Смешайте сеть - Mix network

Простая расшифровка микса net. Сообщения шифруются последовательностью открытых ключей. Каждый узел микширования удаляет уровень шифрования, используя свой собственный закрытый ключ. Узел перемешивает порядок сообщений и передает результат следующему узлу.

Смешайте сети^[1] находятся маршрутизация протоколы, которые создают трудно отслеживаемые коммуникации, используя цепочку прокси-серверы известный как смеси^[2] которые принимают сообщения от нескольких отправителей, перемешивают их и отправляют обратно в случайном порядке в следующий пункт назначения (возможно, другой узел смешивания). Это разрывает связь между источником запроса и местом назначения, что затрудняет отслеживание сквозной связи для перехватчиков. Кроме того, миксам известен только узел, от которого он немедленно получил сообщение, и непосредственный пункт назначения для отправки перемешанных сообщений, что делает сеть устойчивой к вредоносным микшерным узлам.^[3]^[4]

Каждое сообщение зашифровывается для каждого прокси с помощью криптография с открытым ключом; результирующее шифрование многослойно, как Русская матрешка (за исключением того, что все «куклы» имеют одинаковый размер) с сообщением в качестве самого внутреннего слоя. Каждый прокси-сервер снимает собственный уровень шифрования, чтобы показать, куда отправить сообщение дальше. Если все прокси-серверы, кроме одного, скомпрометированы трассировщиком, невозможно отследить защиту от некоторых более слабых противников.

Концепция смешанных сетей была впервые описана Дэвид Чаум в 1981 г.^[5] Приложения, основанные на этой концепции, включают анонимные ремейлеры (Такие как Mixmaster ), луковая маршрутизация, чеснок, и маршрутизация на основе ключей (включая Tor, I2P, и Freenet ).

Как это устроено

Участник А готовит сообщение к отправке участнику B добавляя случайное значение R к сообщению, запечатывая его открытым ключом адресата ${displaystyle K_ {b}}$ , добавив адрес B, а затем запечатав результат открытым ключом микса ${displaystyle K_ {m}}$ .M открывает его своим закрытым ключом, теперь он знает адрес B и отправляет ${displaystyle K_ {b} (сообщение, R)}$ к Б.

Формат сообщения

${displaystyle K_ {m} (R1, K_ {b} (R0, message), B) longrightarrow (K_ {b} (R0, message), B)}$

Для этого отправитель берет открытый ключ микса ( ${displaystyle K_ {m}}$ ) и использует его для шифрования конверта, содержащего случайную строку ( ${displaystyle R1}$ ), вложенный конверт, адресованный получателю, и адрес электронной почты получателя (B). Этот вложенный конверт зашифрован открытым ключом получателя ( ${displaystyle K_ {b}}$ ) и содержит другую случайную строку (R0) вместе с телом отправляемого сообщения. После получения зашифрованного конверта верхнего уровня микс использует свой секретный ключ, чтобы открыть его. Внутри находит адрес получателя (B) и зашифрованное сообщение, привязанное к B. Случайная строка ( ${displaystyle R1}$ ) отбрасывается.

${displaystyle R0}$ необходимо в сообщении, чтобы злоумышленник не мог угадать сообщения. Предполагается, что злоумышленник может наблюдать за всеми входящими и исходящими сообщениями. Если случайная строка не используется (т.е. только ${displaystyle (K_ {b} (сообщение))}$ отправляется ${displaystyle B}$ ), и злоумышленник догадывается, что сообщение ${displaystyle message '}$ был отправлен, он может проверить, ${displaystyle K_ {b} (сообщение ') = K_ {b} (сообщение)}$ держит, посредством чего он может узнать содержание сообщения. Добавляя случайную строку ${displaystyle R0}$ злоумышленник не может выполнить такую атаку; даже если он должен угадать правильное сообщение (т.е. ${displaystyle message '= message}$ верно) он не узнает, прав ли он, так как он не знает секретного значения ${displaystyle R0}$ . Практически, ${displaystyle R0}$ функционирует как соль.

Обратные адреса

Сейчас нужен способ B чтобы ответить на А сохраняя при этом личность А секрет от B.

