應用對等式網路設計具問責性的匿名通訊系統

1. 應用對等式網路設計具問責性的匿名通訊系統 iSmart Research 學生：M9344007 廖享進 指導老師：廖耕億 博士 2006/7/6

2. 大綱 • 緒論 • 研究背景 • 研究動機 • 研究目的 • 研究流程 • 文獻探討 • 能提供匿名性服務的網路 • 具身份追蹤功能的匿名性服務網路 • 門檻式秘密分享方法

3. 大綱 • 研究方法 • 問題定義與分析 • 研究架構 – AnCORE Model • Anonymous Communication System with Conditional Revocation • 研究分析 • 模擬實驗 • 實驗模型 • 效率實驗與分析 • 匿名度實驗與分析 • 結論與參考文獻

4. 大綱 • 研究背景 • 研究動機 • 研究目的 • 研究流程

5. 研究背景 • 隨著隱私權議題的興起，越來越多人想要在網際網路上交換或分享資訊，而不被人知曉 • 隱私的種類？ • 傳輸內容 – 金鑰加密法（SSL、TLS 等等） • 傳輸對象 – 能提供匿名通訊的系統 • 解決方案 • Anonymizer.com、JAP 等等 • 相關應用 • 電子投票、電子現金、電子郵件等等

6. 研究背景 • 匿名性（Anonymity），意指不用透露個人姓名或相關背景，也就是說隱藏自己的身份，讓他人無法詳述自己的真實特徵 • 匿名性的種類？ • 訊息傳送者和接收者的匿名性 • 訊息與傳遞者關係的匿名性

7. 研究動機 • 匿名通訊網路，通常需要額外的動作或流程才能達到提供匿名性的目的 • 利用使用者隱藏使用者 • P2P 網路隨著大量資訊分享的需求而崛起 • 分散式架構 – 效率議題 • 可以分散化整個網路的運作負荷 • 簡單的匿名性 – 數位假名 • 這是不夠的，仍有 location privacy 的問題 • 例：IP Address

8. 研究動機 • 匿名度可以帶來什麼？ • 降低群體的壓力，使個人的意見能自由表達 • 能使閱讀者專注在意見的本身，而非人的地位身上 • 因匿名不可追蹤的特性，也會出現不良批評或惡意攻擊等行為 • 降低系統群體的運作效益 • 解決的辦法是？ • 可事後追蹤的匿名性 • 信譽評鑑機制

9. 研究動機 • 大部分的匿名通訊網路，均依賴單一路徑進行訊息的傳送和回應 • 路由節點群將會收集到更多的路由資訊 • 增加匿名度被破壞的風險 • 網路中的竊聽者，較容易進行觀察或竊聽的動作

10. 研究目的 • 設計一個新的匿名通訊網路模型 • 架構在一個 P2P 網路上(JXTA) • 分散過重的傳輸負荷 • 提供事後身份追蹤的機制 • 使用不同的路徑進行訊息的傳輸和回應 • 利用訊息混淆機制，混淆竊聽攻擊者 • 進行實驗模擬分析，驗證比較新舊架構的效率和匿名度

11. 研究流程 描述研究背景、動機，確立目的與論文架構 總結研究之貢獻，提出未來研究方向 整理研究主題相關的參考文獻，諸如： 匿名性的探討、提供匿名性服務的網路環境、具可事後身份追蹤功能的匿名性服務網路、門檻式秘密分享方法等等 進行模擬實驗，分析本論文模型的匿名效度和效率 設計具可追蹤身份機制的匿名性服務網路模型 根據舊有文獻，作問題的分析整理，做出歸納和說明

12. 文獻探討 • 能提供匿名性服務的網路 • Mix-net • Corwds • Tarzan • 具身份追蹤功能的匿名性服務網路 • 門檻式秘密分享方法

13. 能提供匿名性服務的網路 – Mix-net • David L. Chaum, 1981 • What is mixer？ • 使用 PKI 架構，路徑稱為 Cascade

