[论文解读] The BitTorrent Anonymity Marketplace

Seth James Nielson, Dan S. Wallach|arXiv (Cornell University)|Aug 12, 2011

Internet Traffic Analysis and Secure E-voting参考文献 11被引用 4

一句话总结

该论文提出了一种基于激励机制的新型BitTorrent匿名市场系统，其中对等节点同时交换多个种子文件，以掩盖其真实下载意图。通过将流量经由覆盖文件和目标文件的市场进行路由，该系统实现了k-流量匿名性，使得观察者在统计上无法区分对等节点是在寻找特定文件，还是仅在提供覆盖流量，从而在不依赖Tor等外部匿名网络的情况下增强了隐私保护。

ABSTRACT

The very nature of operations in peer-to-peer systems such as BitTorrent exposes information about participants to their peers. Nodes desiring anonymity, therefore, often chose to route their peer-to-peer traffic through anonymity relays, such as Tor. Unfortunately, these relays have little incentive for contribution and struggle to scale with the high loads that P2P traffic foists upon them. We propose a novel modification for BitTorrent that we call the BitTorrent Anonymity Marketplace. Peers in our system trade in k swarms obscuring the actual intent of the participants. But because peers can cross-trade torrents, the k-1 cover traffic can actually serve a useful purpose. This creates a system wherein a neighbor cannot determine if a node actually wants a given torrent, or if it is only using it as leverage to get the one it really wants. In this paper, we present our design, explore its operation in simulation, and analyze its effectiveness. We demonstrate that the upload and download characteristics of cover traffic and desired torrents are statistically difficult to distinguish.

研究动机与目标

• 解决现有匿名解决方案（如Tor）在用于高带宽P2P工作负载时缺乏激励机制和可扩展性的问题。
• 设计一种无需依赖中心化服务器或外部匿名网络的对等匿名机制，以保护用户隐私。
• 构建一个通过互换多个种子文件激励对等节点贡献上传带宽的系统，从而掩盖其真实意图。
• 确保目标内容的流量模式与覆盖流量在统计上不可区分，防止推断攻击。
• 在真实网络条件下评估系统对理性攻击者和主动攻击者的鲁棒性。

提出的方法

• 系统中的对等节点同时下载和上传k个不同的种子文件（k ≥ 2），以掩盖其真实意图。
• 系统采用基于本地邻近性的对等节点选择机制，节点根据最近的上传贡献优先选择对等节点，模仿BitTorrent原生的激励机制。
• 每个对等节点从共享池中随机选择k个种子文件，其中一个是目标文件，其余作为覆盖流量。
• 系统利用现有BitTorrent协议的分片级交换机制以及阻塞/取消阻塞机制，以保持向后兼容性和性能。
• 使用估值函数来加权不同种子文件的效用，使对等节点倾向于上传能提升自身下载性能的分片。
• 通过详细的基于事件的仿真对系统进行评估，以检验统计不可区分性与性能开销。

实验结果

研究问题

• RQ1 能否设计一种P2P匿名系统，在不依赖Tor等外部匿名网络的情况下，提供强隐私保障？
• RQ2 对等节点之间互换种子文件能否产生足够的混淆，使得其下载意图在统计上与覆盖流量不可区分？
• RQ3 在存在节点频繁加入退出（churn）和上传/下载能力异质性的现实网络条件下，系统是否能保持性能和可扩展性？
• RQ4 理性对等节点在市场中的行为如何？系统能否抵御操纵或策略性行为？
• RQ5 在该系统中使用可能具有争议性的内容作为覆盖流量，其法律和伦理影响是什么？

主要发现

• 仿真结果表明，覆盖流量与目标种子文件的下载和上传模式在统计上不可区分，证明了k-流量匿名性的有效性。
• 系统实现了近乎最优的性能权衡，额外开销仅来自覆盖流量成本。
• 激励机制成功促进了对等节点的参与，因为节点通过互惠上传获得了更好的下载性能。
• 系统对理性操纵表现出鲁棒性，但仿真中未充分探索对主动探查者或策略性说谎的漏洞。
• 系统设计允许缓解道德和法律风险，用户可避免处理非法内容，同时仍能为匿名性做出贡献。
• 尽管仿真具有教学性和简化性，但结果表明，在受控条件下，覆盖流量混淆的核心机制是有效的。