Ein Mix Network überträgt Nachrichten über Computer, die Nachrichten weiterleiten und Knoten oder Mixe heißen. Sie entfernen einzelne Verschlüsselungsschichten und verarbeiten den Verkehr so, dass sich eingehende Nachrichten schwerer den ausgehenden zuordnen lassen. David Chaum beschrieb die Grundlagen 1981. Geschützt werden soll die Beziehung zwischen Absender und Empfänger, nicht nur der Inhalt. Wie gut das gelingt, hängt vom Protokoll, vom übrigen Verkehr und von den Möglichkeiten des Beobachters ab. Viele Zwischenstationen allein garantieren keine Anonymität.
Anna schreibt Peter eine private Nachricht. Unterwegs kann niemand den Inhalt lesen. Trotzdem lässt sich vielleicht sehen, dass bei Anna Daten abgehen und kurz darauf bei Peter ankommen. Wiederholt sich das Muster, verrät es möglicherweise ihre Kommunikationsbeziehung. Solche Begleitinformationen heißen Metadaten: etwa Zeitpunkt, Größe und Netzwerkadressen. Chaums Aufsatz von 1981 behandelte genau dieses Problem elektronischer Post. Er fragte nicht nur, wie sich ein Brief verschließen lässt, sondern auch, wie man seinen Weg schwerer nachverfolgbar macht. Ein Mix-Netz bietet deshalb einen anderen Schutz als bloße Inhaltsverschlüsselung. [1] [2] [9]
Stellen wir uns eine vereinfachte Strecke über A, B und C vor. Anna verschlüsselt zuerst den eigentlichen Text für Peter. Dann verpackt sie ihn für den letzten Knoten C, dieses Paket für B und schließlich für den ersten Knoten A. Dazu verwendet sie deren öffentliche Schlüssel: Mit ihnen kann sie Hüllen erzeugen, die der jeweils zugehörige private Schlüssel öffnet. Schlüssel sind Zahlendaten, mit denen die Verschlüsselungssoftware arbeitet. Der öffentliche Schlüssel darf weitergegeben werden, den privaten hält der jeweilige Knoten geheim. A entfernt seine Schicht und erfährt, wohin das innere Paket weiterzuleiten ist. Die übrigen Schlüssel erhält A dadurch nicht. Die Hüllen entstehen rückwärts, damit sie unterwegs in der richtigen Reihenfolge entfernt werden können. Das ist ein Anschauungsmodell; nicht jedes Mix-Netz hat genau drei Knoten. [1] [4] [5]
Käme bei A nur Annas Nachricht an und ginge sofort genau eine Nachricht hinaus, hätte ein Beobachter leichtes Spiel. Ein klassischer Batch-Mix sammelt deshalb mehrere Nachrichten und versendet sie als Gruppe weiter. So gibt es mehr mögliche Zuordnungen zwischen Ein- und Ausgängen. Auch einheitliche Paketgrößen sind wichtig: Eine besonders große Sendung könnte sonst erkennbar bleiben. Das Auffüllen auf eine festgelegte Länge heißt Padding. Die Zahl der Menschen oder Nachrichten ist allein noch kein genaues Maß für Privatsphäre. Entscheidend ist auch, was der Beobachter bereits über sie weiß. [1] [3]
Der Mix entfernt seine Verschlüsselungsschicht, prüft die Nachricht nach den Protokollregeln und leitet nicht einfach dasselbe äußere Paket weiter. Ein Beobachter kann daher die Nachricht nicht allein durch den Vergleich identischer Daten an Ein- und Ausgang verfolgen. Auch die Reihenfolge ändert sich: Chaums ursprünglicher Vorschlag sortierte die Ausgaben eines Stapels nach ihren Daten; andere Konstruktionen gehen anders vor. Die Ausgangsreihenfolge darf jedenfalls nicht die Ankunftsreihenfolge verraten. Der Mix prüft außerdem, ob Nachrichten erneut eingereicht wurden. Der nächste Knoten arbeitet ähnlich, der letzte leitet die Sendung zum Empfänger weiter. Der für Peter bestimmte Inhalt bleibt durch eine gesonderte Verschlüsselung für den Empfänger geschützt. [1] [3] [5]
Nachrichten können auch laufend mit unterschiedlichen zufälligen Wartezeiten weitergegeben werden, statt auf einen gemeinsamen Stapel zu warten. Das lockert den zeitlichen Zusammenhang zwischen Ankunft und Abgang eines Pakets, also eines Datenbündels. Hinzu kommt Tarnverkehr: Nachrichten ohne Mitteilung eines Nutzers sollen für Beobachter wie echte Nachrichten aussehen. Am bloßen Datenfluss lässt sich dann schwerer erkennen, wann Anna tatsächlich etwas geschrieben hat. So arbeitet etwa Loopix; Nym greift solche Ideen auf. Dieser Schutz kostet zusätzliche Datenübertragung, Rechenarbeit und Wartezeit. Die gewählten Einstellungen beeinflussen entsprechend auch die erreichbare Privatsphäre. [3] [5]