14. 能提供匿名性服務的網路 – Crowds • Michael K. REITER (etc…), 1998 Web Servers Crowds Blender

15. 能提供匿名性服務的網路 – Tarzan • Michael J. Freedman, 2002 • Cover Traffic & PNAT

16. 具身份追蹤功能的匿名性服務網路 • 最早見於電子現金或電子證書的研究中 • 較無法律或責任歸屬問題 • 通常使用的方法 • 盲簽章、群體簽章、代理簽章 • 設計一個事後身份追蹤的功能 • 在連線的匿名上設計，難度大於資料的匿名(Joris C., Claudia D., 2003) • 相關的研究 • Cheryl Beaver & Richard Schroeppel & Lillian Snyder, 2001 • Joris Claessens & Claudia Diaz, 2003 • Claudia Diaz & Bart Preneel, 2003

17. 具身份追蹤功能的匿名性服務網路 Daily token (T) • Cheryl Beaver & Richard Schroeppel & Lillian Snyder, 2001 Onion router CD

18. 具身份追蹤功能的匿名性服務網路 • Claudia Diaz & Bart Preneel, 2003

19. 具身份追蹤功能的匿名性服務網路 • Joris Claessens & Claudia Diaz, 2003

20. 門檻式秘密分享方法 • Shamir & Blakley, 1979 • 簡單，完美秘密 • 將一個秘密切割為 n 等份 • 只需要其中的 t 等份，便可以還原該份秘密，t < n • t 門檻值由秘密的切割者決定 • 後續出現的相關研究，改良相關弱點與被攻擊的問題 • 我們將使用此方法，以分散式信任的角度，設計事後身份追蹤的機制

21. 研究方法 • 問題定義與分析 • 方法設計 – AnCORE Model • Anonymous Communication System with Conditional Revocation • 研究分析

22. 問題定義與分析 • 能提供匿名性服務的網路 • 均使用單一路徑，進行訊息的傳送與回應 • 使用過於複雜的技術加強匿名度 • 具身份追蹤功能的匿名性服務網路 • 對於可信任第三方負荷極重 • 匿名度的確保不完全 • 事後身份追蹤的設計過於權威、專制 • 可信任第三方失效，系統就無法運作 • 無訊息驗證機制

23. 研究架構 – AnCORE Model • Anonymous Communication System with Conditional Revocation • 架構於 JXTA P2P 網路，使用 PKI 機制 (例：PGP) • 提供每個人獨立的信譽評鑑機制，增強網路可信度 • 提供彈性、自由的事後身份追蹤功能 • 採取分散式信任的角度，分散可信任第三方的負荷 • 使用不同的路徑，進行訊息的傳送與回應 • 提供訊息驗證機制 • 簡單的混淆訊息設計，混淆竊聽攻擊者，增加匿名度 相關符號與函數，請見論文 Pages 47~49

24. AnCORE – 環境介紹 SN SN JXTA Model P2P網路 SN SN RA 將 PTS以各個 SN 的Public Key 加密，送給P2P網路中的各個 SN SN SN SN Root Authority 節點進入網路，選擇一個 SN，成為該社群網路成員 註冊身份

25. AnCORE – 初始化 產生YAlice和ZAlice RMAlice＝{MAlice-Bob}BKBob T = { CCAlice || SS1 || SS2 || SS3 || SS4 || SS5 || TSNAlice }BKAlice Alice 組合計算出 D 並傳遞 計算 CCAlice D ＝{RMAlice, YAlice, Auth-Alice}BKTS TS 計算 SECAlice 依據論文的步驟 3，使用門檻式秘密切割方法 產生TSNAlice，最後組合計算出 T 傳回給Alice

