Security/Anonymity in P2P Networks av Lars Lundin Josef Andersson Lennie Fredriksson I och med fildelningsprogrammens intåg på Internet har det blivit en enkel procedur att ta del av det enorma utbud av musik, film och program som finns att tillgå. Ett problem i peer to peer kommunikation är att full anonymitet och därmed en del av säkerheten inte alltid kan garanteras för alla parter i systemet. Många existerande tekniker för anonymitet i klient/server-modellen, gömmer bara identiteten för klienten från servern, men inte vice versa. Vårt P.M undersöker och ger en överblick på en av de existerande tekniker som finns att tillgå för att alla parter ska erhålla fullständig anonymitet och säkerhet. Detta sker genom att vi undersöker en av de anonyma peer to peer modeller som finns, Mute. Vi kommer fram till att det finns fungerande tekniker som stärker anonymitet/säkerhet, men också att dessa inte är använda i stor skala idag.
Innehåll 1 Inledning...3 1.1 Problem... 3 1.2 Frågeställningar... 3 2 Teoretisk bakgrund... 3 2.1 Attack på p2p system... 5 2.2 Något om synen på anonymitet... 5 2.3 MUTE... 5 3 Resultat... 6 4 Diskussion... 7 5 Svar på våra frågeställningar... 7 6 Referenser... 7 2
1 Inledning 1.1 Problem Anonymitet och säkerheten i peer-to-peer (P2P) nätverk är inte alltid garanterad. Som regel är det ofta upp till användaren att undersöka om hans P2P nätverk stöder anonymitet. Det kan komma att ändras allteftersom användare blir medvetna om denna brist. Vår rapport kommer bl.a. att undersöka hur Mute har löst detta dilemma. Ett annat problem är hur man skall ställa sig till anonymitet moraliskt, då t.ex. detta kan användas till att sprida virus, trojanska hästar m.m. [1]. Vi har här tittat specifikt på säkerhet genom anonymitetsaspekten i P2P nätverk. Huvudsyftet med denna rapport är alltså att undersöka huruvida säkerhet med inriktning på anonymitet fungerar i P2P nätverk. Några artiklar inom området undersöks, samt att vi överblickar hur P2P nätverket Mute har löst denna aspekt. Vi förväntar oss att finna att anonymitet och säkerhet inte ses som självklart i generella P2P nätverk idag, men att metoder som fungerar finns. 1.2 Frågeställningar Några frågor vi hoppas kunna besvara genom vår rapport: Hur kan anonymitet erhållas i P2P nätverk? Hur kan säkerhet erhållas i P2P nätverk? Hur fungerar det i praktiken? Ex. vi tittar på ett nätverk som utger sig ge anonymitet., Mute. 2 Teoretisk bakgrund P2P är ett generellt namn på något som till en början var avsett att beskriva ett nätverksprotokoll där alla noder i ett nätverk har samma roll. Ingen nod har ett speciellt ansvar att övervaka övriga noders beteende. Numera används termen för att beskriva applikationer där användare kan agera klient och distributör av olika resurser. Nuvarande P2P-applikationer kan indelas i följande tre kategorier enligt [1]: Fildelning: För att kunna dela med sig av filer finns applikationer som Direct Connect[5], Kazaa[6], FreeNet [7] etc. Distribuerad processorkraft: Istället för att dela med sig av filer, delar användare med sig av sin datorkraft som kan användas för resurskrävande uppgifter. Direkta meddelanden: För att användare ska kunna chatta, utbyta röstmeddelanden etc. Av dom nuvarande systemen sägs Kaaza vara det mest populära, med mer än 120 miljoner nedladdningar världen över. GUI:et är lätt att hantera: man skriver in en fråga i ett textblock, varvid man får en lista på matchande filnamn att ladda ner [2]. Om delning är på så delas automatiskt det som laddas ner ut på nätverket. Det är enligt författaren mycket lätt att dela ut filer av misstag som t.ex. privata data mm. I en undersökning denne gjort gav en sökning på outlook express databas filer och andra privata data massor av träffar. Man pekar också på en studie av just Kazaa som menar på att många användare var omedvetna om att dom delade ut hela sin hårddisk på nätet. De flesta fildelningsnätverken är idag decentraliserade. [3]. Denna decentralisering innebär lagligt skydd för de företag som distribuerar mjukvaran, eftersom de inte behöver köra någon nätverkskomponent själva. Nätverket kan alltså överleva utan huvudföretagets samverkan. Ett generellt P2P nätverk för fildelning är ungefär som ett spindelnät, där en samling noder är sammanlänkade. En nod länkas till några noder som kopplas vidare till andra noder osv. Detta kan då se ut så här: 3
