トラフィック分析

トラフィック分析は、通信のパターンから情報を推測するためにメッセージを傍受して調査するプロセスです。メッセージが暗号化されている場合でも実行できます。^{[1]一般に、観察されるメッセージの数が多いほど、推測される情報も多くなります。トラフィック分析は、}軍事情報、対諜報、または生活パターン分析のコンテキストで実行でき、コンピューターセキュリティの懸念事項でもあります。

トラフィック分析タスクは、専用のコンピュータソフトウェアプログラムによってサポートされる場合があります。高度なトラフィック分析手法には、さまざまな形式のソーシャルネットワーク分析が含まれる場合があります。

トラフィック分析は歴史的に暗号解読において重要な技術であり、特に解読の試みが既知平文攻撃の成功に依存している場合、運用コンテキストが敵の通信内容にどの程度影響を与える可能性があるかに基づいた独創的な推測が必要になることが多く、短いクリブを確立するのに十分な場合があります。

ネットワークの匿名性を破る

トラフィック分析法は、 TORなどの匿名ネットワークの匿名性を破るために使用できます。^[1]トラフィック分析攻撃には、パッシブとアクティブの2つの方法があります。

パッシブトラフィック分析方法では、攻撃者はネットワークの片側にある特定のフローのトラフィックから特徴を抽出し、ネットワークの反対側でそれらの特徴を探します。
アクティブトラフィック解析法では、攻撃者は特定のパターンに従ってフローのパケットのタイミングを変更し、ネットワークの反対側でそのパターンを探します。したがって、攻撃者はネットワークの一方の側のフローをもう一方の側にリンクして匿名性を破ることができます。パケットにタイミングノイズが追加されても、そのようなノイズに対して堅牢なアクティブトラフィック解析法があることが示されています。^{[検証失敗]}^[1]

軍事情報では

軍事の分野では、トラフィック分析は信号諜報の基本的な部分であり、ターゲットの意図や行動に関する情報源となります。代表的なパターンは次のとおりです。

頻繁なコミュニケーション – 計画性を示すことができる
迅速で短いコミュニケーション – 交渉を意味する場合がある
コミュニケーション不足 – 活動不足、または最終計画の完了不足を示している可能性があります
中央ステーションから特定のステーションへの頻繁な通信 –指揮系統を強調できます
誰が誰と話しているのか – どのステーションが特定のネットワークの「責任者」または「制御ステーション」であるかを示します。これはさらに、各ステーションに関連付けられている人員について何かを暗示します。
誰がいつ話すか – どのステーションがイベントに関連して活動しているかを示すことができ、これは渡される情報について、またおそらく一部のステーションに関係する人々の人員/アクセスについて何かを暗示します。
ステーションからステーションへ、または媒体から媒体へと移動する人物は、移動、傍受の恐れを示している可能性がある

トラフィック分析と暗号解読（一般にコード解読と呼ばれる）には密接な関係があります。コールサインやアドレスは暗号化されていることが多く、識別には支援が必要です。トラフィック量は多くの場合、アドレスの重要性の兆候となり、暗号解読者に今後の目的や動きのヒントを与えます。

交通流のセキュリティ

トラフィックフローセキュリティとは、トラフィック分析を防ぐために、ネットワーク上の有効なメッセージの存在と特性を隠す手段を使用することです。これは、運用手順によって、または一部の暗号化機器に固有の機能による保護によって実行できます。使用される技術には次のものがあります。

無線コールサインを頻繁に変更する
メッセージの送信アドレスと受信アドレスの暗号化（コードレスメッセージ）
ダミートラフィックを送信することで、回線が常にまたはほとんどの時間ビジー状態に見えるようにする
トラフィックが送信されているかどうかに関係なく、暗号化された信号を継続的に送信します。これはマスキングまたは リンク暗号化とも呼ばれます。

トラフィックフローセキュリティは、通信セキュリティの 1 つの側面です。

COMINTメタデータ分析

通信メタデータインテリジェンス、またはCOMINTメタデータは、通信インテリジェンス（COMINT）の用語であり、技術的なメタデータのみを分析してインテリジェンスを生成するという概念を指し、インテリジェンスにおけるトラフィック分析の優れた実用例です。^[2]