26. B A N3 N2 AnCORE – 傳送 N1 ,{T2,SS2,N2 ,{T3,SS3,N3 ,{T4,SS4,Bob ,{T5,SS5,CCAlice,SAlice,RP,TMP}BKBob }BK3 }BK2 }BK1 || CM N1 T2,SS2,N2 ,{T3,SS3,N3 ,{T4,SS4,Bob ,{T5,SS5,CCAlice,SAlice,RP,TMP}BKBob }BK3 }BK2 || CM T3,SS3,N3 ,{T4,SS4,Bob ,{T5,SS5,CCAlice,SAlice,RP,TMP}BKBob }BK3 || CM 依據 TMP 繼續傳送混淆訊息的節點集合 T5,SS5,CC,S,RP,TMP 註：因為 ZAlice = 2，因此TMP 會往後傳遞兩個節點 T4,SS4,Bob ,{T5,SS5,CCAlice,SAlice,RP,TMP}BKBob||CM

27. A B N6 N5 AnCORE – 回應 N4 ,{T6,SS6,N5 ,{T7,SS7,N6 ,{T8,SS8,Alice ,{混淆填充訊息}BKAlice }BK6 }BK5 }BK4||EsAlice(M) N4 T6,SS6,N5 ,{T7,SS7,N6 ,{T8,SS8,Alice ,{混淆填充訊息}BKAlice }BK6 }BK5 || ESAlice(M) T7,SS7,N6 ,{T8,SS8,Alice ,{混淆填充訊息}BKAlice }BK6 || ESAlice(M) 依據TMP繼續傳送垃圾訊息的節點集合 註：因為 ZAlice = 2，因此TMP 會往後傳遞兩個節點 ESAlice(M) T8,SS8,Alice ,{混淆填充訊息}BKAlice || ESAlice(M)

28. AnCORE – 訊息驗證 Message • Routing fail – broadcast H(TSN) and fail message • For Node I • R-fail • Routing fail on node i+1 • T-fail • Node i+1’s H(TSN) is wrong • E-fail • Node i+1’s RT can’t use to decrypt TKi or decryption error Check H(N2’s TSNAlice) &SS3的序號 使用RTi作解密 N1 N2 RT1:H ( TP3 || TSP2)+H (N2’s TSNAlice) + SS3的序號 TKTi：DRTi(TKi) 驗證成功, 通知N2繼續傳送,其餘其況則通知N2停止傳送並廣播 fail message

29. AnCORE – 事後身份追蹤 Bob 傳遞 MAlice-Bob、RMAlice、CCAlice Bob 可透過 TS 的簽章驗證每一個秘密切割 SS? ，群體舉證若達到門檻值，即可重組分享的秘密 SS (訊息傳送者 Alice 的真實身份) 經手傳遞節點各自決定是否提供手上的 SS Bob Alice ss5 SS1 N1 N2 N3 N4 N5 N6 SS2 SS3 SS4 H (TSN) 簽章驗證關係，確保 B 無法將 A 送出來的訊息變更，作惡意的假鑑別舉證動作 TS

30. 研究分析

31. 研究分析 • 可信任第三方的角色減少，並且分散了負荷 • 只需運作於初始階段，連事後身份追蹤都不需參與 • 能維持完整的匿名度 • 沒有單一 TS 失效，系統就無法運作的問題 • 在 JXTA P2P 網路上可以設計 TS 互相支援的方法 • 事後身份追蹤民主、自由、彈性 • 讓參與者共同參與認定訊息或行為的過程 • 獨立的信譽評鑑機制 • 訊息驗證方法 • 每一個傳遞的節點，均有傳輸證據可被檢驗 • 在傳遞的互動中，也參與檢驗別人的過程

32. 模擬實驗 • 實驗模型 • 效率實驗與分析 • 匿名度實驗與分析

33. 實驗模型 • 效率實驗 • 檢驗所有模型的一次路由中，花費在金鑰密碼學方法上的實際執行時間 • 匿名度 • Memory Attacker • 能完全掌握路由節點狀態、資訊的攻擊者，知道傳遞訊息的流向 • Traffic Attacker • 能觀測整個網路流量的攻擊者，但並無法瞭解每一個路由的去向關係 • 實驗工具與環境 • Crypto++ Library（Microsoft Visual Studio 2003） • PHP（Notepad++） • AMD Athlon XP 2000+ 、 1G Memory • Microsoft Windows XP SP2、Linux Kernel 2.6

