นักวิจัยเผย QUIC อาจรักษาความเป็นส่วนตัวได้ไม่ดีเท่า HTTPS

ทีมนักวิจัยจากประเทศจีนได้ออกมาเผยถึงเทคนิคในการทำ Website Fingerprint บน QUIC ซึ่งอาจทำให้ผู้โจมตีสามารถรับรู้ถึงพฤติกรรมการเชื่อมต่อเข้าถึงเนื้อหาต่างๆ ของผู้ใช้งานได้แม้ไม่ต้องมีการถอดรหัส และยังมีความแม่นยำสูงกว่าเมื่อเทียบกับการใช้เทคนิคเดียวกันโจมตีทราฟฟิกแบบ HTTPS

Pengwei Zhan, Liming Wang แห่ง Chinese Academy of Sciences และ Yi Tang แห่ง Guangzhou University คือนักวิจัยที่ได้ร่วมกันนำเสนอผลงานในเปเปอร์ Website Fingerprinting of Eary QUIC Traffic ถึงผลการทำ Website Fingerprinting บน QUIC ในครั้งนี้

การทำ Website Fingerprinting คือการพยายามดักฟังข้อมูลระหว่าง Client กับ Web Server โดยในงานวิจัยครั้งนี้ไม่ได้มีความพยายามในการถอดรหัสข้อมูลแต่อย่างใด แต่ทำการวิเคราะห์ Pattern จากทราฟฟิกที่เข้ารหัสเอาไว้อยู่แล้วว่าทราฟฟิกนั้นๆ น่าจะเป็นการรับส่งข้อมูลอะไร โดยอาศัยข้อมูลอย่างเช่น Packet Size, Packet Order, Total Transmission Size และข้อมูลแวดล้อมอื่นๆ ในการวิเคราะห์ ทำให้สามารถทำนายได้ระดับหนึ่งว่าผู้ใช้งานกำลังเข้าใช้งานเว็บใดอยู่

งานวิจัยนี้ระบุว่าความแม่นยำของการทำ Website Fingerprinting บน QUIC โดยตรงนั้นจะมีความแม่นยำอยู่ที่ 57% ซึ่งถือว่าแม่นกว่าการโจมตีแบบเดียวกันบน HTTPS ถึง 73% ในขณะที่การวิเคราะห์เฉพาะ Early Traffic ในการเชื่อมต่อได้ช่วงแรกได้นั้นจะทำให้การโจมตีบน QUIC มีความแม่นยำสูงสุดถึง 95% จากการวิเคราะห์เพียงแค่ 40 Packet สำหรับกรณีการใช้งานเบื้องต้นเท่านั้น ในขณะที่การโจมตีแบบเดียวกันบน HTTPS จะมีความแม่นยำอยู่ที่ 60%

งานวิจัยนี้เกิดขึ้นภายใต้สภาพแวดล้อมที่คุณภาพของการรับส่งข้อมูลไม่ดีเท่านั้น ซึ่งในโลกความเป็นจริงอาจได้ผลลัพธ์ที่แตกต่างออกไป อย่างไรก็ดี ทีมผู้วิจัยได้สรุปเอาไว้ว่าถึงแม้ QUIC จะช่วยในเชิงประสิทธิภาพในการเชื่อมต่อรับส่งข้อมูลได้ดี แต่ประเด็นด้านความเป็นส่วนตัวของข้อมูลนั้นก็ยังอาจมีความท้าทายอยู่ไม่น้อย

เปเปอร์งานวิจัยฉบับนี้สามารถอ่านได้ที่ https://arxiv.org/abs/2101.11871

ที่มา: https://www.theregister.com/2021/01/30/quic_fingerprinting_flaw/