[论文解读] RAPTOR: Routing Attacks on Privacy in Tor

Yixin Sun, Anne Edmundson+5 more|arXiv (Cornell University)|Mar 13, 2015

Internet Traffic Analysis and Secure E-voting参考文献 38被引用 107

一句话总结

RAPTOR提出了一套基于BGP的新型攻击，利用路由非对称性、路由震荡以及劫持，使自治系统（AS）能够观察到Tor流量的两端，从而实现对Tor用户的去匿名化。作者在实际实验中展示了95%的去匿名化准确率，并表明超过90%的Tor中继存在漏洞，揭示了Tor在依赖不稳定网络路由实现匿名性方面存在严重缺陷。

ABSTRACT

The Tor network is a widely used system for anonymous communication. However, Tor is known to be vulnerable to attackers who can observe traffic at both ends of the communication path. In this paper, we show that prior attacks are just the tip of the iceberg. We present a suite of new attacks, called Raptor, that can be launched by Autonomous Systems (ASes) to compromise user anonymity. First, AS-level adversaries can exploit the asymmetric nature of Internet routing to increase the chance of observing at least one direction of user traffic at both ends of the communication. Second, AS-level adversaries can exploit natural churn in Internet routing to lie on the BGP paths for more users over time. Third, strategic adversaries can manipulate Internet routing via BGP hijacks (to discover the users using specific Tor guard nodes) and interceptions (to perform traffic analysis). We demonstrate the feasibility of Raptor attacks by analyzing historical BGP data and Traceroute data as well as performing real-world attacks on the live Tor network, while ensuring that we do not harm real users. In addition, we outline the design of two monitoring frameworks to counter these attacks: BGP monitoring to detect control-plane attacks, and Traceroute monitoring to detect data-plane anomalies. Overall, our work motivates the design of anonymity systems that are aware of the dynamics of Internet routing.

研究动机与目标

• 揭示自治系统（AS）利用动态互联网路由协议对Tor的复杂攻击所暴露的脆弱性。
• 研究路由非对称性以及自然BGP路由震荡如何增加AS级攻击者观察到Tor通信两端的可能性。
• 证明BGP劫持和拦截攻击可通过流量分析有效用于对Tor客户端进行去匿名化。
• 利用历史BGP和traceroute数据，以及对Tor网络的实际实验，量化这些攻击在现实世界中的影响。
• 设计并提出基于监控的有效对策，以检测和缓解RAPTOR类攻击。

提出的方法

• 通过在实际Tor网络中进行实验，执行非对称流量相关性分析，观察双向路径中数据包到达时间与大小的差异。
• 分析历史BGP和traceroute数据，量化由于路由非对称性和路径震荡导致的攻击面扩大。
• 在他们控制的实时Tor中继上执行受控的BGP拦截攻击，模拟真实世界的拦截行为，但不损害真实用户。
• 通过BGP劫持模拟，展示策略性对手如何将Tor流量重定向至其自身的AS，以实现流量分析。
• 设计了两种监控框架：用于检测控制平面异常的BGP监控，以及用于检测数据平面偏离的traceroute监控。
• 部署网络级防火墙以隔离实验流量，确保实际Tor用户在实时测试期间不受影响。

实验结果

研究问题

• RQ1 BGP中的路由非对称性在多大程度上增加了AS级攻击者观察到Tor通信两端的概率？
• RQ2 随着时间推移，自然BGP路径震荡如何影响Tor客户端长期暴露于AS级流量分析的风险？
• RQ3 BGP劫持和拦截攻击能否被有效用于重定向并监控Tor流量，以实现去匿名化目的？
• RQ4 通过实际实验和历史数据分析，这些攻击在现实世界中的可行性与影响如何？
• RQ5 所提出的基于监控的对策在实时检测RAPTOR类攻击方面的有效性如何？

主要发现

• RAPTOR的非对称流量相关性攻击在实际Tor网络实验中实现了95%的去匿名化准确率，且零误报。
• 仅路由非对称性本身便使AS级攻击的威胁面相比对称路径假设增加了50%。
• 随着时间推移，BGP路径震荡使攻击面扩大100%，使攻击者无需更改基础设施即可观察到更多Tor客户端。
• 历史BGP数据显示，曾发生多起针对Tor中继前缀的劫持事件，包括2014年的比特币和Indosat劫持事件。
• 一次实际的BGP拦截攻击成功将流量重定向并通过受控的Tor中继进行监控，证明了其实际可行性。
• 由于依赖不安全的动态路由协议，超过90%的Tor中继至少存在一个RAPTOR攻击向量的漏洞。