[论文解读] Atom: Horizontally Scaling Strong Anonymity

Albert Kwon, Henry Corrigan-Gibbs+2 more|arXiv (Cornell University)|Dec 23, 2016

Internet Traffic Analysis and Secure E-voting参考文献 33被引用 10

一句话总结

Atom 是一种水平可扩展的匿名消息系统，通过使用一种新型的可重随机化 ElGamal 变体和高效的密码学技术，实现了对主动攻击者的强匿名性。它可在数千台服务器上实现近乎线性的扩展，处理一百万条推文长度的消息仅需 28 分钟——比以往具有类似隐私保障的系统快 23 倍以上。

ABSTRACT

Atom is an anonymous messaging system that protects against traffic-analysis attacks. Unlike many prior systems, each Atom server touches only a small fraction of the total messages routed through the network. As a result, the system's capacity scales near-linearly with the number of servers. At the same time, each Atom user benefits from "best possible" anonymity: a user is anonymous among all honest users of the system, against an active adversary who controls the entire network, a portion of the system's servers, and any number of malicious users. The architectural ideas behind Atom have been known in theory, but putting them into practice requires new techniques for (1) avoiding the reliance on heavy general-purpose multi-party computation protocols, (2) defeating active attacks by malicious servers at minimal performance cost, and (3) handling server failure and churn. Atom is most suitable for sending a large number of short messages, as in a microblogging application or a high-security communication bootstrapping ("dialing") for private messaging systems. We show that, on a heterogeneous network of 1,024 servers, Atom can transit a million Tweet-length messages in 28 minutes. This is over 23x faster than prior systems with similar privacy guarantees.

研究动机与目标

• 解决依赖垂直扩展的传统匿名系统所面临的可扩展性限制，以及由此带来的每台服务器计算开销过高的问题。
• 在存在主动攻击者（监控网络、控制恒定比例服务器、操纵用户行为）的情况下，实现强匿名性。
• 设计一种可在数千台志愿者服务器上实现水平扩展的系统，同时保持较低的每台服务器负载和强隐私保障。
• 支持实际应用场景，如匿名微博和端到端加密消息系统中的安全密钥交换（“拨号”功能）。
• 通过消除对重型通用多方计算和可验证混洗的依赖，克服以往系统的性能瓶颈。

提出的方法

• 使用 ElGamal 加密的可重随机化变体，使服务器组能够协作解密并重新加密密文，传递给下一台组，而无需事先知晓路径信息。
• 将网络划分为多个小型、独立的服务器组（入口组、中间组和出口组），每组仅处理总消息量的一小部分。
• 实现两层加密方案：外层使用 ElGamal 进行组间路由，内层使用 NaCl 的认证加密保护消息机密性。
• 采用非交互式零知识证明（NIZK）确保密文完整性，包括加密、重加密和可验证混洗的证明。
• 引入一种新型“陷阱”机制，在无需昂贵可验证混洗的情况下检测恶意服务器，为传统混洗验证提供性能优化的替代方案。
• 使用多信任组（many-trust groups）并结合概率诚实性保障，容忍服务器故障和动态变化，以高概率确保每组中至少有一台诚实服务器。

实验结果

研究问题

• RQ1 去中心化的匿名消息系统是否能在数千台服务器上实现水平扩展的同时，对主动攻击者模型提供强匿名性？
• RQ2 在用户无法提前知晓消息路径的情况下，如何保证端到端匿名性？
• RQ3 哪些密码学技术可以替代通用多方计算，以降低匿名网络中每台服务器的计算成本？
• RQ4 如何以最小的性能开销检测并缓解恶意服务器发起的主动攻击？
• RQ5 在现实的故障和对抗条件下，维持强匿名性保障所需的组大小和网络配置是什么？

主要发现

• Atom 实现了近乎线性的可扩展性：在 1,024 台服务器上，传输一百万条推文长度的消息仅需 28 分钟，相比以往具有同等隐私保障的系统性能提升超过 23 倍。
• 每台服务器仅处理 O(M/N) 个密文，其中 M 为总消息数，N 为服务器总数，实现了高效的水平扩展。
• 系统维持了强匿名性：即使攻击者监控整个网络、控制恒定比例的服务器并监控所有用户，其在匿名化诚实用户方面也仅有可忽略的优势。
• 采用新型基于陷阱的检测机制，减少了对昂贵可验证混洗的依赖，提升了性能，同时在稍弱的威胁模型下仍保持安全性。
• 使用基于二项式概率边界推导的组大小，多信任组结合概率诚实性保障，可高概率容忍每组最多 h−1 台服务器故障。
• 系统设计支持匿名微博和端到端加密消息系统中的安全密钥交换（“拨号”）的实际部署，相比现有方案具有可测量的性能提升。