[论文解读] Spying on the Smart Home: Privacy Attacks and Defenses on Encrypted IoT Traffic

Noah Apthorpe, Dillon Reisman+3 more|arXiv (Cornell University)|Aug 16, 2017

Internet Traffic Analysis and Secure E-voting参考文献 20被引用 181

一句话总结

本文证明被动网络观察者可以从加密的物联网流量元数据中推断家庭内活动，并提出流量整形作为一种实际的隐私防御措施。

ABSTRACT

The growing market for smart home IoT devices promises new conveniences for consumers while presenting new challenges for preserving privacy within the home. Many smart home devices have always-on sensors that capture users' offline activities in their living spaces and transmit information about these activities on the Internet. In this paper, we demonstrate that an ISP or other network observer can infer privacy sensitive in-home activities by analyzing Internet traffic from smart homes containing commercially-available IoT devices even when the devices use encryption. We evaluate several strategies for mitigating the privacy risks associated with smart home device traffic, including blocking, tunneling, and rate-shaping. Our experiments show that traffic shaping can effectively and practically mitigate many privacy risks associated with smart home IoT devices. We find that 40KB/s extra bandwidth usage is enough to protect user activities from a passive network adversary. This bandwidth cost is well within the Internet speed limits and data caps for many smart homes.

研究动机与目标

• 证明来自加密的智能家居物联网设备的流量元数据能够揭示家庭内部的隐私活动。
• 评估现有防御措施（阻断、隧道传输）在元数据隐私攻击中的有效性。
• 提出并实现一种使用独立链路填充（ILP）进行流量整形的实用隐私保护方法。
• 评估跨多种设备类型和使用场景的 ILP 带宽与时延开销。

提出的方法

• 建模具有对末端网络流量（NetFlow/PCAP）和 DNS 指纹识别访问能力的被动网络对手，以识别设备。
• 表明可以通过 MAC 前缀、DNS 查询和流量速率指纹来识别设备。
• 在对多个设备（WeMo 开关、Sense 睡眠监测、Nest Cam、Echo）进行设备识别后，通过流量速率的变化来推断活动。
• 通过独立链路填充（ILP）实现流量整形，结合 VPN，将设备流量路由到外部端点并进行填充/缓冲以固定速率。
• 评估 ILP 对非音视频设备的带宽开销及时延影响（覆盖流量低于 7.5 KB/s），以及对音视频设备（覆盖流量高达 40 KB/s）的影响。
• 描述在 Raspberry Pi 网关上使用 tc（Linux 流量控制）和 OpenVPN 进行端到端整形的实际实现。

实验结果

研究问题

• RQ1 被动网络观察者是否可以从加密的智能家居流量元数据推断私密的家庭活动？
• RQ2 传统防御措施（阻断、VPN 隧道传输）在防止基于流量速率的活动推断方面有多有效？
• RQ3 独立链路填充（ILP）是否是智能家居的实用隐私防御？在不同设备类型下的带宽和时延成本是多少？
• RQ4 在现实世界的智能家居部署中，ILP 的实际开销和可用性影响是什么？

主要发现

• 流量速率元数据即使在流量被加密的情况下，也能揭示睡眠模式、设备状态和运动事件。
• 阻断互联网访问会使许多智能家居功能失效，表明阻塞者并非可靠的隐私解决方案。
• 通过 VPN 隧道传输提升难度但不能保证隐私，因为在 VPN 下仍存在基于速率的指纹识别。
• 独立链路填充（ILP）可以通过将流量整形为预定速率来可证明地防止元数据攻击，开销适中。
• 对于非音视频设备，覆盖流量低至 7.5 KB/s 即可隐藏用户活动（低于美国宽带速度的 0.4% ）。
• 对于流式音视频的设备，每户覆盖流量高达 40 KB/s 即可保护隐私（低于美国宽带上传速度的 2%）。
• 在 Raspberry Pi 网关上使用 VPN 和基于 tc 的整形的实用 ILP 实现，证明了在现实世界部署的可行性。