Des chercheurs de la Northwestern University ont identifié une menace de "culpabilité par association" concernant la confidentialité des échanges de fichier sur un réseaux peer-to-peer, qui permettrait à un observateur indiscret de classer précisément les groupes d’utilisateurs ayant des comportements de téléchargement similaires. Pour contrecarrer cette menace, les chercheurs ont présenté un logiciel libre restaurant la vie privée d’un utilisateur en masquant leur activité de téléchargement pour perturber la classification.
Les professeurs Fabian Bustamante, Luis Amaral et Roger Guimera ont découvert que les simples habitudes de connexions et non pas les données en elles-mêmes suffisaient à poser de sérieuses menaces quant à la vie privée d’un utilisateur. Les chercheurs ont étudié les schémas de connexions du système d’échange de fichier BitTorrent et ont découvert que des groupes d’utilisateurs formaient des communautés au sein desquelles chaque membre était davantage connecté avec d’autres membres de la même communauté qu’avec des utilisateurs extérieurs.
Cette découverte est étonnante puisque BitTorrent avait été conçu pour générer des connexions aléatoires. Après avoir identifié ce comportement de communautés, les chercheurs ont démontré qu’un observateur indiscret pouvait classer les utilisateurs dans des communautés spécifiques en utilisant un nombre relativement réduit de points d’observation. Les informations recueillies pouvant être exploitées pour lancer des attaques de "culpabilité par association" pour lesquelles un hacker n’a besoin de déterminer le comportement que d’un seul utilisateur pour assurer de manière convaincante que les autres utilisateurs de la communauté ont les même pratiques de téléchargement.
Pour pallier cette faille, les chercheurs ont développé une extension de BitTorrent baptisée SwarmScreen, qui télécharge des contenus aléatoires afin d’empêcher la distinction de communautés.
Source :
– Software Improves P2P Privacy By Hiding In The Crowd, 8 avril 2009 – https://www.mccormick.northwestern.edu/news/articles/492
– P2P eavesdrop ‘guilt by association attack’ developed, 9 avril 2009 – https://www.theregister.co.uk/2009/04/09/p2p_guilt_by_association_attack_countermeasure/
Pour en savoir plus, contacts :
SwarmScreen plugin for the Vuze (formerly Azureus) BitTorrent Client : https://aqualab.cs.northwestern.edu/projects/SwarmScreen.html
Code brève
ADIT : 58777
Rédacteur :
Franz Delpont [email protected]
