Sistemas entre Pares e Redes Sobrepostas

Transcrição

1 Gestão de reputação IST

2 1 Introdução Subversão 2

3 Introdução Subversão O problema Reputação de objectos Ao efectuar uma busca por determinado conteúdo, um utilizador pode ser confrontado com várias resposta. Qual deverá escolher? Serão todas de igual valor? Haverá falsicações? Reputação de pares Tipicamente existirão vários pares disponíveis para fornecer um serviço/dados. Serão todos de conança? Haverá utilizadores maliciosos cujo objectivo seja sabotar o serviço? Como escolher?

4 Introdução Subversão Tipos de adversários Pares egoístas: não querem gastar os seus recursos (largura de banda, CPU), pelo que tentam obter mais do que o que dão à rede P2P. Ex: free-riding Poluição de conteúdos: pares que colocam na rede P2P conteúdos que diferem da sua descrição. Ex: pares que partilham cheiros com lixo apresentando-os como um lme Difusão de malware: pares que disponibilizam cheiros com vírus ou outro malware. Tipicamente à boleia de outros conteúdos legítimos que os utilizadores da rede P2P possam querer. Ex: disponibilizar uma versão recente de um software de sucesso infectada com um vírus informático Sabotagem: pares que se disponibilizam a prestar um serviço mas o fazem de forma propositadamente errada. Ex: fazer upload de conteúdo corrompido

5 Introdução Subversão Sistemas de reputação Assistem um nó a decidir quais os objectos que escolhe ou peers com que interage Composto por três componentes: Recolha de informação comportamental: gera um histórico do comportamento dos outros peers Avaliação, pontuação e ordenação de peers ou objectos: classica os objectos/peers Resposta: recompensa ou castigo dos peers Sistema de reputação pode ser distribuído ou centralizado

6 Introdução Subversão Recolha de informação Fontes primárias de informação Experiência pessoal Fontes conáveis externas ao sistema. Ex: uma entidade cuja identidade é vericável por outro sistema deverá ser de conança Peers em que conamos (one-hop) Peers em que conamos (multi-hop) Sistema global (centralizado) Cada método fornece mais informação mas é menos credível (ordem de apresentação)

7 Introdução Subversão Classicação Leva em conta comportamentos correctos e incorrectos de cada par Informação sobre comportamento incorrecto é tipicamente mais útil do que apenas correcto. O impacto do comportamento incorrecto deve ser maior do que o do correcto Informação sobre comportamentos mais recentes deve ter maior peso do que comportamentos antigos. Ajuda a combater traidores Reputação pode ser binária (de conança ou não), um inteiro (ex: escala de 0 a 20) ou contínua (ex: [0,1]) Podem ser mantidas várias classicações separadas. Ex: impacto de testas de ferro pode ser minimizado se for contabilizado separadamente a qualidade das transacções e a qualidade dos peers recomendados

8 Introdução Subversão Resposta Escolha de peers/recursos Se apenas estiver disponível um possibilidade (peer ou recurso), podemos escolher utilizá-lho apenas se estiver acima de um limiar Caso existam vários acima desse limiar, podemos ordená-los por reputação decrescente, tentando primeiro o melhor qualicado Incentivos / Retaliação Os mecanismos de incentivo destinam-se a incentivar a colaboração, sendo ecazes contra peers egoístas. Podem consistir em fornecer mais velocidade, qualidade ou quantidade aos peers correctos Os castigos são necessário para aumentar os custos para os peers incorrectos, desencorajando-os. Não aceitar serviços de um peers malicioso diculta a sua acção. Também pode ser possível expulsar da rede um peer malicioso

9 Introdução Subversão Pares atacantes num sistema de reputação Traidores: comportam-se correctamente durante algum tempo por forma a ganhar a conança dos outros pares. Quando já a detém mentem durante o tempo que conseguirem Conluio: conjunto de pares maliciosos que operam conjuntamente para conseguir amplicar o seu impacto. O mal causado pela soma pode ser maior que o que as partes poderiam conseguir Testas de ferro: conjunto de pares que se comportam correctamente, com o objectivo de aumentar a sua reputação e, em conluio, recomendar outros pares que são activamente maliciosos Whitewashers: Pares que abandonam propositadamente o sistema P2P com o objectivo de retornar com uma nova identidade, permitindo assim lavar a má reputação adquirida

10 - reputação de objectos

11 Sistema de gestão de reputação de objectos Estudos indicam que redes P2P de partilha de cheiros contém muito conteúdos mal descritos, corrompidos, infectados com malware ou propositadamente enganosos O download desses conteúdos resulta do desperdício de recursos por parte do receptor e do emissor (embora para este possam ser custos justicáveis) funciona com um sistema de votos, onde os peers indicam se a descrição do conteúdo é correcta ou não Utilizadores tendem a ter interesses comuns, pelo que surgirão comunidades de utilizadores que votarão/estarão interessados nos mesmos objectos

12 Reputação de objectos opera sobre os objectos e não sobre peers porque: Peers que participam na rede podem ser muitos e variar depressa. Ficheiros são imutáveis O opinião sobre um objecto é nal, sobre um peer pode variar ao longo do tempo A opinião sobre um objecto tende a ser a mesma para todos os utilizadores, pelo que opiniões divergentes são indicação de comportamento malicioso. Num sistema de reputação de peers, a opinião pode variar conforme a visão de cada um (ex: largura de banda disponível, disponibilidade, desempenho)

13 Operação O funcionamento do pode ser dividido em 3 fases:, onde cada peer que fez download do objecto atribui o seu voto ao objecto, partilhando o resultado com os seus vizinhos Aferição da conança num objecto: atribuindo diferentes pesos aos votos de cada vizinho conforme a correlação entre o nó e os vizinhos Partilha de informação com os vizinhos (sobre os votos de não vizinhos) com o objectivo de aumentar a cobertura do sistema.