Bild 1 Noder i P2P,Jason Roher 2003 I och med att de flesta meddelanden skickas okrypterade och att fildelning kan vara olaglig kan det finnas ett behov av att erhålla anonymitet. Fildelning ger också ett ökat säkerhetsproblem eftersom skadlig programvara som trojanska hästar och virus också kan distribueras och spridas via dessa fildelningsprogram. Eftersom noder i ett P2P nätverk spelar rollen både som klient och server har man infört beteckningen servent för dessa. Ett P2P filutbyte består av två faser: sök och ladda ner. Sökning består av att leta efter en servent och en given fil. I nerladdningsfasen är en uppkoppling etablerad med en servent och en nerladdning startad. Nerladdningsfasen är ganska lik i alla P2P applikationer; oftast används de traditionella TCP/IP protokollen (FTP, http m.m.). Sökning i ett generellt P2P nätverk går då till så att man sänder man en sök request till sina nodgrannar som sänder denna vidare osv. De noder som hittas och innehar det användaren sökte returneras. Exemplvis med sökning på metallica mp3 : 128.223.12.122 Metallica Enter_Sandman.mp3 128.223.12.122 Metallica Unforgiven.mp3 128.223.12.122 Bild 2 Sökresultat i P2P,Jason Roher 2003 Metallica Everywhere_I_Roam.mp3 Notera här att IP adresserna syns. Anta i bilden nedan att den blå noden är 128.223.12.122 som returnerar 3 Metallica resultat: Bild 3 Sökresultat i P2P,Jason Roher 2003 4
Bara genom en enkel sökning har man alltså utbytt IP-adresser. För att ta reda på individen som står för den funna IP adressen, kan man gå vidare till ISP:n. [3] Standard fildelning har alltså en stor svaghet gällande anonymitet. IP-adresserna är fullt synliga för den som vill ha dem. Orsaken till detta problem är att det inte finns något sätt att göra en direktkoppling utan att veta nodens IP-adress. På samma sätt finns det inget sätt för noden att acceptera användarens nedladdning utan att veta dennas IP-adress i generell P2P. 2.1 Attack på p2p system Självreplikation: Den enklaste versionen av denna attack baseras på faktumet att det i nuvarande P2P-systemen inte finns ett sätt att verifiera källan av ett meddelande. De flesta P2P-system har sitt eget namnutrymme, som tillåter temporära identiteter oavsett IP-adress. Dessa kan oftast ändras vid varje interaktion. Självklart har varje peer en IP-adress, men IP-baserad identifikation är inte effektivt. En peer skulle här kunna svara positivt på alla frågor och returnera skadefullt innehåll. T.ex. en Gnutella mask vid namn Mandragore registrerar sig själv som en aktiv peer, och svarar positivt till alla request s, där den sedan skickar en kopia av sig själv. Man in the middle. Denna attacktyp tar fördel av det faktum att vid P2P-routing kan en ondskefull peer ligga mellan källa och mål. Man kan då fånga upp och ändra data. Flera försök [1] har adresserat problemet med säkerhet i P2P scenarion. En stor förgrening har arbetat med att förbättra access kontroller med nya autenticeringsmetoder och möjligheter att adressera faktumet att access requests kan representera interaktion mellan parter som vet lite om varandra. Man fokuserar då på att låta en peer agera server för att begränsa andras åtkomst till resurser. P2P introducerar också andra problem som kastar om rollerna av traditionell access controll, och fokuserar på att skydda den som ger resurser istället för hos dem som vill ha dem. 2.2 Något om synen på anonymitet "There is no good system out there for hiding identities," sa Randy Saaf, president av MediaDefender, [8] ett Los Angeles-baserat företag som undersöker P2P nätverk för musikindustrin "If they're sharing content, they're wide open--they're running the risk. It's hard to anonymize people on a big public network." Att gömma ett fildelarsystem är svårt av en simpel anledning. P2P nätverk är designade för effektivitet, inte anonymitet. Genom att broadcasta innehåll som delas ut, avslöjas användarnas identitet lätt. I ett P2P nätverk delas filerna mellan datorer, där varje dator har ett specifikt IP. IP kan spåras till den ISP den tillhör. Eftersom datorerna i ett P2P nätverk delar filerna utan mellanhand, är IP adressen oftast tillgänglig för alla. Även om metoder för anonyma fildelningar på nätet existerat en tid, är det först nu på senare tid intresset höjts igen bl.a kanske för att det har tillkommit hårdare tag ifrån musikindustrin. Företag har börjat annonsera ut produkter som man säger försvårar att finna rätt användare bakom en delning, och även om det bara försvårar och inte ger helt anonymitet så har man vunnit mycket, påstår Dellan McCullagh [4]. Ett sätt att uppnå kraftig anonymitet är att hitta en fri 802.11 Wi-Fi access punkt som inte kräver lösenord eller abonnemang. Eftersom alla kan accessa trådlösa nätverk utan identitet så skulle någon som vill ha reda på riktiga identiteten få det riktigt svårt 2.3 MUTE Mute:s sätt att ge anonymitet är att undvika direkt uppkoppling mellan parter. Mute routrar alla 5