Решение для А сформировать неотслеживаемый обратный адрес ${displaystyle K_ {m} (S1, A), K_ {x}}$ куда ${displaystyle A}$ это его собственный реальный адрес, ${displaystyle K_ {x}}$ публичный одноразовый ключ, выбранный только для текущего случая, и ${displaystyle S1}$ - это ключ, который также будет действовать как случайная строка для целей запечатывания. Потом, А можете отправить этот обратный адрес на B как часть сообщения, отправляемого с помощью уже описанных методов.

B отправляет ${displaystyle K_ {m} (S1, A), K_ {x} (S0, ответ)}$ в M, а M преобразует его в ${displaystyle A, S1 (K_ {x} (S0, response))}$ .

Этот микс использует строку битов ${displaystyle S1}$ что он находит после расшифровки адресной части ${displaystyle K_ {m} (S1, A)}$ как ключ для повторного шифрования части сообщения ${displaystyle K_ {x} (S0, ответ)}$ . Только адресат, А, может расшифровать полученный результат, потому что А создал оба ${displaystyle S1}$ и ${displaystyle K_ {x}}$ . Дополнительный ключ ${displaystyle K_ {x}}$ гарантирует, что микс не может видеть содержимое ответного сообщения.

Ниже показано, как B использует этот неотслеживаемый обратный адрес для формирования ответа на Ачерез новый вид микса:

Сообщение от А ${displaystyle longrightarrow}$ B:

${displaystyle K_ {m} (R1, K_ {b} (R0, message, K_ {m} (S1, A), K_ {x}), B) longrightarrow K_ {b} (R0, message, K_ {m}) (S1, A), K_ {x})}$

Ответить на сообщение от B ${displaystyle longrightarrow}$ А:

${displaystyle K_ {m} (S1, A), K_ {x} (S0, response) longrightarrow A, S1 (K_ {x} (S0, response))}$

Где: ${displaystyle K_ {b}}$ = BОткрытый ключ, ${displaystyle K_ {m}}$ = открытый ключ микса.

Пункт назначения может отвечать источнику, не жертвуя анонимностью источника. Ответное сообщение разделяет все преимущества производительности и безопасности с анонимными сообщениями от источника к месту назначения.

Уязвимости

Хотя смешанные сети обеспечивают безопасность, даже если злоумышленник может просматривать весь путь, смешивание не является абсолютно идеальным. Злоумышленники могут проводить долгосрочные корреляционные атаки и отслеживать отправителя и получателя пакетов.^[6]

Модель угрозы

Злоумышленник может выполнить пассивную атаку, отслеживая входящий и исходящий трафик смешанной сети. Информация может быть получена путем анализа времени прибытия между несколькими пакетами. Поскольку в пакеты не вносятся активные изменения, такую атаку трудно обнаружить. В худшем случае атаки мы предполагаем, что все звенья сети наблюдаются противником, а стратегии и инфраструктура смешанной сети известны.

Пакет на входном канале не может быть коррелирован с пакетом на выходном канале на основе информации о времени получения пакета, его размере или содержимом пакета. Корреляция пакетов на основе синхронизации пакетов предотвращается пакетированием, а корреляция на основе содержимого и размера пакета предотвращается за счет шифрования и заполнения пакетов соответственно.

Межпакетные интервалы, то есть разница во времени между наблюдениями за двумя последовательными пакетами на двух сетевых каналах, используется для определения того, передают ли эти каналы одно и то же соединение. Шифрование и заполнение не влияют на интервал между пакетами, относящийся к одному и тому же IP-потоку. Последовательности межпакетных интервалов сильно различаются между соединениями, например, при просмотре веб-страниц трафик происходит пачками. Этот факт можно использовать для идентификации соединения.

Активная атака

Активные атаки могут быть выполнены путем введения пакетов пакетов, содержащих уникальные временные сигнатуры, в целевой поток. Злоумышленник может выполнять атаки, чтобы попытаться идентифицировать эти пакеты на других сетевых ссылках. Злоумышленник может не иметь возможности создавать новые пакеты из-за необходимого знания симметричных ключей для всех последующих миксов. Пакеты воспроизведения также нельзя использовать, поскольку их легко предотвратить с помощью хеширования и кеширования.

