[论文解读] Securing Tor Tunnels under the Selective-DoS Attack

Anupam Das, Nikita Borisov|arXiv (Cornell University)|Jul 19, 2011

Internet Traffic Analysis and Secure E-voting参考文献 18被引用 4

一句话总结

本文提出一种概率探测机制，用于在选择性拒绝服务（DoS）攻击下检测并过滤被 compromise 的 Tor 隧道。通过两级探测和概率推理，该方法以仅约 5% 的 Tor 总带宽开销，高精度识别恶意中继，有效防御自适应攻击者，使其难以通过选择性 DoS 攻击获得优势。

ABSTRACT

Anonymous communication systems are subject to selective denial-of-service (DoS) attacks. Selective DoS attacks lower anonymity as they force paths to be rebuilt multiple times to ensure delivery which increases the opportunity for more attack. In this paper we present a detection algorithm that filters out compromised communication channels for one of the most widely used anonymity networks, Tor. Our detection algorithm uses two levels of probing to filter out potentially compromised tunnels. We perform probabilistic analysis and extensive simulation to show the robustness of our detection algorithm. We also analyze the overhead of our detection algorithm and show that we can achieve satisfactory security guarantee for reasonable communication overhead (5% of the total available Tor bandwidth in the worst case). Real world experiments reveal that our detection algorithm provides good defense against selective DoS attack.

研究动机与目标

• 解决选择性 DoS 攻击对 Tor 匿名性的威胁，此类攻击通过强制重复建立电路降低匿名性。
• 设计一种轻量级、客户端的检测机制，无需全局网络探测。
• 在最小化带宽和计算开销的前提下，确保高概率检测到被 compromise 的电路。
• 分析检测机制对自适应攻击者的鲁棒性，即攻击者会根据机制调整行为。
• 通过仿真和真实世界实验评估该方法在 Tor 网络中的实际可行性。

提出的方法

• 该方法采用两级探测：先对候选电路进行初步探测，再对可疑中继进行针对性验证。
• 应用概率推理评估电路被 compromise 的可能性，假设仅少数中继是恶意的。
• 检测算法基于探测成功率的统计分析，对诚实中继和恶意中继的行为进行建模。
• 该方法假设被 compromise 的中继会选择性地丢弃非 compromise 电路的包，而诚实中继则随机或根本不丢包。
• 系统通过探测结果动态维护一组可信电路，参数经过调优以平衡检测准确率与资源成本。
• 通过使用热门网页作为探测目标，并将探测分散在时间上，或利用历史电路使用情况预选候选，最小化开销。

实验结果

研究问题

• RQ1 客户端概率探测机制是否能在可接受开销下检测选择性 DoS 攻击下的被 compromise Tor 电路？
• RQ2 当大量中继被 compromise 时，该检测算法在过滤恶意电路方面的有效性如何？
• RQ3 自适应攻击者若根据检测机制改变其丢包策略，会产生何种影响？
• RQ4 在真实网络条件和现实世界流量模式下，检测机制的性能表现如何？
• RQ5 在类似 Tor 的大规模部署中，该检测机制的带宽和资源开销是多少？

主要发现

• 即使在三个网关中继中有两个被 compromise 的情况下，检测算法仍能以高概率过滤掉被 compromise 的电路。
• 对于网关比例 g = 1/3 和 g = 2/3 的情况，与传统 Tor 相比，该方法在电路过滤方面表现出显著改进，显示出强鲁棒性。
• 平均带宽开销估计为每用户 6 KB/s，每小时处理 6 条可用电路，仅占 Tor 总带宽容量的约 5%。
• 系统每小时可支持约 28,000 名并发用户，超过 2012 年 10 月记录的峰值日用户数 619,696。
• 自适应攻击者若切换到概率性丢包策略，无法获得优势，因为其最优策略是避免发起选择性 DoS 攻击。
• 真实世界实验确认，该检测机制能以低延迟和最小性能下降有效防御选择性 DoS 攻击。