meddelanden genom nätverksnodernas grannuppkopplingar. Detta innebär att man vet de omkringliggande nodadresserna, men inte den man laddar ned ifrån. Så här kan då en sökning på metallica mp3 se ut. 7213D...2DCA5 Metallica Enter_Sandman.mp3 7213D...2DCA5 Metallica Unforgiven.mp3 7213D...2DCA5 Bild 4 Sökresultat i Mute,Jason Roher 2003 Metallica Everywhere_I_Roam.mp3 Här ser man att det inte längre finns någon IP-address. Denna har ersatts av virtuell Mute adress. Varje nod i ett Mute nätverk har en virtuell adress som bestäms slumpvis vid uppstart. Man använder då de virtuella adressera att routa meddelanden genom nätverket genom att använda en myrstacksinspirerad metod. Ex: för att ladda ner en fil, så sänder din nod en nerladdningsrequest till 7213D...2DCA5, och ger sin egna virtuella adress ex: E9A59380CD425AE16D40CF0CA57A7213D29781 Bild 5 Mute fildelning,jason Roher 2003 Även om noden routas genom en uppfångande nod (exempelvis RIAA nod), ses bara de virtuella adresserna. RIAA skulle förvisso då kunna söka hos ISP efter denna virtuella adress, men det finns inget sätt för ISP:en att veta denna. Mute lägger också in ett skydd mot direkt avlyssning i form av kryptering, (RSA och AES). 3 Resultat Vi tolkar den teoretiska bakgrunden som att anonymitet och säkerhet till största del inte är det viktigaste i fildelning idag, men att det blir mer och mer aktuellt att tänka på dessa aspekter. Detta då med tanke på att alternativ som Mute blir tillgängliga för allmänheten. Vi tror att användarna behöver bli mer medvetna om riskerna i P2P, innan man bemödar sig om att använda nyare metoder. 6
4 Diskussion Vi tror, utan stärkande undersökning, att den generella uppfattningen om säkerhet och anonymitet är att folk helt enkelt inte medvetna om denna, vilket också innebär att användarna inte ställer kraven på P2P tillverkarna att implementera detta. Helst då det oftast innebär en lite större ansträngning att använda ett anonymt P2P nätverk än ett reguljärt sådant (paralleller: se till användandet av unix - windows). Vi tycker vi kan tolka rapporten såsom att det i framtiden kommer att bli aktuellare med ökad anonymitet/säkerhet i P2P. Detta beroende på att det för användare blir viktigare att dölja vilka filer som delas ut, då den vanligaste användningen av P2P verkar inbegripa illegala utdelningar (vi har inget som styrker detta här, men den intresserade kan genom att göra några test sökningar på i stort sett vilket fildelningsnätverk inse att det mesta som delas ut är copyright material.) Sedan är det också så att en allmänt ökad medvetenhet inbegriper att användarna kanske är mer noggranna på att se över vad det är dom delar ut. Det finns många moraliskt intressanta aspekter att undersöka vidare, t.ex. hur lagstiftningen för P2P och copyright material kommer att bli då/om anonyma P2P metoder blir vanligare i bruk. 5 Svar på våra frågeställningar Hur kan anonymitet erhållas i P2P nätverk? Det finns ett flertal metoder. Vårt PM. tittade på hur Mute löste detta. Hur kan säkerhet erhållas i P2P nätverk? Med anonymitet kommer också naturligt en viss säkerhet för användaren. Det är dock upp till användaren vad som i slutändan delas ut. Hur fungerar det i praktiken? Ex. vi tittar på ett nätverk som utger sig ge anonymitet, Mute. Vad vi kunde finna fungerar dessa teoretiskt bra. Hur dessa fungerar i praktiken är inte föremål för denna rapport. 6 Referenser [1]. Daimani, Vimercati m.fl. A ReputationBased approach for Choosing Reliable Resources in PeertoPeerNetworks, Universita di Milano,Crema Italy [2]. Good, Krekelberg, Usability and privacy: a study of Kazaa P2P filesharing University of California, Berkeley, 2003 [3]. Rohrer Jason, Mute, http://mute-net.sourceforge.net/,2004 [4]. McCullagh, Dellan, P2P s Little Secret, news,com http://news.com.com/2100-1029_3-1023735.html?tag=fd_nbs_emed [5]. Direct Connect http://www.neo-modus.com/ [6]. Kazaa http://www.kazaa.com/us/index.htm [7]. Freenet, http://freenet.sourceforge.net/ [8]. Grokster, http://www.grokster.com/ 7