Len Sassaman

تخيل خدمة بريد خاص لا يفهم إعدادها إلا قليلون. قد يكون تصميمها التقني ذكيا، لكنها لا تساعد كثيرا من الناس عمليا. ربط لين ساسامان، Len Sassaman، الخصوصية بسهولة الاستخدام؛ وشرح في موقعه البحثي أن النظام شديد الصعوبة قد يفشل في جذب المستخدمين الذين يحتاج إليهم. يعتمد الاتصال المجهول أيضا على حركة الاتصال الأخرى التي يمكن أن تمتزج بها الرسالة. لذلك لم يسأل فقط عما إذا كانت الرياضيات تعمل، بل عما إذا كان الناس يستطيعون استخدام النظام بصورة صحيحة. درس حماية هذه الأنظمة وطرق اختراق تلك الحماية معا. [1]

كان Mixmaster أحد هذه الأساليب: نظام لتمرير البريد يصعّب الربط بين المرسل والمستلم. يسرد مستند Mixmaster Protocol Version ⁦2⁩ المؤرخ في ⁦29⁩ ديسمبر ⁦2004⁩ أربعة مؤلفين مشاركين: U. Moeller وL. Cottrell وP. Palfrader وL. Sassaman. لا تحتاج مساهمة ساسامان إلى تحويلها لقصة مخترع منفرد. المستند Internet-Draft مؤرشف، أي مقترح عمل مقدم ضمن بيئة IETF، المنظمة المعنية بمعايير الإنترنت. وجوده في الأرشيف لا يجعله معيارا معتمدا من IETF. قيمته هنا أنه سجل محدد لما اقترحه مؤلفوه. [2]

يشبه المحتوى المشفر رسالة داخل ظرف معتم: لا ترى الكلمات، لكن يمكنك مراقبة التسليم. تُسمى هذه التفاصيل المحيطة بالاتصال الرقمي بيانات وصفية، ومنها حجم الرسائل وتوقيتها وتكرارها. يجمع تصميم Mixmaster لعام ⁦2004⁩ طبقات التشفير وحزم البيانات ثابتة الحجم ومجموعة مشتركة تُمرر منها الرسائل تدريجيا. والهدف تصعيب ربط رسالة واردة بمخرج محدد. لكن المزج يعني الانتظار أيضا. هذه الآليات تشرح كيفية بناء الحماية، ولا تَعِد بإخفاء الهوية مهما كانت طريقة الاستخدام. [2]

إرسال خطاب دون لفت النظر جزء من القصة فقط. إذا تعرف إليك أحد عند تفريغ صندوق البريد، فقد يكشف الصلة من الطرف الآخر. تناول لين ساسامان وBram Cohen وNick Mathewson هذه المشكلة في The Pynchon Gate عام ⁦2005⁩. يستخدم التصميم قناة مجهولة موجودة للإرسال. أما الاستقبال فيستخدم private information retrieval، أو PIR: استرجاع البيانات مع إخفاء العنصر المطلوب عن الخوادم التي تقدمه. الإرسال والاسترجاع ليسا اسمين لعملية واحدة. إنهما يحميان جزأين مختلفين من المسار، وكلاهما مهم. [3]

يرسل PIR في تصميم عام ⁦2005⁩ استعلامات مختلفة إلى موزعين مختارين، أي خوادم تقدم البيانات المخزنة. تسمي الورقة عددهم k. يجمع العميل إجاباتهم للحصول على الكتلة المطلوبة، دون أن يعلن استعلام منفرد ببساطة عن الكتلة التي يريدها. لكن حماية هذا الاختيار تفترض ألا يسيطر المهاجم على جميع الخوادم المختارة. لذلك تهم هوية المشغلين. عدة عناوين يسيطر عليها شخص واحد لا تعادل مشغلين مستقلين. لا يثبت عدد الخوادم وحده الاستقلال؛ يجب أن يطابق الافتراض التشغيل الفعلي. [3]

تخيل أنك تنزل بيانات أكثر بكثير فقط عندما تتلقى بريدا كثيرا. قد يتعلم المراقب شيئا دون قراءة المحتوى. لذلك يستخدم تصميم عام ⁦2005⁩ كتلا ثابتة الحجم واستعلامات إضافية حتى حد أقصى محدد. وللالتزام بهذه الحماية، لا يستطيع العميل التوقف دائما فور جلب رسائله الحقيقية. التكلفة مفهومة: ينقل أيضا بيانات لا يحتاج إليها لمجرد قراءة البريد. هنا تأتي الخصوصية من التشفير وسلوك البرنامج وقبول حركة بيانات إضافية معا. [3]

يستخدم Pynchon Gate في ورقة عام ⁦2005⁩ دوال تجزئة تنتج بصمات رقمية قصيرة للتحقق من البيانات، وبصمة جذر مشتركة للمجموعة المنظمة. تساعد إعادة الحساب على التحقق من مطابقة البيانات المتوقعة. لكن إذا قدم المهاجم بيانات معدلة وجذرا مستبدلا معها، فلا تكفي المطابقة مع قيمته هو. لذلك يطلب المؤلفون نشر معلومات التحقق على نطاق واسع والتأكد من اتفاق الموزعين المستخدمين على الجذر. السؤال ليس فقط هل البصمة متطابقة، بل كيف عرفنا البصمة التي ينبغي أن تطابقها. يحتاج التحقق إلى نقطة بداية موثوقة. [3]

إلى جانب ورقة Pynchon Gate، يفيد الاطلاع على README، الوصف التمهيدي للمشروع البرمجي. يصف مؤلفه Nick Mathewson التنفيذ بأنه قيد العمل، ويذكر شيفرة الموزع والمجمّع، وليس النظام كاملا. يجهز المجمّع الرسائل ويرتبها للتوزيع؛ أما برنامج المستخدم فعمل منفصل. لا يثبت هذا السجل التاريخي أن الخدمة جاهزة لاستخدام آمن اليوم. وهذا لا يقلل قيمة مساهمة ساسامان. ساعد على تحديد مشكلات حقيقية وتصميم حلول تتضح قيمتها أكثر حين نفهم شروطها وحدودها أيضا. [4]