[论文解读] Managing NymBoxes for Identity and Tracking Protection

David Isaac Wolinsky, Bryan Ford|arXiv (Cornell University)|Dec 12, 2013

Internet Traffic Analysis and Secure E-voting参考文献 55被引用 3

一句话总结

Nymix 是一种以隐私为中心的操作系统架构，通过称为 nymboxes 的隔离虚拟机，为多个在线身份提供端到端保护，防止追踪或去匿名化。每个 nymbox 运行独立的临时或持久浏览器会话，通过 Tor 或其他匿名工具实现专用网络路由，实现强大的隔离性与用户可控的状态管理，每个 nymbox 消耗 600 MB 内存，加载时间在 15 至 25 秒之间。

ABSTRACT

Despite the attempts of well-designed anonymous communication tools to protect users from tracking or identification, flaws in surrounding software (such as web browsers) and mistakes in configuration may leak the user's identity. We introduce Nymix, an anonymity-centric operating system architecture designed "top-to-bottom" to strengthen identity- and tracking-protection. Nymix's core contribution is OS support for nym-browsing: independent, parallel, and ephemeral web sessions. Each web session, or pseudonym, runs in a unique virtual machine (VM) instance evolving from a common base state with support for long-lived sessions which can be anonymously stored to the cloud, avoiding de-anonymization despite potential confiscation or theft. Nymix allows a user to safely browse the Web using various different transports simultaneously through a pluggable communication model that supports Tor, Dissent, and a private browsing mode. In evaluations, Nymix consumes 600 MB per nymbox and loads within 15 to 25 seconds.

研究动机与目标

• 解决尽管已有匿名工具，但在线追踪与身份关联威胁日益增长的问题。
• 通过在身份之间强制实施结构化隔离，减少用户在管理多个在线身份时的误操作。
• 防止因客户端漏洞（如浏览器指纹识别、恶意软件污染、配置错误）导致的去匿名化。
• 支持临时与持久的浏览会话，实现强状态隔离与否认能力。
• 提供可组合、可插拔的框架，用于集成多个匿名网络（如 Tor 和 Dissent）

提出的方法

• Nymix 为每个 nymbox 使用两个 QEMU/KVM 虚拟机：一个用于网络通信（如 Tor），一个用于浏览器及插件。
• 每个 nymbox 独立且从统一的基础状态初始化，确保一致性并减少攻击面。
• 持久化 nymbox 状态经加密后存储在本地或匿名云存储中，仅在用户明确请求时更新。
• 系统支持可插拔的匿名后端，包括 Tor、Dissent 和轻量级隐身模式。
• Nymix 支持从 USB 启动，实现否认能力，并避免在主机设备上留下痕迹。
• 系统集成用户可控的清理机制，并支持未来与 Buddies 等工具集成，以抵御交集攻击。

实验结果

研究问题

• RQ1 操作系统架构如何强制实现多个在线身份之间的强隔离，以防止追踪或去匿名化？
• RQ2 哪些机制可以防止客户端泄露，如浏览器指纹识别、恶意软件污染或配置错误？
• RQ3 如何在最小性能开销下安全地管理临时与持久的浏览会话？
• RQ4 能否将可组合、可插拔的匿名框架集成到客户端操作系统中，以支持多个匿名网络？
• RQ5 如何在保护长期状态不被泄露的同时，维持否认能力并抵御交集攻击？

主要发现

• Nymix 每个 nymbox 消耗 600 MB 内存，加载时间在 15 至 25 秒之间，性能与原生系统或 Tails 类似。
• 系统成功隔离了每个 nymbox 的客户端状态与凭证，消除了在错误上下文中误输凭证的风险。
• 通过将状态更新推迟至用户明确操作，Nymix 有效抵御了会损害长期匿名性的污损攻击。
• Nymix 的设计通过减少用户指纹信息，缓解了交集攻击，并可通过集成 Buddies 等工具实现匿名阈值保护。
• 原型已通过红队对抗测试，表现出对已知去匿名化与追踪技术的鲁棒性。
• Nymix 通过 USB 启动与无状态运行实现否认能力，适用于高风险环境下用户在敌对环境中的使用。