Sybilguard. Evitare il Sybil Attack. Matteo Dell'Amico Sistemi Distribuiti P2P A.A dicembre 2007

Transcript

1 Evitare il Sybil Attack Sistemi Distribuiti P2P A.A dicembre 2007

2 Indice 1 Scenario Idea 2 Possibili problemi Implementazione 3 Probabilità di intersezione Resistenza all'attacco

3 Sybil attack, in generale Scenario Idea Il sybil attack visto nora utilizza numerose identità false per migliorare la reputazione. In alcuni casi, per fare danno è suciente avere molte identità false. Esempio: voti a maggioranza. Soluzione semplice Si potrebbe pensare di accettare al più un utente per indirizzo IP (o blocco di indirizzi IP). Alcuni utenti legittimi possono venire bloccati. Esempio: masquerading, rewall... È ragionevolmente facile presentare molti indirizzi IP diversi (p. es., attacchi usando BGP).

4 Sybil attack, in generale Scenario Idea Il sybil attack visto nora utilizza numerose identità false per migliorare la reputazione. In alcuni casi, per fare danno è suciente avere molte identità false. Esempio: voti a maggioranza. Soluzione semplice Si potrebbe pensare di accettare al più un utente per indirizzo IP (o blocco di indirizzi IP). Alcuni utenti legittimi possono venire bloccati. Esempio: masquerading, rewall... È ragionevolmente facile presentare molti indirizzi IP diversi (p. es., attacchi usando BGP).

5 Gli attack edge Scenario Idea Yu, Kaminsky, Gibbons, Flaxman 2006 Utilizzare una rete sociale per difendersi dal sybil attack. È facile creare nuovi nodi, è dicile creare nuovi archi verso nodi autentici (attack edge). Distinguiamo i nodi in base ai cammini che li raggiungono.

6 I Sybil group Scenario Idea Deniamo una relazione di equivalenza tra i nodi. Suddivide la rete in gruppi di equivalenza. Chiamiamo Sybil group un gruppo nel quale uno o più nodi sono falsi. Supponiamo di accettare w nodi all'interno di ogni gruppo di equivalenza. Vogliamo limitare il numero g di sybil group (e, di conseguenza, il numero di nodi maligni accettati gw ): al più uno per attack edge.

7 Random walk Scenario Idea Il taglio che separa la parte buona della rete dai cattivi è basso. Problema MaxFlow - MinCut: computazionalmente costoso. Analogamente ad EigenTrust, sostituiamo il calcolo dicile del usso con il calcolo semplice di un cammino casuale. I nodi maligni saranno raggiunti da pochi cammini. Dobbiamo fare in modo che i cammini siano vericabili.

8 Random walk Scenario Idea Il taglio che separa la parte buona della rete dai cattivi è basso. Problema MaxFlow - MinCut: computazionalmente costoso. Analogamente ad EigenTrust, sostituiamo il calcolo dicile del usso con il calcolo semplice di un cammino casuale. I nodi maligni saranno raggiunti da pochi cammini. Dobbiamo fare in modo che i cammini siano vericabili.

9 Random walk Scenario Idea Il taglio che separa la parte buona della rete dai cattivi è basso. Problema MaxFlow - MinCut: computazionalmente costoso. Analogamente ad EigenTrust, sostituiamo il calcolo dicile del usso con il calcolo semplice di un cammino casuale. I nodi maligni saranno raggiunti da pochi cammini. Dobbiamo fare in modo che i cammini siano vericabili.

10 Possibili problemi Implementazione (random routes) Permutazione casuale uno a uno tra archi entranti ed archi uscenti. Proprietà in più rispetto ai cammini casuali: Convergenza due cammini entranti dallo stesso arco escono dallo stesso. Percorribilità all'indietro l'arco uscente determina univocamente l'arco di ingresso.

11 Intersezioni Possibili problemi Implementazione Ogni nodo calcola un percorso casuale partendo da sé, lungo w passi. Il nodo viene accettato se il percorso di chi verica incontra il percorso del sospetto. L'intersezione dicilmente è nella parte maligna della rete sociale, perché gli attack edges sono pochi.

12 Intersezioni Possibili problemi Implementazione I nodi maligni potrebbero non rispettare il protocollo delle random routes. Per la proprietà di convergenza, tutti i percorsi devono seguire lo stesso percorso una volta attraversato l'attack edge. Se l'intersezione ha luogo su un nodo onesto, tutti i nodi che seguono lo stesso arco fanno parte dello stesso gruppo di equivalenza.

13 Compromissione di nodi Possibili problemi Implementazione È possibile che un attaccante comprometta un nodo onesto. In questo caso, tutti gli archi partenti dal nodo onesto diventano attack edge. Per limitare il danno, si può limitare il grado massimo d nella rete sociale (es, 20).

14 Percorsi problematici: cicli Possibili problemi Implementazione Un ciclo è un percorso nel quale almeno un arco viene attraversato nella stessa direzione per almeno due volte. Riducono la lunghezza eettiva del percorso da w alla lunghezza del ciclo. Se tutti i nodi avessero grado d, probabilità che un percorso di lunghezza 3 sia un ciclo: 1 d 2. In conclusione: i cicli sono sucientemente dicili da raggiungere.

15 Possibili problemi Implementazione Percorsi problematici: regione maligna Un percorso che attraversa un attack edge nisce nella regione maligna, dove è controllabile dagli avversari. Si può dimostrare che questo è sucientemente improbabile quando w = Θ( n log n) e g = o( n/ log n). Una dimensione di w = Θ( n log n) ci permette di trovare con alta probabilità un'intersezione con nodi non maligni.

16 Ridondanza Possibili problemi Implementazione Per minimizzare l'impatto dei percorsi problematici, possiamo prendere in considerazione tutti i percorsi uscenti dal vericatore V. Ogni percorso accetta il sospetto S se esiste un percorso partente da S che lo intercetta. Utilizziamo un meccanismo di votazione per decidere se accettare S (per esempio, lo accettiamo se la maggioranza lo accetta).

17 Registry table Possibili problemi Implementazione Gli identicatori A, B, C, D sono hash di chiavi pubbliche crittograche. Registry table: l'i-esimo elemento per l'arco e è il nodo che ha l'arco e come i-esimo hop. Le tabelle sono propagate attraverso i percorsi casuali.

18 Witness table Possibili problemi Implementazione Le registry table memorizzano i percorsi entranti. Le witness table, analogamente, memorizzano i percorsi uscenti. Contengono anche l'indirizzo IP dei nodi, per aiutarne il rintracciamento.

19 Verica Possibili problemi Implementazione Supponiamo che il sospetto S debba essere vericato da V. S invia a V tutte le sue witness table e la sua chiave pubblica. Per ogni witness table di V, si cercano le intersezioni con le witness table inviate da S. Se il nodo nell'intersezione conferma la presenza di S nella sua registry table, la witness table accetta il nodo. Se la maggioranza delle witness table accettano il nodo, V viene accettato.

20 Probabilità di intersezione Probabilità di intersezione Resistenza all'attacco In questo esperimento, non ci sono nodi maligni. Rete con un milione di nodi. Per chi ha fatto AR2: reti generate dal modello di Kleinberg.

21 Difendersi dagli attaccanti Probabilità di intersezione Resistenza all'attacco Alla rete precedente, aggiungiamo gli attack edges. w = Se il percorso rimane nella regione onesta, non accetteremo nodi maligni.

22 Falsi positivi Probabilità di intersezione Resistenza all'attacco Stesso esperimento precedente, valutiamo la probabilità di non accettare un nodo buono.