14 Cenário considerado Peers partilham objectos Objectos consistem em conteúdo e descrição Descrição permite a procura dos conteúdos pretendidos, pelo que deve ser o mais exacta possível Cada objecto tem um identicador único (ex: hash)

15 Cada peer tem uma chave pública/privada única, atribuída por uma entidade centralizada Voto contém o identicador do cheiro e o voto, assinados digitalmente com a chave privada do peer, juntamente com o certicado que legitima o peer O voto é 1 ou +1 conforme o objecto seja falso ou autêntico Chaves não necessitam de estar associadas a um utilizador, por forma a preservar o anonimato relativo normalmente associado a rede P2P No entanto, tem de haver um custo que impeça a obtenção de muitas identidades, consumindo um recurso: fazer download de cheiro grande, resolver puzzle computacional, pagar dinheiro, resolver um captcha

16 Avaliação dos votos dos outros Contar os votos não será suciente pois facilitaria o ataque com recomendações falsas Os utilizadores honestos tendem a votar de forma semelhante, pelo que devemos conar mais em quem vota como nós e menos em quem vota sistemáticamente de forma contrária Os votos de outro peer são pesados com a correlação entre os votos passados de ambos os peers Coeciente de correlação θ = (p ab)/ a(1 a)(b(1 b), com a fracção de vezes que o peer A votou positivamente, b fracção de vezes que o peer B votou positivamente e p fracção em que ambos votaram positivamente, de entre os objectos em que ambos votaram

17 Avaliação dos votos dos outros O resultado situa-se no intervalo [ 1, 1] onde um valor positivo indica que tendem a concordar e um negativo de que tendem a discordar Um valor θ < 0, 5 indica um correlação fraca ou inexistente. Neste caso credence utiliza um peso de 0. Nos outros casos usa θ Quando dois peers votaram sempre do mesmo modo, positivo ou negativo, θ é indeterminado, sendo utilizado o valor 0,75 Utilizadores são desta forma encorajados a votar pois só assim é possível determinar a correlação com os outros peers

18 Para avaliar um objecto, o peer necessita de conhecer a avaliação dos outros Solicita aos seus vizinhos os votos sobre determinado objecto Vizinhos enviam uma amostra (caso conheçam muitos) dos votos que conhecem, eventualmente incluindo o seu voto. São escolhidos os votos com maior peso local pode ser implementada como: ooding de pedido numa rede não estruturada lookup num DHT Gossip Votos são vericados criptográcamente e guardados Não havendo votos podem ser utilizados outros parâmetros como frequencia do objecto (quantos respondem em rede nao estruturada, tamanho do swarm em BT)

19 Estado local Tabela com votos Nó guarda, para cada objecto, o seu voto e lista dos votos dos outros. Lista mantida em LRU de acordo com idade. Tamanho da base de dados é independente do número de cheiros partilhados na rede. Depende do ritmo de gossip, cheiros partilhados e votos emitidos. Tabela de correlações Tabela de correlação mantém informação sobre os peers, e é utilizada para escolher os votos a enviar aos outros peers e para classicar os objectos.

20 Relações transitivas Se A tem uma forte correlação com B e B com C, então A deverá ter uma boa correlação com C Aumentar o número de peers com quem são estabelecidas relação de correlação permite aumentar a cobertura do sistema de reputação Cada nó mantém um grafo de, onde os vértices representam peers e o peso das arestas representa a correlação Inicialmente grafo contém apenas vizinhos directos Depois são escolhidos aleatóriamente peers (de entre os com maior correlação) e feito gossip dos factores de correlação O factor de correlação transitivo corresponde à muiltiplicação dos pesos das arestas do caminho

21 Peers que mentem Peers podem mentir em relação aos seus coecientes de correlação para introduzir peers maliciosos defende-se: Solicitando auditorias. Solicitar os valor que estiveram na base do cálculo Auditar o próprio grafo, pois as relações devem ser consistentes ao longo de caminhos diferentes

22 Cenário simulado Avaliação por simulação 1000 peers, iniciam, em média 5 queries por dia cada objectos, com 5475 novos objectos por ano Apenas metade dos conteúdo são autênticos Objectos divididos em 20 géneros e cada utilizador gosta de 4 géneros (Zipf), de forma a criar clusters de interesse Cliente vota em todos os objectos que aceita, votando correctamente em 90% dos casos e aleatóriamente nos restantes Cliente calcula reputação do objecto e faz download se essa for 1,0, recusa se for -1,0 e nos restantes casos aceita com uma probabilidade linearmente distribuída Grácos representam visão de 20 nós, introduzidos após 50 dias

23 Taxa de sucesso das classicações É considerado sucesso se nó calcula reputação correcta e forte v > 0, 5

24 Tamanho da tabela de correlações Quanto maior o número de correlações mais votos podem ser utilizados. Apenas é possível estabelecer correlações após fazer alguns downloads e ter votado algumas vezes.

25 Fim Dúvidas