ミックスネットワーク

ミックスネットワーク^{[1]は、複数の送信者からメッセージを受け取り、それらをシャッフルし、ランダムな順序で次の宛先 (おそらく別のミックスノード) に送り返す、}ミックス^[2]と呼ばれる一連のプロキシサーバーを使用して追跡が困難な通信を作成するルーティングプロトコルです。これにより、要求の送信元と宛先の間のリンクが切断され、盗聴者がエンドツーエンドの通信を追跡することが難しくなります。さらに、ミックスは、メッセージを受信したノードと、シャッフルされたメッセージを送信する直接の宛先のみを認識しているため、ネットワークは悪意のあるミックスノードに対して耐性があります。^{[3] [4]}

各メッセージは、公開鍵暗号化を使用して各プロキシに暗号化されます。暗号化の結果、メッセージが最も内側の層にあるロシア人形のような階層構造になります (各「人形」は同じサイズです)。各プロキシ サーバーは、自身の暗号化層を取り除いて、次にメッセージを送信する場所を明らかにします。1 つを除くすべてのプロキシ サーバーがトレーサーによって侵害された場合でも、弱い敵に対しては追跡不可能な状態を維持できます。

ミックスネットワークの概念は、1981年にDavid Chaumによって初めて説明されました。 ^[5] この概念に基づくアプリケーションには、匿名リメーラ（ Mixmasterなど）、オニオンルーティング、ガーリックルーティング、キーベースルーティング（ Tor、I2P、Freenetなど）などがあります。

デビッド・ショームは、1979年に論文「追跡不可能な電子メール、返信先アドレス、デジタル仮名」でミックスネットワークの概念を発表しました。この論文は、公開鍵暗号、マーティン・ヘルマン、ホイットフィールド・ディフィー、ラルフ・マークルの研究を通じて暗号学の分野に初めて触れた直後の修士論文でした。公開鍵暗号は情報のセキュリティを暗号化しますが、ショームは通信に含まれるメタデータに個人のプライバシーの脆弱性があると考えました。個人のプライバシーを侵害する脆弱性には、送受信されたメッセージの時間、メッセージのサイズ、元の送信者のアドレスなどがありました。^[2]彼は論文の中で、マーティン・ヘルマンとホイットフィールドの論文「暗号学の新方向」(1976年)を引用しています。

イアン・ゴールドバーグやアダム・バックのような革新者たちは、ミックスネット技術に多大な貢献をした。この時代は、暗号化方法の大きな進歩が見られ、これはミックスネットの実用化にとって重要であった。ミックスネットは学界で注目を集め始め、その効率性とセキュリティを向上させるための研究が進んだ。しかし、実用化はまだ限定的で、ミックスネットは主に実験段階にとどまっていた。ミックスネットを使用して個人が匿名の電子メールを送信しやすくするために、「サイファーパンク リメーラー」ソフトウェアが開発された。^[6]

2000 年代には、インターネットのプライバシーに関する懸念が高まり、ミックス ネットワーク (ミックスネット) の重要性が浮き彫りになりました。この時代は、 2000 年代半ばにTor (The Onion Router)が登場したことで特徴づけられました。Tor はミックスネットをそのまま実装したものではありません。特に、ミックスネットの概念に似たオニオン ルーティング形式を利用するなど、David Chaum の基本的なアイデアを大いに取り入れています。この時期には、ミックスネットの原理をさまざまな程度に取り入れた他のシステムも登場しました。これらはすべて、安全で匿名の通信を強化することを目的としています。

2010 年代に入ると、ミックスネットの拡張性と効率性を高める方向に大きくシフトしました。この変化は、新しいプロトコルとアルゴリズムの導入によって推進され、これまでミックスネットの広範な展開を妨げていた主な課題のいくつかを克服するのに役立ちました。特に 2013 年以降、エドワード スノーデンが大規模な世界規模の監視プログラムについて暴露した後、ミックスネットの重要性が急上昇しました。この時期には、プライバシーを保護するための重要なツールとしてミックスネットに新たな注目が集まりました。

量子コンピューティングの到来は、ミックスネットに大きな影響を与えるでしょう。^[要出典]一方で、量子コンピューターは非常に強力で、ミックスネットで現在使用されているセキュリティ方法の一部を破壊する可能性があるため、新たな課題がもたらされます。その一方で、量子コンピューターはミックスネットをより良く、より強力にする機会も提供します。このため、量子コンピューティングに耐えることができる新しいセキュリティ方法を開発することが非常に重要です。これにより、テクノロジーが変化し成長しても、ミックスネットが強力なプライバシーとセキュリティを提供し続けることができるようになります。

参加者Aは、ランダムな値 R をメッセージに追加し、受信者の公開鍵 でそれを封印し、B のアドレスを追加し、結果をミックスの公開鍵 で封印することで、参加者Bに配信するメッセージを準備します。M は自分の秘密鍵でそれを開き、B のアドレスを知った上で、B に 送信します。${\displaystyle K_{b}}$${\displaystyle K_{m}}$${\displaystyle K_{b}(message,R)}$

