[論文レビュー] Dandelion++: Lightweight Cryptocurrency Networking with Formal Anonymity Guarantees

Giulia Fanti, Shaileshh Bojja Venkatakrishnan+5 more|arXiv (Cornell University)|May 28, 2018

Blockchain Technology Applications and Security被引用数 11

ひとこと要約

Dandelion++ は、広範なフラッディングの前に、ランダム化されたマルチホップ 'ステム' パスを介して取引をルーティングすることにより、ネットワークレベルのデアノニマス化攻撃に対して形式的な情報理論的匿名性保証を提供する、軽量で相互運用性のある Bitcoin プロトコルです。最小限の遅延オーバーヘッドで IP アドレスの関連付けリスクを低減し、メインネット実験により、ステムホップあたり平均 300ms の遅延が確認されています。

ABSTRACT

Recent work has demonstrated significant anonymity vulnerabilities in Bitcoin's networking stack. In particular, the current mechanism for broadcasting Bitcoin transactions allows third-party observers to link transactions to the IP addresses that originated them. This lays the groundwork for low-cost, large-scale deanonymization attacks. In this work, we present Dandelion++, a first-principles defense against large-scale deanonymization attacks with near-optimal information-theoretic guarantees. Dandelion++ builds upon a recent proposal called Dandelion that exhibited similar goals. However, in this paper, we highlight simplifying assumptions made in Dandelion, and show how they can lead to serious deanonymization attacks when violated. In contrast, Dandelion++ defends against stronger adversaries that are allowed to disobey protocol. Dandelion++ is lightweight, scalable, and completely interoperable with the existing Bitcoin network. We evaluate it through experiments on Bitcoin's mainnet (i.e., the live Bitcoin network) to demonstrate its interoperability and low broadcast latency overhead.

研究の動機と目的

• 第三者の観察者が取引を送信元の IP アドレスに関連付けるのを許す、Bitcoin の P2P ネットワークにおける深刻な匿名性の脆弱性に対処すること。
• Dandelion のような従来のプロトコルに内在する現実的でない仮定を特定・是正し、攻撃的行動下で失敗する原因となること。
• 強力な敵対者に対して形式的な匿名性保証を提供する、軽量でスケーラブルかつ完全に相互運用可能なソリューションを設計すること。
• ライブ Bitcoin メインネットデータを用いて、プロトコルの性能および匿名性特性を実世界の条件下で評価すること。

提案手法

• Dandelion++ は二段階の取引プロパゲーションモデルを導入する：『ステム』段階では、元の送信元を隠すために、ランダムに選択された単一ホップ経路を通じて取引が中継される。
• ステム段階では、取引が『フラッディング』段階に移行するまでのノードの訪問数を制限するランダム中継メカニズムが使用される。
• フラッディング段階では、取引がエピデミックなフラッディングにより広範にブロードキャストされ、ステム段階での匿名性が確保された後、ネットワーク全体への広がりが保証される。
• プロトコルは、敵対者が複数のノードを制御しても、ステムパスの確率的性質のおかげで送信元 IP を信頼性高く特定できないことを保証する。
• 暗号的偽名とネットワークトポロジーのランダム化を活用して、伝搬タイミングやトポロジーに基づく相関攻撃を防止する。
• システムは、既存の Bitcoin ノードと完全に後方互換性があり、ブロックチェーンやコンセンサス層に変更を加える必要がない。

実験結果

リサーチクエスチョン

• RQ1 強力な敵対者（プロトコル規則に従わない可能性がある）に対して形式的な匿名性保証を提供する、軽量で相互運用可能なプロトコルを設計できるか？
• RQ2 Dandelion のような従来のプロトコルにおける単純化仮定の違反が、どのようにデアノニマス化の利用可能な脆弱性を引き起こすか？
• RQ3 ステムパス長が実世界の P2P ネットワークにおける取引プロパゲーション遅延および匿名性に与える影響は何か？
• RQ4 Bitcoin のネイティブブロードキャストメカニズムと比較して、Dandelion++ は IP アドレスのデアノニマス化リスクをどの程度低減するか？
• RQ5 ライブ Bitcoin メインネットに展開した場合、Dandelion++ の遅延およびスケーラビリティの観点でのパフォーマンスはどのようになるか？

主な発見

• Dandelion++ は、強力な敵対者ですら取引を送信元の IP アドレスに信頼性高く関連付けられないようにすることで、形式的な情報理論的匿名性保証を達成している。
• プロトコルは、ステムホップあたり平均して約 300 ミリ秒の遅延を導入するが、これは全体の取引プロパゲーション時間に比べて無視できるほど小さい。
• ステム長とネットワークの 10% に到達するまでの時間の間にわずかな正の相関（r = 0.292）が確認され、より長いステムでは遅延が増加するという期待通りの傾向が裏付けられた。
• フラッディング段階に移行後、取引のプロパゲーション速度はステム長に依存しなくなり、Dandelion++ が匿名性段階終了後にグローバルな配布に影響を与えないことを確認した。
• マン・ホイットニー U 検定の結果、異なるステム長において 10% から 50% のカバー率に至るまでのプロパゲーション時間に有意差は認められなかった（p = 0.269）ことから、フラッディング段階の挙動がステム設定に影響されないことが検証された。
• プロトコルは、Bitcoin のメインネットに正常に展開され、評価され、完全な相互運用性と最小限のオーバーヘッドによる低遅延パフォーマンスを示した。