従来、COMINT における情報収集は、通信の傍受、ターゲットの通信の盗聴、会話の内容の監視から得られますが、メタデータインテリジェンスは、コンテンツではなく技術的な通信データに基づいています。

非コンテンツ COMINT は通常、場所、連絡先、活動量、ルーチン、例外など、特定の送信機のユーザーに関する情報を推測するために使用されます。

例

たとえば、ある送信機が特定のユニットの無線送信機として知られており、方向探知(DF) ツールを使用することで送信機の位置を特定できる場合、命令や報告を聞かなくても、ある地点から別の地点への位置の変更を推測できます。あるユニットが特定のパターンでコマンドに報告し、別のユニットが同じパターンで同じコマンドに報告する場合、2 つのユニットはおそらく関連しています。この結論は、 2 つのユニットの送信のメタデータに基づいており、送信内容に基づいているわけではありません。

利用可能なメタデータのすべてまたはできるだけ多くを使用することは、戦場のさまざまなエンティティとその接続をマッピングして、電子戦闘序列(EOB) を作成するためによく使用されます。もちろん、すべての会話を盗聴してどのユニットがどこにいるかを理解しようとすることで EOB を作成することもできますが、自動分析ツールでメタデータを使用すると、はるかに高速で正確な EOB の作成が可能になり、盗聴と併せて、はるかに優れた完全な画像を作成できます。

第一次世界大戦

第一次世界大戦中、イギリスのアナリストたちは、敵艦隊を指揮していたドイツの中将ラインハルト・シェーアのコールサインが陸上局に転送されていることに気づいた。シェーアが港を出港する際にコールサインを変更する習慣があることを知らなかったビーティー海軍大将は、その重要性を軽視し、その点を指摘しようとするアナリストたちの試みを無視した。ドイツ艦隊は出撃し、イギリス軍はユトランド沖海戦でドイツ艦隊に出会うのが遅れた。^[3]トラフィック分析をもっと真剣に受け止めていれば、イギリス軍は「引き分け」よりも良い結果を出せたかもしれない。^[^{オリジナル研究?}^]
オーギュスト・ケルクホフスの遺産によって形成されたフランス軍諜報部は、戦前に西部戦線に傍受局のネットワークを構築していた。ドイツ軍が国境を越えると、フランス軍は傍受した信号の強度に基づいて大まかな方向探知手段を考案した。コールサインと交通量の記録により、フランス軍はドイツ軍の戦闘グループを特定し、動きの速い騎兵隊と動きの遅い歩兵隊を区別することができた。^[3]

第二次世界大戦

第二次世界大戦の初期、航空母艦グローリアスはノルウェーからパイロットと航空機を避難させていた。交通分析によりシャルンホルストとグナイゼナウが北海へ移動している兆候が示されたが、海軍本部はそれを証明できないとして却下した。グローリアスの艦長は十分な見張りをしていなかったため、不意を突かれて沈没した。ブレッチリー・パークで海軍本部との連絡係を務めていた若きハリー・ヒンズリーは、交通分析官からの報告がそれ以降ずっと真剣に受け止められるようになったと後に語っている。^[4]
真珠湾攻撃の計画とリハーサル中、無線でやり取りされる通信はごくわずかで、傍受される可能性がありました。関係する船舶、部隊、司令部はすべて日本におり、電話、速達、信号灯、さらには旗で連絡を取り合っていました。その通信はどれも傍受されず、分析できませんでした。^[3]
12月以前の真珠湾に対する諜報活動では、異常な数のメッセージが送られたわけではなかった。日本船は定期的にハワイに寄港し、領事館員がメッセージを運んでいた。少なくとも1隻のそのような船には、日本海軍の情報部員が乗船していた。そのようなメッセージは解析できなかった。しかし、^[5]特定の領事館との間の外交交通量から日本が関心を持つ場所が示唆され、それがトラフィック解析と暗号解読の取り組みを集中させる場所を示唆した可能性があると示唆されている。^[要出典]
南雲提督の真珠湾攻撃部隊は無線を物理的に封鎖し、無線封鎖の下で航行した。真珠湾攻撃の直前の数日間、太平洋艦隊の諜報部は日本の空母の位置を特定できなかったため、それが米国を欺いたかどうかは不明である。^[3]
日本海軍は11月下旬に出港した攻撃部隊との通信解析（以下の例を参照）を妨害するために無線ゲームを行った。通常空母に配属されている無線通信士は、特徴的なモールス信号の「拳」を日本の内海から送信し、空母がまだ日本の近くにいることを示唆した。^[3]^[6]
クイックシルバー作戦は、第二次世界大戦中のノルマンディー上陸作戦におけるイギリスの欺瞞計画の一部であり、イギリスの軍隊配置に関する真実と虚偽の情報の組み合わせをドイツ諜報部に提供し、ドイツ軍にノルマンディーではなくパ＝ド＝カレーへの侵攻を示唆する戦闘序列を推測させた。欺瞞のために編成された架空の師団には本物の無線ユニットが供給され、欺瞞と一致するメッセージの流れを維持した。^[7]