${\displaystyle K_{m}(R1,K_{b}(R0,message),B)\longrightarrow (K_{b}(R0,message),B)}$

これを実現するために、送信者はミックスの公開鍵 ( ) を取得し、それを使用して、ランダムな文字列 ( )、受信者宛てのネストされたエンベロープ、受信者の電子メール アドレス ( B ) を含むエンベロープを暗号化します。このネストされたエンベロープは受信者の公開鍵 ( ) で暗号化され、送信されるメッセージの本文とともに別のランダムな文字列 ( R0 ) が含まれます。暗号化された最上位のエンベロープを受信すると、ミックスはその秘密鍵を使用してそれを開きます。内部には、受信者のアドレス ( B ) とB宛ての暗号化されたメッセージがあります。ランダムな文字列 ( ) は破棄されます。 ${\displaystyle K_{m}}$${\displaystyle R1}$${\displaystyle K_{b}}$${\displaystyle R1}$

${\displaystyle R0}$攻撃者がメッセージを推測するのを防ぐために、メッセージに が必要です。攻撃者はすべての受信メッセージと送信メッセージを観察できると想定されています。ランダム文字列 が使用されていない場合 (つまり、 のみがに送信されている場合)、攻撃者がメッセージが送信されたことを正しく推測できる場合、攻撃者はが成り立つかどうかをテストして、メッセージの内容を知ることができます。ランダム文字列を追加することで、攻撃者はこの種の攻撃を実行できなくなります。攻撃者が正しいメッセージを推測したとしても (つまり、が真)、秘密の値 がわからないため、正しいかどうかはわかりません。実際には、はsaltとして機能します。 ${\displaystyle (K_{b}(message))}$${\displaystyle B}$${\displaystyle message'}$${\displaystyle K_{b}(message')=K_{b}(message)}$${\displaystyle R0}$${\displaystyle message'=message}$${\displaystyle R0}$${\displaystyle R0}$

今必要なのは、 Aの身元をBから秘密にしたまま、B がAに応答する方法です。

解決策としては、A が追跡不可能な返信アドレスを作成します。ここで、はA自身の実アドレス、は今回だけ選択された公開ワンタイム キー、 は封印の目的でランダム文字列としても機能するキーです。次に、A は、すでに説明した手法で送信されたメッセージの一部として、 この返信アドレスをBに送信できます。${\displaystyle K_{m}(S1,A),K_{x}}$${\displaystyle A}$${\displaystyle K_{x}}$${\displaystyle S1}$

B はM に送信し、M はそれを に変換します。 ${\displaystyle K_{m}(S1,A),K_{x}(S0,response)}$${\displaystyle A,S1(K_{x}(S0,response))}$

このミックスは、アドレス部分を復号化した後に見つかったビット文字列をキーとして使用し、メッセージ部分を再暗号化します。受信者A がと の両方を作成したため、結果の出力を復号化できるのは受信者Aだけです。追加のキーにより、ミックスが応答メッセージの内容を見ることができないことが保証されます。 ${\displaystyle S1}$${\displaystyle K_{m}(S1,A)}$${\displaystyle K_{x}(S0,response)}$${\displaystyle S1}$${\displaystyle K_{x}}$${\displaystyle K_{x}}$

以下は、B がこの追跡不可能なリターンアドレスを使用して、新しい種類のミックスを介して Aへの応答を形成する方法を示しています。

A Bからのメッセージ: ${\displaystyle \longrightarrow }$

${\displaystyle K_{m}(R1,K_{b}(R0,message,K_{m}(S1,A),K_{x}),B)\longrightarrow K_{b}(R0,message,K_{m}(S1,A),K_{x})}$

B Aからの返信メッセージ: ${\displaystyle \longrightarrow }$

${\displaystyle K_{m}(S1,A),K_{x}(S0,response)\longrightarrow A,S1(K_{x}(S0,response))}$

ここで、= Bの公開鍵、= ミックスの公開鍵。 ${\displaystyle K_{b}}$${\displaystyle K_{m}}$

送信先は、送信元の匿名性を犠牲にすることなく送信元に返信できます。返信メッセージは、送信元から送信先への匿名メッセージと同じパフォーマンスとセキュリティ上の利点をすべて備えています。

ミックスネットワークは、たとえ敵がパス全体を見ることができたとしてもセキュリティを提供しますが、ミキシングは完璧ではありません。敵は長期的な相関攻撃を仕掛け、パケットの送信者と受信者を追跡することができます。^[7]

