集数据，总计超过 2 TB 的代理流量，用于真实世界使用情况分析。
• 关联代理性能、地理位置和用户行为，推断使用模式并检测恶意代理。
• 使用内容比对和 TLS 检查技术检测代理异常行为，包括广告注入和中间人攻击。

实验结果

研究问题

• RQ1 公布的所有免费代理中，实际能够正常运行并能转发流量的比例是多少？
• RQ2 工作中的代理在不同地理区域的性能表现如何比较？其性能波动受哪些因素影响？
• RQ3 在功能正常的代理中，有多少比例表现出恶意行为（如广告注入或 TLS 截留）？这些行为与性能之间是否存在相关性？
• RQ4 免费代理在真实世界中的主要使用模式是什么？规避地理封锁是否是主要使用驱动力？
• RQ5 用户在实际使用中如何选择代理？其选择是否与其声明的匿名性目标一致？

主要发现

• 所有公布的免费代理中，功能正常的不足 2%，且其中仅一半能长期保持稳定性能。
• 约 10% 的工作代理表现出恶意行为，如广告注入或 TLS 截留，且这些代理往往速度最快，支持了‘免费是有原因的’假设。
• 网页浏览是主导用户活动，占绝大多数代理流量；95% 的下载持续时间少于一分钟，平均大小为 500 KB。
• 总体而言，规避地理封锁并非主要使用场景，但在美国等国家较为显著，其中对某些网站的 60% 交通为地理定位，可能由于用户访问 Hulu 或 Netflix 等热门地理封锁服务。
• Ciao 插件用户更倾向于选择匿名代理（70%）以访问地理封锁内容，尽管高级代理提供更高的匿名级别，可能因命名混淆导致选择偏差。
• 少数长时间、高流量的下载（最高达几个 GB）表明可能存在视频流媒体或软件下载行为，但这些会话期间未观察到其他浏览活动。