[论文解读] Secure Anonymous Broadcast

Mahnush Movahedi, Jared Saia+1 more|arXiv (Cornell University)|May 21, 2014

Internet Traffic Analysis and Secure E-voting参考文献 32被引用 4

一句话总结

该论文提出了一种去中心化、可扩展的匿名广播协议，使每个参与方可仅发送和处理对数规模的比特数来完成每条匿名消息，实现 $O(\log n)$ 轮通信，并容忍最多 $n/6$ 个拜占庭故障。该协议通过在对数规模的组内进行本地计算并结合安全多方计算，确保抵御流量分析攻击，且无需可信第三方，其通信开销相比以往工作降低了数量级。

ABSTRACT

In anonymous broadcast, one or more parties want to anonymously send messages to all parties. This problem is increasingly important as a black-box in many privacy-preserving applications such as anonymous communication, distributed auctions, and multi-party computation. In this paper, we design decentralized protocols for anonymous broadcast that require each party to send (and compute) a polylogarithmic number of bits (and operations) per anonymous bit delivered with $O(\log n)$ rounds of communication. Our protocol is provably secure against traffic analysis, does not require any trusted party, and is completely load-balanced. The protocol tolerates up to $n/6$ statically-scheduled Byzantine parties that are controlled by a computationally unbounded adversary. Our main strategy for achieving scalability is to perform local communications (and computations) among a logarithmic number of parties. We provide simulation results to show that our protocol improves significantly over previous work. We finally show that using a common cryptographic tool in our protocol one can achieve practical results for anonymous broadcast.

研究动机与目标

• 设计一种无需依赖可信第三方、可抵御流量分析和主动攻击的去中心化匿名广播协议。
• 实现每条匿名比特的通信与计算开销为对数规模，以支持大规模网络的可扩展性。
• 确保负载均衡，并能抵御由计算能力无限的攻击者控制的最多 $n/6$ 个静态调度的拜占庭参与方。
• 通过将现有 DC-Nets 和 Mix-Nets 的 $\Omega(n^2)$ 通信复杂度降低至每比特 $\tilde{O}(1)$，实现显著改进。
• 通过仿真与密码学优化（包括分摊的初始化开销）证明协议的实用性。

提出的方法

• 协议在 $O(\log n)$ 个参与方组成的本地组内进行通信，通过安全多方计算与混洗操作，降低全局通信开销。
• 采用可验证秘密共享（VSS）方案——包括无条件安全（Katz et al.）与计算安全（Kate et al.）——以确保正确性与隐私性。
• 使用多方排序电路对输入进行匿名混洗，当 $k=2$ 且 $n \leq 2^{25}$ 时，错误概率 $\epsilon < 10^{-8}$。
• 协议在在线阶段复用通用密码学原原子（如随机三元组），以高效计算秘密共享下的乘法，实现分摊的初始化开销。
• 采用错误概率低于 $10^{-5}$ 的法定人数构建算法，以确保在存在敌对参与方时的鲁棒性。
• 系统运行于同步网络中，所有参与方之间具有私密且经过认证的通信信道，并假设身份公开。

实验结果

研究问题

• RQ1 去中心化的匿名广播协议能否在容忍 $n/6$ 个拜占庭故障的前提下，实现每条匿名比特的对数规模通信与计算开销？
• RQ2 在对数规模组内进行本地计算，是否能显著降低与 $\Omega(n^2)$ 通信复杂度协议相比的全局通信复杂度？
• RQ3 是否可能在无可信基础设施支持下，仍能对计算能力无限的攻击者提供针对流量分析的可证明安全性？
• RQ4 通过分摊初始化开销与随机三元组生成等密码学优化，能否使协议适用于大规模部署？
• RQ5 该协议能否适配至具有有界容错能力的异步网络？

主要发现

• 当 $n = 2^{20}$（约一百万个参与方）时，分摊后的协议每条匿名比特仅需每个参与方约 64KB 数据，相比以往工作有显著提升。
• 该协议的无条件安全版本每条匿名比特仅需约 64MB，仍远优于 [7]、[16] 和 [44] 中协议所见的每参与方超过 1TB 的开销。
• 法定人数构建算法的错误概率保持在 $10^{-5}$ 以下；当 $n = 2^{25}$ 时，排序电路的错误概率低于 $10^{-300}$。
• 协议实现了 $O(\log n)$ 轮通信，并在所有参与方之间保持完美负载均衡。
• 通过分摊初始化开销，与非分摊版本相比，每比特通信开销降低了 100 倍，显著提升了实用性。
• 仿真结果表明，该协议在通信效率方面优于所有以往的去中心化匿名广播协议，尤其在大规模场景下表现突出。