[论文解读] Pisces: Anonymous Communication Using Social Networks

Prateek Mittal, Matthew Wright+1 more|arXiv (Cornell University)|Aug 30, 2012

Internet Traffic Analysis and Secure E-voting参考文献 41被引用 44

一句话总结

Pisces 是一种去中心化的匿名通信系统，利用社交网络关系构建基于信任的洋葱路由电路，通过采用有偏随机游走和互惠邻居策略，防止恶意节点操纵，从而缓解路径劫持攻击。与现有系统相比，Pisces 显著提升了匿名性，在每轮通信中熵值比 ShadowWalker 高达 6 比特，且在 100 轮内熵值为传统随机游走的两倍。

ABSTRACT

The architectures of deployed anonymity systems such as Tor suffer from two key problems that limit user's trust in these systems. First, paths for anonymous communication are built without considering trust relationships between users and relays in the system. Second, the network architecture relies on a set of centralized servers. In this paper, we propose Pisces, a decentralized protocol for anonymous communications that leverages users' social links to build circuits for onion routing. We argue that such an approach greatly improves the system's resilience to attackers. A fundamental challenge in this setting is the design of a secure process to discover peers for use in a user's circuit. All existing solutions for secure peer discovery leverage structured topologies and cannot be applied to unstructured social network topologies. In Pisces, we discover peers by using random walks in the social network graph with a bias away from highly connected nodes to prevent a few nodes from dominating the circuit creation process. To secure the random walks, we leverage the reciprocal neighbor policy: if malicious nodes try to exclude honest nodes during peer discovery so as to improve the chance of being selected, then honest nodes can use a tit-for-tat approach and reciprocally exclude the malicious nodes from their routing tables. We describe a fully decentralized protocol for enforcing this policy, and use it to build the Pisces anonymity system. Using theoretical modeling and experiments on real-world social network topologies, we show that (a) the reciprocal neighbor policy mitigates active attacks that an adversary can perform, (b) our decentralized protocol to enforce this policy is secure and has low overhead, and (c) the overall anonymity provided by our system significantly outperforms existing approaches.

研究动机与目标

• 解决在非结构化社交网络拓扑中缺乏能够抵御拜占庭对手的、具备信任感知能力的去中心化匿名系统的问题。
• 设计一种安全的、去中心化的对等节点发现方法，防止恶意节点将随机游走偏向自身。
• 在无中心化控制的前提下强制实施互惠邻居策略，确保诚实节点能够排除恶意对等方。
• 通过利用社交信任提升洋葱路由中的匿名性，同时最小化遭受 Sybil 攻击和路径劫持攻击的风险。
• 使用真实社交网络拓扑和理论建模评估系统的韧性与性能。

提出的方法

• 在社交网络图上使用有偏随机游走选择匿名电路的对等节点，降低对高度连接节点的偏好，以防止恶意枢纽节点占据主导地位。
• 实施互惠邻居策略，即诚实节点排除那些也排除自己的恶意节点，采用以牙还牙策略以阻止操纵行为。
• 通过 Whanau 分发和验证联系人列表，实现去中心化的列表同步与完整性检查，并使用密码学签名检测作弊行为。
• 在随机游走过程中通过部分洋葱路由和隐私保护集合交集验证节点，以防御 Sybil 攻击，同时不暴露游走参与者身份。
• 从受保护的随机游走构建电路，确保即使存在部分恶意社交链接，也能以高概率包含诚实中继节点。
• 使用真实社交网络数据的理论建模和仿真评估匿名性、韧性与开销。

实验结果

研究问题

• RQ1 去中心化的匿名系统能否利用社交信任降低拜占庭对手对电路的破坏概率？
• RQ2 在非结构化社交网络拓扑中，如何在不依赖中心化服务器或结构化覆盖网络的前提下实现安全的对等节点发现？
• RQ3 互惠邻居策略能否有效阻止试图将随机游走偏向恶意节点的主动攻击？
• RQ4 节点度偏置对基于随机游走的电路构建的韧性与匿名性有何影响？
• RQ5 Pisces 在实践中提供的匿名性与现有去中心化和中心化匿名系统相比如何？

主要发现

• Pisces 通过互惠邻居策略显著降低了路径劫持攻击的风险，使恶意节点无法可靠操纵随机游走。
• 去中心化实施互惠邻居策略在保持强安全性的同时，通信和计算开销极低。
• 使用真实社交网络拓扑，Pisces 在每轮通信中熵值比 ShadowWalker 高达 6 比特，表明匿名性更优。
• 在 100 轮通信中，Pisces 的熵值为传统随机游走（如 Drac 系统）的两倍，证明其长期匿名性更强。
• 由于对高度连接节点的偏置规避以及互惠排除机制，即使用户拥有少量恶意社交链接，系统仍能保持高度韧性。
• Pisces 的电路建立延迟高于 Tor，原因是随机游走时间更长，但可通过预先建立电路缓解，而此做法已在实际部署系统中使用。