[论文解读] Spying the World from your Laptop -- Identifying and Profiling Content Providers and Big Downloaders in BitTorrent

Stevens Le Blond, Arnaud Legout+3 more|arXiv (Cornell University)|Apr 6, 2010

Peer-to-Peer Network Technologies参考文献 10被引用 46

一句话总结

本文展示了如何通过利用公开的追踪器和网站数据，使单台机器持续监控BitTorrent流量，以高精度识别内容发布者和大流量下载者。在103天内，作者收集了1.48亿个IP地址，并识别出70%新Torrent的内容发布者，揭示了少数外国数据中心托管了大部分内容注入，暴露了P2P文件共享中的重大隐私风险。

ABSTRACT

This paper presents a set of exploits an adversary can use to continuously spy on most BitTorrent users of the Internet from a single machine and for a long period of time. Using these exploits for a period of 103 days, we collected 148 million IPs downloading 2 billion copies of contents. We identify the IP address of the content providers for 70% of the BitTorrent contents we spied on. We show that a few content providers inject most contents into BitTorrent and that those content providers are located in foreign data centers. We also show that an adversary can compromise the privacy of any peer in BitTorrent and identify the big downloaders that we define as the peers who subscribe to a large number of contents. This infringement on users' privacy poses a significant impediment to the legal adoption of BitTorrent.

研究动机与目标

• 揭示仅使用公开信息源，从单台机器长期大规模监视BitTorrent用户的可行性。
• 通过利用追踪器和网站数据，识别并分析内容发布者——即首次向BitTorrent注入内容的对等方。
• 在存在网络混淆技术的情况下，检测并准确分析大流量下载者（即订阅大量Torrent的对等方）的特征。
• 开发一种方法，过滤掉NAT、代理、Tor节点和监控工具带来的误报，以确保对活跃对等方的准确识别。
• 强调此类监视带来的隐私影响，特别是对BitTorrent在非盗版场景下的合法应用所构成的隐私风险。

提出的方法

• 每分钟自动抓取ThePirateBay的‘新注入内容’页面，以检测新创建的Torrent及其关联的追踪器。
• 在新Torrent出现后的几秒内发起追踪器通告请求，以捕获最早出现的对等方，假设其为内容发布者（因其出现时间最早）。
• 通过标准通告请求和获取全部信息请求，收集并关联追踪器响应中的IP地址，以建立对等方与内容的映射关系。
• 实施一个过滤流水线，检测并排除来自NAT、HTTP/Socks代理、Tor出口节点和监控工具的误报，以确保大流量下载者的准确识别。
• 将该方法扩展至DHT（分布式哈希表）基础设施，使用类似技术在无中心追踪器的情况下独立收集IP与内容的映射关系。
• 采用轻量级、单机测量系统，通过最小化进程创建和优化请求处理，避免产生过大的系统开销。

实验结果

研究问题

• RQ1 攻击者能否仅使用公开信息源，识别出BitTorrent中内容发布者的IP地址？
• RQ2 有多少内容发布者负责了BitTorrent中绝大多数新内容的注入？它们在地理和基础设施层面位于何处？
• RQ3 在存在网络级混淆技术的情况下，攻击者在多大程度上能准确识别大流量下载者（即订阅大量Torrent的对等方）？
• RQ4 在识别大流量下载者时，主要的误报来源是什么？如何系统性地过滤掉这些误报？
• RQ5 是否可行仅依靠单台机器，无需大规模基础设施支持，实现对BitTorrent流量的长期、大规模监控？

主要发现

• 作者在103天的监测期内，成功识别出70%新Torrent的内容发布者IP地址。
• 少数内容发布者——主要位于外国数据中心——承担了绝大多数新内容的注入，其中一名发布者每天上传超过六个新Torrent。
• 该测量系统共收集了1.48亿个唯一IP地址，分发了20亿份内容副本，覆盖120万个不同内容。
• 与先前工作相比，该系统实现了50倍的效率提升，仅用一台机器在12小时内收集了700万个IP地址，而此前研究需35台机器完成相同任务。
• 该方法成功过滤掉来自NAT、代理、Tor出口节点和监控工具的误报，实现了对真实大流量下载者的准确识别。
• 相同的追踪方法在DHT上也成功应用，证实该隐私漏洞在集中式追踪器和去中心化DHT基础设施中均普遍存在。