34. 效率實驗與分析 • 「I Love You, but I can’t tell you who I am.」 • Every node uses 3 routing nodes • AnCORE uses extra 2 nodes for confuse message • All models use SHA-1 for hash

35. 匿名度實驗與分析 • Memory Attacker • 10000 nodes • 6 nodes for routing • 2 nodes for confuse message （ AnCORE ） • P(f) = 0.5 （Crowds） • 10000 routings • Traffic Attacker • 10000 nodes • 6 nodes for routing • 2 nodes for confuse message （ AnCORE ） • P(f) = 0.5 （Crowds）

36. 匿名度實驗與分析 – Memory Attacker 攻擊者即使掌握全部節點路由的上下家資訊，仍然無法猜測到訊息的傳送、接收者 傳送者 N1 N2 N3 N4 N5 N7 接收者 傳送者 N1 N2 N3 N4 N5 N7 接收者 若攻擊者掌握到這兩個節點的資訊流向，將可能猜測到訊息的傳送、接收者

37. 匿名度實驗與分析 – Memory Attacker N13 N12 N11 N10 N9 N8 TMP 傳送者 N1 N2 N3 N4 N5 N7 接收者 TMP 攻擊者依據掌握資訊，組合路徑並開始判斷猜測 N2 N4 N7 N11 ……. ……. ……. 攻擊者將有以下疑惑：到底哪一個才是最靠近訊息傳送者或接收者最近的節點？

38. 匿名度實驗與分析 – Memory Attacker N13 N12 N11 N10 N9 N8 TMP 傳送者 N1 N2 N3 N4 N5 N7 接收者 TMP 攻擊者必須掌握到這四個節點的資訊流向，才可能猜測到訊息的傳送、接收者

39. 匿名度實驗與分析 – Memory Attacker

40. 匿名度實驗與分析 – Memory Attacker

41. 匿名度實驗與分析 – Memory Attacker

42. 匿名度實驗與分析 – Traffic Attacker • k = 0 • Computing all combination of routings • k = 1 ~ 2 • Computing all permutation and combination when N3 is sender or receiver

43. 匿名度實驗與分析 – Traffic Attacker

44. 匿名度實驗與分析 – Traffic Attacker

45. 結論與參考文獻 • 研究結論 • 研究建議 • 研究貢獻 • 研究限制 • 未來展望

46. 結論與貢獻 • AnCORE 能在滿足完整匿名度確保的前提下，維持不錯的運作效率 • 在事後身份追蹤上，提供民主、自由、彈性的作法 • 在研究所假設的環境實驗下證實，AnCORE 可以比文獻中的所有匿名通訊系統，提供更強的匿名度 • AnCORE 的可信任第三方 • 經過訊息初始化後，可信任第三方可離線運作 • 可信任第三方分散，負擔減輕

47. 建議與限制 • 研究建議 • 建議 AnCORE 使用者挑選路由節點時，挑選自己信任，信譽評鑑值較高的節點，擔任訊息傳送者和接收者的鄰近節點 • 混淆訊息的節點數應至少超過 2 個，並低於實際路由路徑的一半 • 使用者可以選擇具體的演法法，取代 AnCORE 中模組化的相關機制（ PKI、Hash、Secret Sharing ） • 研究限制 • 本研究的模擬實驗並未考慮時間延遲的傳輸因素 • 實驗中的假設，並不考慮對於攻擊者實際上來說無法猜中的組合 進行計算 • 考慮這些組合加入匿名度分析組合情況下，結果不一定相同

48. 未來展望 • AnCORE 中有許多可調整的變數 • 變數是否有一個最佳預設值？ • 信譽評鑑機制 • 各個節點獨立的狀況，與統一中央式的差異

49. 參考文獻 • 請參閱論文中的「文獻參考」章節

50. 感謝大家的聆聽 • 任何問題與建議？