攻撃者は、ミックス ネットワークへのトラフィックとミックス ネットワークからのトラフィックを監視することで、受動的な攻撃を実行できます。複数のパケット間の到着時間を分析すると、情報を明らかにすることができます。パケットにアクティブな変更は行われないため、このような攻撃を検出することは困難です。最悪の攻撃の場合、ネットワークのすべてのリンクが攻撃者によって観察可能であり、ミックス ネットワークの戦略とインフラストラクチャが既知であると想定されます。^[2]

入力リンク上のパケットは、パケットが受信された時間、パケットのサイズ、またはパケットの内容に関する情報に基づいて、出力リンク上のパケットと相関させることはできません。パケットのタイミングに基づくパケットの相関はバッチ処理によって防止され、内容とパケット サイズに基づく相関は暗号化とパケット パディングによってそれぞれ防止されます。

パケット間隔、つまり 2 つのネットワーク リンク上の 2 つの連続するパケットの観測間の時間差は、リンクが同じ接続を伝送しているかどうかを推測するために使用されます。暗号化とパディングは、同じ IP フローに関連するパケット間隔には影響しません。パケット間隔のシーケンスは接続間で大きく異なります。たとえば、Web ブラウジングでは、トラフィックがバーストで発生します。この事実を使用して接続を識別できます。

アクティブ攻撃は、固有のタイミングシグネチャを含むパケットのバーストを標的フローに注入することで実行できます。攻撃者は、他のネットワークリンク上のこれらのパケットを識別しようとする攻撃を実行できます。攻撃者は、後続のすべてのミックスの対称キーの知識が必要であるため、新しいパケットを作成できない可能性があります。リプレイパケットも、ハッシュとキャッシュによって簡単に防止できるため使用できません。^[2]

攻撃者がフロー内で大量の連続パケットをドロップすると、ターゲット フローに大きなギャップが生じる可能性があります。たとえば、ターゲット フローに 3000 個のパケットを送信するシミュレーションが実行され、攻撃者はフローの開始から 1 秒後にパケットをドロップします。ドロップされる連続パケットの数が増えると、防御ドロップの有効性は大幅に低下します。大きなギャップを導入すると、ほとんどの場合、認識可能な特徴が作成されます。

攻撃者は人工的なバーストを作成することができます。これは、人工的なパケットをリンク上に一定期間保持し、その後一度にすべて解放することでシグネチャを作成することによって行われます。このシナリオでは防御ドロップでは防御ができず、攻撃者はターゲット フローを特定できます。この攻撃を防ぐために実行できる防御手段は他にもあります。そのようなソリューションの 1 つが、アダプティブ パディング アルゴリズムです。パケットの遅延が大きいほど、動作の特定が容易になり、より優れた防御が可能になります。

攻撃者は、パケット間隔以外のタイミング攻撃も検討するかもしれません。攻撃者はパケットストリームを積極的に変更して、ネットワークの動作に生じた変化を観察することができます。パケットを破損させてTCPパケットの再送信を強制することができ、その動作は簡単に観察でき、情報を明らかにすることができます。^[8]

攻撃者は、しきい値ミックスに送受信されるメッセージは見ることができるが、これらのミックスの内部動作や、同じミックスによって何が送信されるかは見ることができないと仮定します。攻撃者がそれぞれのミックスに自分のメッセージを残し、2 つのうちの 1 つを受信すると、送信されたメッセージと対応する送信者を特定できます。攻撃者は、いつでも自分のメッセージ (アクティブ コンポーネント) をミックスに配置する必要があり、メッセージが送信される前にメッセージはそこに残っている必要があります。これは通常、アクティブ攻撃ではありません。弱い攻撃者は、この攻撃を他の攻撃と組み合わせて使用​​して、より多くの問題を引き起こす可能性があります。

ミックス ネットワークは、受信するメッセージの順序を変更して、着信メッセージと発信メッセージの間に大きな関係が生じないようにすることでセキュリティを確保します。ミックスはメッセージ間の干渉を引き起こします。この干渉により、ミックスの観察者への情報漏洩率に限界が設けられます。サイズ n のミックスでは、ミックスへの入力とミックスからの出力を観察する攻撃者は、一致を判断する際に順序 n の不確実性が生じます。スリーパー攻撃はこれを利用することができます。各ミックスにスリーパーがあるしきい値ミックスの階層化ネットワークでは、送信者からの入力を受信する層と、メッセージを最終宛先に転送する 2 番目のミックス層があります。これにより、攻撃者は受信したメッセージが送信者から、発火しなかったレイヤー 1 ミックスに送られたはずがないと知ることができます。これらのスリーパーでは、送受信されたメッセージが一致する可能性が高くなるため、通信は完全に匿名ではありません。ミックスは、純粋にタイミングが調整される場合もあります。つまり、特定の間隔で受信したメッセージの順序をランダム化し、その一部をミックスに添付して、その間隔で受信した内容にかかわらず、間隔の終了時に転送します。混合可能なメッセージは干渉しますが、混合可能なメッセージがない場合、受信メッセージとの干渉は発生しません。^[9]