Искусственный разрыв

В целевом потоке могут возникнуть большие пробелы, если злоумышленник отбрасывает большие объемы последовательных пакетов в потоке. Например, имитация запускается с отправкой 3000 пакетов в целевой поток, где злоумышленник отбрасывает пакеты через 1 секунду после начала потока. По мере увеличения числа отбрасываемых подряд пакетов эффективность защитного отбрасывания значительно снижается. Введение большого зазора почти всегда создает узнаваемую деталь.

Искусственные всплески

Злоумышленник может создавать искусственные очереди. Это делается путем создания подписи из искусственных пакетов, удерживая их на ссылке в течение определенного периода времени, а затем выпуская их все сразу. Отключение защиты не обеспечивает защиты в этом сценарии, и злоумышленник может идентифицировать целевой поток. Есть и другие меры защиты, которые можно предпринять для предотвращения этой атаки. Одним из таких решений могут быть алгоритмы адаптивного заполнения. Чем больше задерживаются пакеты, тем легче определить поведение и, таким образом, можно наблюдать лучшую защиту.

Другие атаки анализа времени

Злоумышленник может также изучить другие временные атаки, отличные от межпакетных интервалов. Злоумышленник может активно изменять потоки пакетов, чтобы наблюдать за изменениями, вызванными поведением сети. Пакеты могут быть повреждены для принудительной повторной передачи пакетов TCP, поведение которых легко проследить для выявления информации.^[7]

Атака спящего

Предполагая, что злоумышленник может видеть отправляемые и получаемые сообщения в пороговых миксах, но он не может видеть внутреннюю работу этих миксов или то, что они отправляют. Если злоумышленник оставил свои собственные сообщения в соответствующих миксах и получил одно из двух, он может определить отправленное сообщение и соответствующего отправителя. Злоумышленник должен поместить свои сообщения (активный компонент) в микс в любой момент времени, и сообщения должны оставаться там до отправки сообщения. Обычно это не активная атака. Более слабые противники могут использовать эту атаку в сочетании с другими атаками, чтобы вызвать больше проблем.

Для обеспечения безопасности смешанные сети изменяют порядок получаемых сообщений, чтобы избежать существенной связи между входящими и исходящими сообщениями. Миксы создают помехи между сообщениями. Помехи накладывают ограничения на скорость утечки информации для наблюдателя за миксом. В миксе размера n злоумышленник, наблюдающий за входом и выходом из микса, имеет неопределенность порядка n при определении совпадения. Атака спящего может воспользоваться этим. В многоуровневой сети пороговых миксов со спящим в каждом миксе есть уровень, принимающий входные данные от отправителей, и второй уровень миксов, которые пересылают сообщения конечному месту назначения. Из этого злоумышленник может узнать, что полученное сообщение не могло прийти от отправителя ни в один микс уровня 1, который не сработал. Существует более высокая вероятность сопоставления отправленных и полученных сообщений с этими спящими, поэтому общение не является полностью анонимным. Миксы также могут быть чисто синхронизированными: они рандомизируют порядок сообщений, полученных в определенном интервале, и присоединяют некоторые из них к миксам, пересылая их в конце интервала, несмотря на то, что было получено в этом интервале. Сообщения, доступные для микширования, будут мешать, но если сообщения недоступны, это не мешает полученным сообщениям.^[8]

История

Дэвид Чаум опубликовал концепцию Mix Networks в 1979 году в своей статье: «Электронная почта, обратные адреса и цифровые псевдонимы, не подлежащие отслеживанию». Эта статья предназначалась для его кандидатской диссертации вскоре после того, как он впервые познакомился с криптографией благодаря работе криптография с открытым ключом, Мартин Хеллман, Уитфилд Диффи и Ральф Меркл. В то время как криптография с открытым ключом зашифровывала безопасность информации, Чаум полагал, что в метаданных, обнаруженных в сообщениях, есть уязвимости в отношении личной конфиденциальности. Некоторые уязвимости, которые позволили поставить под угрозу личную конфиденциальность, включали время отправки и получения сообщений, размер сообщений и адрес исходного отправителя. Он цитирует статью Мартина Хеллмана и Уитфилда. «Новые направления в криптографии» (1976) в своей работе.