コンピュータセキュリティ

トラフィック分析もコンピュータセキュリティの懸念事項です。攻撃者はネットワークパケットの頻度とタイミングを監視することで重要な情報を得ることができます。SSHプロトコルに対するタイミング攻撃では、対話型セッション中にSSHが各キーストロークをメッセージとして送信するため、タイミング情報を使用してパスワードに関する情報を推測できます。 ^[8]キーストロークメッセージ間の時間は、隠れマルコフモデルを使用して調査できます。Songらは、ブルートフォース攻撃よりも50倍速くパスワードを回復できると主張しています。

オニオンルーティングシステムは匿名性を得るために使用されています。トラフィック分析は、Tor匿名ネットワークのような匿名通信システムを攻撃するために使用できます。Adam Back、Ulf Möeller、Anton Stiglicは、匿名性を提供するシステムに対するトラフィック分析攻撃を発表しました。^[9] ケンブリッジ大学のSteven J. MurdochとGeorge Danezisは、トラフィック分析によって、どのノードが匿名ストリームを中継しているかを敵が推測できることを示す研究を発表しました^[10] 。これにより、Torが提供する匿名性が低下します。彼らは、本来は無関係なストリームが同じイニシエーターにリンクできることを示しました。

リメーラーシステムは、トラフィック分析によっても攻撃を受ける可能性があります。メッセージがリメーリングサーバーに送信され、その後すぐに同じ長さの (匿名化された) メッセージがサーバーから送信されたことが確認された場合、トラフィック分析者は送信者と最終的な受信者を (自動的に) 結び付けることができる可能性があります。トラフィック分析の効果を低下させる可能性のある、リメーラー操作のバリエーションが存在します。

トラフィック分析には、サイバーセキュリティの脅威を傍受して精査し、出口ノードを通過する匿名データに関する貴重な洞察を収集することが含まれます。ダークウェブのクローリングと専用ソフトウェアに根ざした技術を使用することで、ダークウェブ内のクライアントのネットワークトラフィックの特定の特性を特定できます。^[11]

対策

メッセージを暗号化し、チャネルをマスクしなければ、トラフィック分析を破ることは困難です。実際のメッセージが送信されていない場合、暗号化されたトラフィックに似たダミートラフィックを送信することでチャネルをマスク^{[12]することができ、帯域幅の使用量を一定に保つことができます。}^[13]「メッセージのサイズやタイミングに関する情報を隠すのは非常に困難です。既知のソリューションでは、アリスが使用する最大帯域幅でメッセージのストリームを連続的に送信する必要があります...これは軍事用途では許容されるかもしれませんが、ほとんどの民間用途では許容されません。」軍事対民間の問題は、送信された情報の量に応じてユーザーが課金される状況に当てはまります。

パケットごとの料金が発生しないインターネットアクセスの場合でも、ISP は、ユーザーサイトからの接続が 100% の時間混雑することはないだろうという統計的な仮定を立てます。マスキングによっても帯域幅が満たされてしまうため、ユーザーはリンクの帯域幅を単純に増やすことはできません。エンドツーエンドの暗号化装置に組み込まれることが多いマスキングが一般的な慣行になると、ISP はトラフィックの仮定を変更する必要があります。

