[論文レビュー] Pisces: Anonymous Communication Using Social Networks

Prateek Mittal, Matthew Wright+1 more|arXiv (Cornell University)|Aug 30, 2012

Internet Traffic Analysis and Secure E-voting参考文献 41被引用数 44

ひとこと要約

Pisces は、ソーシャルネットワークの関係を活用して信頼ベースの回路を構築する分散型匿名通信システムであり、偏りのあるランダムウォークと相互ノードポリシーを用いて、悪意あるノードによるルート乗っ取り攻撃を軽減する。これにより、既存のシステムよりも著しく高い匿名性を実現し、1ラウンドあたり ShadowWalker より最大6ビット高いエントロピーを達成し、100ラウンドで従来のランダムウォークの2倍のエントロピーを達成する。

ABSTRACT

The architectures of deployed anonymity systems such as Tor suffer from two key problems that limit user's trust in these systems. First, paths for anonymous communication are built without considering trust relationships between users and relays in the system. Second, the network architecture relies on a set of centralized servers. In this paper, we propose Pisces, a decentralized protocol for anonymous communications that leverages users' social links to build circuits for onion routing. We argue that such an approach greatly improves the system's resilience to attackers. A fundamental challenge in this setting is the design of a secure process to discover peers for use in a user's circuit. All existing solutions for secure peer discovery leverage structured topologies and cannot be applied to unstructured social network topologies. In Pisces, we discover peers by using random walks in the social network graph with a bias away from highly connected nodes to prevent a few nodes from dominating the circuit creation process. To secure the random walks, we leverage the reciprocal neighbor policy: if malicious nodes try to exclude honest nodes during peer discovery so as to improve the chance of being selected, then honest nodes can use a tit-for-tat approach and reciprocally exclude the malicious nodes from their routing tables. We describe a fully decentralized protocol for enforcing this policy, and use it to build the Pisces anonymity system. Using theoretical modeling and experiments on real-world social network topologies, we show that (a) the reciprocal neighbor policy mitigates active attacks that an adversary can perform, (b) our decentralized protocol to enforce this policy is secure and has low overhead, and (c) the overall anonymity provided by our system significantly outperforms existing approaches.

研究の動機と目的

• 非構造的なソーシャルネットワークトポロジーにおいて、Byzantine 敵に耐性を持つ信頼認識型で分散型の匿名システムが不足している問題に対処すること。
• 中央集権的サーバーに依存せず、構造化されたオーバーレイを用いずに、悪意あるノードがランダムウォークを自らの方向に偏らせることを防ぐ、安全で分散型のピア発見手法を設計すること。
• 中央集権的制御なしに相互ノードポリシーを強制し、誠実なノードが悪意あるピアを除外できるようにすること。
• ソーシャル信頼を活用しながら、Sybil 攻撃およびルート乗っ取り攻撃への露出を最小限に抑えることで、オニオンルーティングにおける匿名性を向上させること。
• 実世界のソーシャルネットワークトポロジーと理論的モデリングを用いて、システムのレジリエンスとパフォーマンスを評価すること。

提案手法

• 悪意あるハブが支配しないよう、高接続ノードへの好ましさを低減させた、ソーシャルネットワークグラフ上の偏りのあるランダムウォークを用いて、匿名回路のピア選択を行う。
• 誠実なノードが自分自身を除外する悪意あるノードを除外する相互ノードポリシーを実装し、チート・フォー・チート戦略を用いて操作を抑止する。
• Whanau を用いて接触リストを分散化・検証し、整合性チェックを実施し、改ざんを検出する暗号署名を用いることで、リスト同期と整合性の確保を実現する。
• 部分的オニオンルーティングとプライバシー保護型集合積分を用いて、ランダムウォーク中のノードを検証し、参加者を暴露せずに Sybil 攻撃に対抗する。
• 保護されたランダムウォークから回路を構築することで、一部の悪意あるソーシャルリンクが存在しても、誠実なリレ一が確率的に含まれるよう保証する。
• 実世界のソーシャルネットワークデータを用いた理論的モデリングとシミュレーションにより、匿名性、レジリエンス、オーバーヘッドを評価する。

実験結果

リサーチクエスチョン

• RQ1 分散型匿名システムは、ソーシャル信頼を活用することで、Byzantine 敵による回路の乗っ取り確率を低下させることができるか？
• RQ2 中央集権的サーバーや構造化オーバーレイに依存せず、非構造的なソーシャルネットワークトポロジーにおいて、安全なピア発見をどのように達成できるか？
• RQ3 相互ノードポリシーは、悪意あるノードがランダムウォークを自らの方向に偏らせようとするアクティブな攻撃を効果的に抑止できるか？
• RQ4 ノード次数のバイアスは、ランダムウォークベースの回路構築におけるレジリエンスと匿名性にどのような影響を及ぼすか？
• RQ5 実際の運用において、Pisces が既存の分散型および中央集権型匿名システムに比べて提供する匿名性はどの程度か？

主な発見

• Pisces は、相互ノードポリシーのおかげで、悪意あるノードがランダムウォークを確実に操作できないようにすることで、ルート乗っ取り攻撃のリスクを顕著に低減する。
• 中央集権的制御なしに相互ノードポリシーを分散的に強制することで、低通信量・低計算量の高セキュリティを実現する。
• 実世界のソーシャルネットワークトポロジーを用いた評価で、Pisces は 1ラウンドあたり ShadowWalker より最大6ビット高いエントロピーを達成し、優れた匿名性を示す。
• 100ラウンドの通信において、Pisces は従来のランダムウォーク（Drac システムと同様）の2倍のエントロピーを達成し、より強い長期的匿名性を実現する。
• 高接続ノードへのバイアスと相互除外メカニズムのおかげで、ユーザーが少数の悪意あるソーシャルリンクを保有しても、Pisces は高いレジリエンスを維持する。
• Tor よりも高い遅延を示すが、これは長めのランダムウォークに起因する。しかし、既に実稼働システムで採用されているように、事前に回路を確立することでこれを緩和できる。