Im klassischen Modell kann mindestens ein Mix auf der Strecke die interne Zuordnung verbergen, wenn er das Protokoll einhält und seine Eingangs-Ausgangs-Beziehungen nicht an den Angreifer verrät. Ehrlich bezeichnet hier dieses Verhalten, keine allgemeine Bewertung des Betreibers. Ein einziger ehrlicher Server löst deshalb nicht jede Situation. Erkennt der Angreifer alle anderen Nachrichten einer Gruppe, kann Annas Nachricht durch Ausschluss übrig bleiben. Beobachtungen an den Netzrändern, langfristige Nutzeraktivität und Eingriffe in den Verkehr sind ebenfalls wichtig. Forschungsarbeiten nennen deshalb ein Angreifermodell: Was kann der Gegner genau beobachten und kontrollieren? [1] [3]
Ein Angreifer kann eine abgefangene Sendung erneut einspeisen und am anderen Ende nach Wiederholungen suchen. Er kann Daten verändern, um eine Nachricht zu markieren, Verkehr verzögern oder Nachrichten verwerfen. Schutzmaßnahmen umfassen deshalb Integritätsprüfungen und die Erkennung wiederholter Pakete. Das unter anderem von Loopix und Nym verwendete Format Sphinx liefert dafür die nötigen Informationen. In manchen Entwürfen helfen Tarnnachrichten auch, Verluste zu erkennen. Das sind konkrete Abwehrmaßnahmen unter bestimmten Voraussetzungen, kein Versprechen eines unverwundbaren Netzes. Auch eine verschlüsselte Nachricht kann unzugestellt bleiben. [3] [5]
Anna kann Peter verschlüsselte Anweisungen für den Rückweg geben. Damit antwortet er, ohne ihre gewöhnliche Netzwerkadresse kennen zu müssen. Solche Rückadressen beschrieb bereits Chaum. Einige heutige Systeme verwenden einmalige Antwortblöcke, sogenannte SURBs (Single-Use Reply Blocks). Die einmalige Nutzung gehört zum Schutz und ist keine willkürliche Hürde. Ein Pseudonym kann erkennen lassen, dass mehrere Nachrichten vom selben Verfasser stammen, ohne dessen bürgerlichen Namen offenzulegen. Zugleich verknüpft es aber diese Nachrichten. Stellt Anna sich im Text selbst vor oder sendet persönliche Angaben, macht der verborgene Weg diese Offenlegung nicht rückgängig. [1] [10]
Auch Tor führt Kommunikation über mehrere Zwischenstationen. Es setzt aber auf geringe Verzögerung, damit normales Surfen möglich bleibt. Ein an beiden Enden gut platzierter Beobachter kann Zeitmuster und Datenmengen vergleichen. Tor hat ebenfalls Padding-Verfahren; die Behauptung, es verwende keinerlei Tarnverkehr, wäre falsch. Klassische Mixnets nehmen eher längere Wartezeiten in Kauf, etwa beim Nachrichtentransport. Loopix untersucht einen Kompromiss mit Verzögerungen im Sekundenbereich. Nym unterscheidet seinen Mixnet-Modus vom schnelleren dVPN-Modus. Im dVPN-Modus fließen die Daten durch verschlüsselte Tunnel statt durch die hier beschriebene Nachrichtenmischung. Name und Streckenlänge reichen daher nicht zur Beurteilung: Entscheidend sind der tatsächliche Transport und die Bedrohung, gegen die wir uns schützen wollen. [4] [9] [8] [3] [5] [11]
Eine Bitcoin-Wallet ist eine Anwendung, mit der man Zahlungen empfangen und senden kann. Unterstützt eine Wallet oder andere Anwendung einen passenden Übertragungsweg, kann ein Mixnet die Zuordnung ihres Verkehrs zu einem bestimmten Internetanschluss erschweren. Das ist weder automatisch Teil des Bitcoin-Protokolls noch dasselbe wie ein Dienst zum Mischen von Coins. Öffentliche Verbindungen zwischen Bitcoin-Transaktionen bleiben in der Blockchain, dem gemeinsamen Transaktionsverzeichnis, bestehen; ein verborgener Übertragungsweg löscht sie nicht. Auch BIP 324 verschlüsselt Verbindungen zwischen Knoten, statt Nachrichten zur Verschleierung des Absenders zu mischen. Wir unterscheiden also Privatsphäre bei der Übertragung von Privatsphäre der Zahlungshistorie. Mix Network erklärt die erste Ebene, macht aber nicht jede Zahlung zu anonymem Bargeld. [6] [7]
Für ein möglichst vollständiges Bild lies diesen Eintrag zusammen mit David Chaum, Bitcoin-Privatsphäre, Pseudonymität, Bitcoin, Bitcoin Anonymity Networks, BIP324.