参照

参考文献

^ abc Soltani, Ramin; Goeckel, Dennis; Towsley, Don; Houmansadr, Amir (2017-11-27). 「証明可能な不可視ネットワークフロー指紋に向けて」2017 第 51 回信号、システム、およびコンピューターに関するアシロマ会議IEEE. pp. 258–262. arXiv : 1711.10079 . doi :10.1109/ACSSC.2017.8335179. ISBN 978-1-5386-1823-3. S2CID 4943955。{{cite conference}}: CS1 maint: date and year (link)
^ 「軍事用語および関連用語辞典」(PDF)。国防総省。2001年4月12日。2009年11月8日時点のオリジナル(PDF)からアーカイブ。
^ abcde カーン、デイヴィッド（1974）。『暗号解読者：秘密の文章の物語』マクミラン。ISBN 0-02-560460-0カーン-1974。
^ Howland, Vernon W. (2007-10-01). 「HMS Glorious の喪失: 行動の分析」。2001-05-22 時点のオリジナルよりアーカイブ。2007-11-26閲覧。
^ コステロ、ジョン (1995)。悪名高き日々: マッカーサー、ルーズベルト、チャーチル - 衝撃の真実が明らかに: 彼らの秘密の取引と戦略的失策がいかにしてピアハーバーとフィリピンで惨事を引き起こしたか。ポケット。ISBN 0-671-76986-3。
^ レイトン、エドウィン・T、ロジャー・ピノー、ジョン・コステロ（1985年）。「そして私はそこにいた」：真珠湾とミッドウェー -- 秘密を暴く。ウィリアム・モロー＆カンパニーISBN 0-688-04883-8。
^ マスターマン、ジョン・C (1972) [1945]。1939年から1945年の戦争における二重交差システム。オーストラリア国立大学出版局。p. 233。ISBN 978-0-7081-0459-0。
^ Song, Dawn Xiaodong; Wagner, David; Tian, Xuqing (2001)。「キーストロークのタイミング分析と SSH でのタイミング攻撃」。第 10 回 USENIX セキュリティシンポジウム。 {{cite journal}}:ジャーナルを引用するには|journal=(ヘルプ)が必要です
^ Adam Back、Ulf Möeller、Anton Stiglic (2001)。「匿名性提供システムにおけるトラフィック分析攻撃とトレードオフ」(PDF)。Springer Proceedings - 4th International Workshop Information Hiding。2013-06-23にオリジナルからアーカイブ(PDF) 。2013-10-05に取得。
^ Murdoch, Steven J.; George Danezis (2005). 「Tor の低コストトラフィック分析」(PDF)。2013 年 11 月 26 日のオリジナルからアーカイブ(PDF) 。2005 年 10 月 18 日閲覧。
^ Gokhale, C.; Olugbara, OO (2020-08-17). 「南アフリカのインターネットプロトコルアドレス空間を通じたサイバーセキュリティの脅威に関するダークウェブトラフィック分析」SNコンピュータサイエンス. 1 (5): 273. doi : 10.1007/s42979-020-00292-y . ISSN 2661-8907.
^ Xinwen Fu、Bryan Graham、Riccardo Bettati、Wei Zhao。「アクティブトラフィック分析攻撃と対策」(PDF) 。 2006年9月13日時点のオリジナル(PDF)からアーカイブ。2007年11月6日閲覧。{{cite web}}: CS1 maint: multiple names: authors list (link)
^ Niels Ferguson & Bruce Schneier (2003)。『実用暗号』。John Wiley & Sons。

ファーガソン、ニールス、シュナイアー、ブルース (2003)。実用暗号。ワイリー。p. 114。ISBN 0-471-22357-3。
Wang XY、Chen S、Jajodia S (2005 年 11 月)。「インターネット上の匿名ピアツーピア VoIP 通話の追跡」(PDF)。第 12 回 ACM コンピュータ通信セキュリティ会議 (CCS 2005) の議事録。2006 年 8 月 30 日のオリジナル(PDF)からアーカイブ。
FMVスウェーデン
NATO連合作戦におけるマルチソースデータ融合

