[论文解读] SiamHAN: IPv6 Address Correlation Attacks on TLS Encrypted Traffic via Siamese Heterogeneous Graph Attention Network

Tianyu Cui, Gaopeng Gou+4 more|arXiv (Cornell University)|Apr 20, 2022

Internet Traffic Analysis and Secure E-voting参考文献 28被引用 4

一句话总结

本文提出 SiamHAN，一种孪生异构图注意力网络，通过在知识图谱中建模多级语义特征，实现对 TLS 加密流量中 IPv6 地址与用户之间的关联。在长期用户追踪中达到 99% 的准确率，在用户发现任务中达到 88%，显著优于当前最先进方法（如 Deepcorr），后者分别仅达到 85% 和 60% 的准确率。

ABSTRACT

Unlike IPv4 addresses, which are typically masked by a NAT, IPv6 addresses could easily be correlated with user activity, endangering their privacy. Mitigations to address this privacy concern have been deployed, making existing approaches for address-to-user correlation unreliable. This work demonstrates that an adversary could still correlate IPv6 addresses with users accurately, even with these protection mechanisms. To do this, we propose an IPv6 address correlation model - SiamHAN. The model uses a Siamese Heterogeneous Graph Attention Network to measure whether two IPv6 client addresses belong to the same user even if the user's traffic is protected by TLS encryption. Using a large real-world dataset, we show that, for the tasks of tracking target users and discovering unique users, the state-of-the-art techniques could achieve only 85% and 60% accuracy, respectively. However, SiamHAN exhibits 99% and 88% accuracy.

研究动机与目标

• 应对由于 NAT 使用稀少、IPv6 地址常为静态或可预测，导致在 TLS 加密流量中 IPv6 地址关联带来的日益增长的隐私威胁。
• 克服先前方法依赖地址结构或流量模式分析的局限性，这些方法易产生误报且可扩展性有限。
• 开发一种可扩展、高准确率的方法，即使在 TLS 加密和地址随机化保护下，也能将任意 IPv6 地址关联至同一用户。
• 证明在异构知识图谱上使用多级注意力与度量学习，可显著提升现有方法在用户关联任务中的准确率。

提出的方法

• 利用来自 TLS 握手和流量模式的多类型语义元信息，为每个 IPv6 客户端地址构建异构知识图谱。
• 采用孪生网络架构比较知识图谱对，实现端到端的地址到用户关联学习。
• 集成异构图注意力网络（HGAT），以捕捉知识图谱中不同类型节点与边之间的复杂多级关系。
• 通过对比损失函数应用度量学习，学习一种鲁棒的距离度量，用于衡量两个客户端图之间的相似性。
• 使用多头注意力机制，动态加权图中不同特征与关系的重要性。
• 在位于观测点收集的 5 个月真实世界 IPv6 流量数据集上训练模型，使用正样本对与负样本对进行对比学习。

实验结果

研究问题

• RQ1 在存在地址随机化与加密保护的情况下，机器学习模型能否有效基于 TLS 加密流量将 IPv6 地址关联至同一用户？
• RQ2 在长期用户追踪与用户发现任务中，所提出的 SiamHAN 模型相较于当前最先进关联技术（如 Deepcorr）的性能表现如何？
• RQ3 与更简单的分类或嵌入式方法相比，多级注意力与度量学习在多大程度上提升了 IPv6 地址关联的准确率？
• RQ4 针对此类关联攻击，最有效的防护措施是什么？流量混淆与攻击面缩减对模型性能有何影响？

主要发现

• SiamHAN 在长达 5 个月的周期内追踪目标用户，准确率达 99%，显著优于 Deepcorr 的 85%。
• 在用户发现任务中，SiamHAN 准确率达 88%，而 Deepcorr 仅为 60%，表明其具备更优的可扩展性与鲁棒性。
• 即使仅使用一个月的背景知识，模型仍保持高性能，实现 90% 的成对地址关联准确率。
• 将距离度量替换为二分类器（SiamHAN-Classifier）后，性能出现显著下降，证实了度量学习的优越性。
• 结合多种流量混淆技术（如随机伪造地址与背景流量）后，SiamHAN 在地址关联任务中的准确率降至 70.5%，表明当多层防护同时应用时，防御是可行的。
• SiamHAN 的时间复杂度为追踪任务 O(cN)，发现任务 O(kN)，适用于大规模真实世界监控场景的高效部署。