[論文レビュー] Secure Anonymous Broadcast

Mahnush Movahedi, Jared Saia+1 more|arXiv (Cornell University)|May 21, 2014

Internet Traffic Analysis and Secure E-voting参考文献 32被引用数 4

ひとこと要約

本稿では、各参加者が匿名メッセージごとに多対数的ビットしか送信・計算しなくてよい分散型でスケーラブルな匿名ブロードキャストプロトコルを提示する。このプロトコルは$O(\log n)$ラウンドを達成し、計算能力が無制限の敵対者によって制御される$n/6$までのバシルティン故障に耐えられる。局所的な計算を対数的サイズのグループで行い、安全なマルチパーティ計算を用いることで、信頼できる第三者を必要とせずにトラフィック分析攻撃に耐性を持つ。通信コストにおいて、先行研究に比べて桁違いに優れている。

ABSTRACT

In anonymous broadcast, one or more parties want to anonymously send messages to all parties. This problem is increasingly important as a black-box in many privacy-preserving applications such as anonymous communication, distributed auctions, and multi-party computation. In this paper, we design decentralized protocols for anonymous broadcast that require each party to send (and compute) a polylogarithmic number of bits (and operations) per anonymous bit delivered with $O(\log n)$ rounds of communication. Our protocol is provably secure against traffic analysis, does not require any trusted party, and is completely load-balanced. The protocol tolerates up to $n/6$ statically-scheduled Byzantine parties that are controlled by a computationally unbounded adversary. Our main strategy for achieving scalability is to perform local communications (and computations) among a logarithmic number of parties. We provide simulation results to show that our protocol improves significantly over previous work. We finally show that using a common cryptographic tool in our protocol one can achieve practical results for anonymous broadcast.

研究の動機と目的

• 信頼できる第三者に依存せず、トラフィック分析攻撃および能動的攻撃に対して安全な分散型匿名ブロードキャストプロトコルを設計すること。
• 匿名ビット1つあたりの通信および計算コストを多対数的におさめ、大規模ネットワークへのスケーラビリティを実現すること。
• 計算能力が無制限の敵対者によって制御される$n/6$までの静的スケジュールのバシルティン参加者に対しても、負荷分散と耐障害性を確保すること。
• 既存のDC-NetsやMix-Netsを改善し、通信複雑度を$\Omega(n^2)$から$\tilde{O}(1)$に低減すること。
• シミュレーションと暗号的最適化（例：平均化されたセットアップコスト）を通じて、実用性を実証すること。

提案手法

• プロトコルは、$O(\log n)$人の参加者による局所的でグループベースの通信を用い、安全なマルチパーティ計算とシャッフルを実行することで、グローバルな通信オーバーヘッドを低減する。
• 正しさと機密性を保証するため、無条件に安全な（Katzら）および計算的に安全な（Kateら）秘密分散方式（VSS）を採用する。
• 入力を匿名にシャッフルするためにマルチパーティソーティング回路を用い、$k=2$および$n \leq 2^{25}$の条件下で誤差確率$\epsilon < 10^{-8}$を達成する。
• オンラインフェーズで共通の暗号的ツール（例：ランダムな三つ組）を活用し、秘密共有における乗算を効率的に計算することで、平均化されたセットアップコストを実現する。
• 敵対的参加者に対しても耐性を確保するため、誤差確率が$10^{-5}$未塔のクォーラム構築アルゴリズムを用いる。
• 同期ネットワークを想定し、すべての参加者間でプライベートかつ認証済みのチャネルを保証する。また、アイデンティティは公開されているものとする。

実験結果

リサーチクエスチョン

• RQ1 分散型匿名ブロードキャストプロトコルは、$n/6$までのバシルティン故障に耐えられると同時に、匿名ビット1つあたり多対数的通信および計算コストを達成できるか？
• RQ2 対数的サイズのグループにおける局所的計算は、$\Omega(n^2)$コストを持つプロトコルと比較して、グローバルな通信複雑度を顕著に低減できるか？
• RQ3 計算能力が無制限の敵対者のもとでも、信頼できるインfrastrucutureなしにトラフィック分析攻撃に対して証明可能な安全性を達成できるか？
• RQ4 平均化されたセットアップやランダム三つ組生成といった暗号的最適化により、大規模展開に実用的になるか？
• RQ5 制限された故障耐性を持つ非同期ネットワークに対しても、プロトコルを適応可能か？

主な発見

• $n = 2^{20}$（約100万参加者）の場合、平均化されたプロトコルでは、参加者1人あたりの匿名ビット1つあたり約64KBのデータ量に収まり、先行研究に比べて顕著な改善を示す。
• 無条件バージョンでは、匿名ビット1つあたり約64MBの通信量を要するが、[7]、[16]、[44]のプロトコルで見られる1TBを超える通信量に比べ、依然として著しく優れている。
• クォーラム構築アルゴリズムの誤差確率は$10^{-5}$未塔に保たれ、$n = 2^{25}$の場合、ソーティング回路の誤差は$10^{-300}$未塔に低下する。
• プロトコルは$O(\log n)$ラウンドの通信を達成し、すべての参加者に完全な負荷分散を維持する。
• 平均化されたセットアップを用いることで、非平均化バージョンと比較して、ビットあたりの通信コストが100分の1にまで低減され、実用性が著しく向上する。
• シミュレーション結果から、特に大規模環境下において、すべての先行する分散型匿名ブロードキャストプロトコルを通信効率面で上回ることが示された。