さらに読む

http://www.cyber-rights.org/interception/stoa/interception_capabilities_2000.htm — ダンカン・キャンベルによる研究
https://web.archive.org/web/20070713232218/http://www.onr.navy.mil/02/baa/docs/07-026_07_026_industry_briefing.pdf
匿名で選ばれた論文 —フリー・ヘイブンについて

[:0-1] Soltani, Ramin; Goeckel, Dennis; Towsley, Don; Houmansadr, Amir (2017-11-27). 「証明可能な不可視ネットワークフロー指紋に向けて」2017 第 51 回信号、システム、およびコンピューターに関するアシロマ会議IEEE. pp. 258–262. arXiv : 1711.10079 . doi :10.1109/ACSSC.2017.8335179. ISBN 978-1-5386-1823-3. S2CID 4943955。{{cite conference}}: CS1 maint: date and year (link)

[2] 「軍事用語および関連用語辞典」(PDF)。国防総省。2001年4月12日。2009年11月8日時点のオリジナル(PDF)からアーカイブ。

[Kahn-3] カーン、デイヴィッド（1974）。『暗号解読者：秘密の文章の物語』マクミラン。ISBN 0-02-560460-0カーン-1974。

[4] Howland, Vernon W. (2007-10-01). 「HMS Glorious の喪失: 行動の分析」。2001-05-22 時点のオリジナルよりアーカイブ。2007-11-26閲覧。

[5] コステロ、ジョン (1995)。悪名高き日々: マッカーサー、ルーズベルト、チャーチル - 衝撃の真実が明らかに: 彼らの秘密の取引と戦略的失策がいかにしてピアハーバーとフィリピンで惨事を引き起こしたか。ポケット。ISBN 0-671-76986-3。

[6] レイトン、エドウィン・T、ロジャー・ピノー、ジョン・コステロ（1985年）。「そして私はそこにいた」：真珠湾とミッドウェー -- 秘密を暴く。ウィリアム・モロー＆カンパニーISBN 0-688-04883-8。

[7] マスターマン、ジョン・C (1972) [1945]。1939年から1945年の戦争における二重交差システム。オーストラリア国立大学出版局。p. 233。ISBN 978-0-7081-0459-0。

[Song2001-8] Song, Dawn Xiaodong; Wagner, David; Tian, Xuqing (2001)。「キーストロークのタイミング分析と SSH でのタイミング攻撃」。第 10 回 USENIX セキュリティシンポジウム。 {{cite journal}}:ジャーナルを引用するには|journal=(ヘルプ)が必要です

[9] Adam Back、Ulf Möeller、Anton Stiglic (2001)。「匿名性提供システムにおけるトラフィック分析攻撃とトレードオフ」(PDF)。Springer Proceedings - 4th International Workshop Information Hiding。2013-06-23にオリジナルからアーカイブ(PDF) 。2013-10-05に取得。

[10] Murdoch, Steven J.; George Danezis (2005). 「Tor の低コストトラフィック分析」(PDF)。2013 年 11 月 26 日のオリジナルからアーカイブ(PDF) 。2005 年 10 月 18 日閲覧。

[11] Gokhale, C.; Olugbara, OO (2020-08-17). 「南アフリカのインターネットプロトコルアドレス空間を通じたサイバーセキュリティの脅威に関するダークウェブトラフィック分析」SNコンピュータサイエンス. 1 (5): 273. doi : 10.1007/s42979-020-00292-y . ISSN 2661-8907.

[12] Xinwen Fu、Bryan Graham、Riccardo Bettati、Wei Zhao。「アクティブトラフィック分析攻撃と対策」(PDF) 。 2006年9月13日時点のオリジナル(PDF)からアーカイブ。2007年11月6日閲覧。{{cite web}}: CS1 maint: multiple names: authors list (link)

[13] Niels Ferguson & Bruce Schneier (2003)。『実用暗号』。John Wiley & Sons。