นักวิจัยเผย QUIC อาจรักษาความเป็นส่วนตัวได้ไม่ดีเท่า HTTPS

ทีมนักวิจัยจากประเทศจีนได้ออกมาเผยถึงเทคนิคในการทำ Website Fingerprint บน QUIC ซึ่งอาจทำให้ผู้โจมตีสามารถรับรู้ถึงพฤติกรรมการเชื่อมต่อเข้าถึงเนื้อหาต่างๆ ของผู้ใช้งานได้แม้ไม่ต้องมีการถอดรหัส และยังมีความแม่นยำสูงกว่าเมื่อเทียบกับการใช้เทคนิคเดียวกันโจมตีทราฟฟิกแบบ HTTPS

Credit: ShutterStock.com

Pengwei Zhan, Liming Wang แห่ง Chinese Academy of Sciences และ Yi Tang แห่ง Guangzhou University คือนักวิจัยที่ได้ร่วมกันนำเสนอผลงานในเปเปอร์ Website Fingerprinting of Eary QUIC Traffic ถึงผลการทำ Website Fingerprinting บน QUIC ในครั้งนี้

การทำ Website Fingerprinting คือการพยายามดักฟังข้อมูลระหว่าง Client กับ Web Server โดยในงานวิจัยครั้งนี้ไม่ได้มีความพยายามในการถอดรหัสข้อมูลแต่อย่างใด แต่ทำการวิเคราะห์ Pattern จากทราฟฟิกที่เข้ารหัสเอาไว้อยู่แล้วว่าทราฟฟิกนั้นๆ น่าจะเป็นการรับส่งข้อมูลอะไร โดยอาศัยข้อมูลอย่างเช่น Packet Size, Packet Order, Total Transmission Size และข้อมูลแวดล้อมอื่นๆ ในการวิเคราะห์ ทำให้สามารถทำนายได้ระดับหนึ่งว่าผู้ใช้งานกำลังเข้าใช้งานเว็บใดอยู่

งานวิจัยนี้ระบุว่าความแม่นยำของการทำ Website Fingerprinting บน QUIC โดยตรงนั้นจะมีความแม่นยำอยู่ที่ 57% ซึ่งถือว่าแม่นกว่าการโจมตีแบบเดียวกันบน HTTPS ถึง 73% ในขณะที่การวิเคราะห์เฉพาะ Early Traffic ในการเชื่อมต่อได้ช่วงแรกได้นั้นจะทำให้การโจมตีบน QUIC มีความแม่นยำสูงสุดถึง 95% จากการวิเคราะห์เพียงแค่ 40 Packet สำหรับกรณีการใช้งานเบื้องต้นเท่านั้น ในขณะที่การโจมตีแบบเดียวกันบน HTTPS จะมีความแม่นยำอยู่ที่ 60%

งานวิจัยนี้เกิดขึ้นภายใต้สภาพแวดล้อมที่คุณภาพของการรับส่งข้อมูลไม่ดีเท่านั้น ซึ่งในโลกความเป็นจริงอาจได้ผลลัพธ์ที่แตกต่างออกไป อย่างไรก็ดี ทีมผู้วิจัยได้สรุปเอาไว้ว่าถึงแม้ QUIC จะช่วยในเชิงประสิทธิภาพในการเชื่อมต่อรับส่งข้อมูลได้ดี แต่ประเด็นด้านความเป็นส่วนตัวของข้อมูลนั้นก็ยังอาจมีความท้าทายอยู่ไม่น้อย

เปเปอร์งานวิจัยฉบับนี้สามารถอ่านได้ที่ https://arxiv.org/abs/2101.11871

ที่มา: https://www.theregister.com/2021/01/30/quic_fingerprinting_flaw/


About techtalkthai

ทีมงาน TechTalkThai เป็นกลุ่มบุคคลที่ทำงานในสาย Enterprise IT ที่มีความเชี่ยวชาญทางด้าน Network, Security, Server, Storage, Operating System และ Virtualization มารวมตัวกันเพื่ออัพเดตข่าวสารทางด้าน Enterprise IT ให้แก่ชาว IT ในไทยโดยเฉพาะ

Check Also

[Guest Post] บทบาทของ Digital CFO เพื่อก้าวข้ามกระแสพลวัตโลก

“บทบาทของ Digital CFO เพื่อก้าวข้ามกระแสพลวัตโลก” How Digital Transformation Enables CFOs to Achieve Organizational Agility and Resilience …

นักวิจัยสาธิตการแฮ็กเซิร์ฟเวอร์ Oracle เพื่อแสดงให้เห็นถึงช่องโหว่ที่ร้ายแรง

สืบเนื่องมาจากความล่าช้าในการแก้ไขข้อพร่องพกนานถึง 6 เดือน กับช่องโหว่ที่นักวิจัยเรียกว่า “mega 0-day” ช่องโหว่นี้สามารถถูกใช้ได้จากทางไกลโดยไม่ต้องผ่านการพิสูจน์ตัวตน ถูกค้นพบโดย Jang และ Peterjson นักวิจัยด้านความปลอดภัย พวกเขาตั้งชื่อมันว่า The Miracle …