[論文レビュー] Rangzen: Anonymously Getting the Word Out in a Blackout

Adam S. Lerner, Giulia Fanti+4 more|arXiv (Cornell University)|Dec 11, 2016

Internet Traffic Analysis and Secure E-voting参考文献 46被引用数 4

ひとこと要約

Rangzen は、ネットワーク遮断中におけるスマートフォン向けの分散型で匿名の、1対多のメッセージングシステムであり、Bluetooth および WiFi Direct を用いた遅延耐性メッシュネットワークにより、耐障害性が高く低遅延の通信を実現する。送信元の情報を隠しながら悪意あるコンテンツをフィルタリングする社会的信頼に基づく優先順位付けアルゴリズムを用いることで、強力な匿名性とジャミングおよびプロパガンダに対する耐性を達成する。

ABSTRACT

In recent years governments have shown themselves willing to impose blackouts to shut off key communication infrastructure during times of civil strife, and to surveil citizen communications whenever possible. However, it is exactly during such strife that citizens need reliable and anonymous communications the most. In this paper, we present Rangzen, a system for anonymous broadcast messaging during network blackouts. Rangzen is distinctive in both aim and design. Our aim is to provide an anonymous, one-to-many messaging layer that requires only users' smartphones and can withstand network-level attacks. Our design is a delay-tolerant mesh network which deprioritizes adversarial messages by means of a social graph while preserving user anonymity. We built a complete implementation that runs on Android smartphones, present benchmarks of its performance and battery usage, and present simulation results suggesting Rangzen's efficacy at scale.

研究の動機と目的

• ネットワーク遮断時にも動作する実用的で匿名的かつ大規模なメッセージングシステムの設計および実装を目的とする。
• ネットワークレベルの攻撃に対して耐性を持つ一方で、匿名性を維持するという課題に取り組む。
• インターネットや移動体通信インfraストラクチャに依存せず、改変済みでもroot権限がなくても動作するAndroidスマートフォンで動作するシステムを構築すること。
• 市民の反乱の際、監視や報復から活動家や反体制派を守る通信基盤を提供すること。
• 中央集権的な機関に依存せず、ユーザーの身元を明かさずに、分散型の信頼モデルを用いて匿名性と耐障害性のバランスを取ること。

提案手法

• Rangzen は、インターネットや移動体通信インfraストラクチャに依存せず、Bluetooth および WiFi Direct を用いた遅延耐性のあるモバイルメッシュネットワークを構築することで、ピアツーピア通信を実現する。
• 距離とデバイスの能力に基づき、動的に利用可能な無線インターフェース（Bluetooth または WiFi Direct）を選択するハイブリッド通信プロトコルを実装する。
• 送信者と受信者の間の共通の友達の数に基づいてメッセージを優先順位付けする社会的信頼に基づく優先順位付けアルゴリズムを採用し、送信者の身元を明らかにしない。
• 送信元の追跡を防ぐために、メッセージの優先順位スコアに暗号技術とランダムノイズを適用し、匿名セットを拡大する。
• トラフィック解析に対する耐性を高めるために、メッセージのホップ数と匿名セットのサイズを確率的モデルで推定する。
• Rangzen の設計により、悪意あるメッセージは低優先度に割り当てられ、遅く拡散されるため、影響が限定的になる。

実験結果

リサーチクエスチョン

• RQ1 ネットワーク遮断時、インターネットや移動体通信インfraストラクチャが利用できない状況で、どのようにして匿名の1対多メッセージングを実現できるか？
• RQ2 分散型で敵対的な環境下でも、ユーザーの匿名性を保ちつつメッセージの拡散を可能にするメカニズムは何か？
• RQ3 送信者の身元を明らかにせず、中央集権的な機関に依存せずに、信頼に基づく優先順位付けシステムをどのように設計できるか？
• RQ4 標準的で改変されていないAndroidデバイス上でのこのシステムの性能とエネルギー効率はどの程度か？
• RQ5 ジャミングやプロパガンダの拡散といったネットワークレベルの攻撃に対して、このシステムはどの程度効果的に耐性を示せるか？

主な発見

• 10秒間の近接接触ですら、Rangzen を用いてデバイス同士が正常に発見され、数百件のメッセージを交換できる。
• 最悪の状況（連続通信）下でも、Nexus 5 のバッテリー消費は時間あたり約 5.5% にとどまり、優れたエネルギー効率を示している。
• シミュレーションでは、メッセージ作成後 24 時間以内に、都市規模のユーザーの 90% 以上にメッセージが到達することが示された。
• 理想的な攻撃者のメッセージは、48 時間の間に正当なメッセージより 30% 少ないユーザーに到達したことが確認され、悪意ある拡散の効果的な抑制が確認された。
• 実際のノイズパrameter（µ = 0.3, σ² = 0.1）を用いた場合、90% の信頼度で匿名セットはネットワークノード全体の 80% をカバーしており、送信元の特定に対する強い耐性があることが示された。
• システムの設計により、グローバルな信頼グラフの再構築が困難となり、外部のソーシャルネットワークとの相関によるデアニミズエーションも困難になる。