Mix Network

アンナがペーターに私的なメッセージを送るとします。途中で内容を読めなくても、アンナからデータが出て、その直後にペーターへ届く様子は見えるかもしれません。同じパターンが続けば、通信相手を推測できます。時刻、サイズ、ネットワークアドレスなど、メッセージの周辺にある情報をメタデータと呼びます。Chaum の1981年の論文は、電子メールのこの問題を扱いました。手紙に鍵を掛けるだけでなく、その道筋も追いにくくするにはどうすればよいか、という問いです。したがって、ミックスネットワークは内容の暗号化とは別の保護を提供します。 [1] [2] [9]

A、B、C を通る単純化した経路を考えます。アンナはまず本文をペーター向けに暗号化します。次に最後の C 向けに包み、その包みを B 向けに、最後に最初の A 向けに包みます。使うのは各ノードの公開鍵です。これは、対応する秘密鍵で開けられる暗号化の包みを作るための情報です。鍵は、暗号化ソフトウェアが使う数値データです。公開鍵は共有できますが、秘密鍵はそれぞれのノードが秘密に保ちます。A は自分の層を外すと内側の包みの送り先を知りますが、ほかの鍵まで手に入れるわけではありません。逆順に包むことで、経路上では順番に開けられます。これは説明用のモデルであり、すべてのミックスネットワークが必ず三つのノードを持つという意味ではありません。 [1] [4] [5]

A にアンナの一通だけが入り、すぐ一通だけが出れば、観測者には簡単に対応が分かります。そのため、古典的なバッチ型 mix は複数のメッセージを集めてから転送します。まとめて扱えば、どの入力がどの出力かという候補が増えます。データの包みのサイズをそろえることも重要です。極端に大きな荷物は、それだけで見分けられるかもしれません。所定の長さまでデータを足す処理を padding と呼びます。ただし、人数やメッセージ数だけでプライバシーを正確に測れるわけではなく、観測者がすでに知っている情報も関係します。 [1] [3]

mix は自分の暗号化の層を取り除き、プロトコルに従ってメッセージを確認します。同じ外側の包みをそのまま複製して送るのではありません。そのため、入口と出口で全く同じデータを探すだけでは追跡できません。順序も変わります。Chaum の元の提案ではバッチの出力をデータに基づいて並べ替え、ほかの方式は別の方法を使います。重要なのは、出力順が到着順を明かさないことです。再投入されたメッセージも確認します。次のノードが同様に処理し、最後のノードが受信者へ向けて転送します。ペーター宛ての本文は、受信者向けの独立した暗号化で守られたままです。 [1] [3] [5]

一つのバッチがそろうのを待たず、メッセージごとに異なるランダムな待ち時間を設けて流し続ける方式もあります。これにより、パケット、つまりデータのまとまりが入った時刻と出た時刻の関係が弱まります。カバートラフィックも役立ちます。利用者の実際のメッセージを含まない通信を流し、観測者からは本物に見えるようにするのです。データの動きだけでは、アンナが実際に書いた時刻を判断しにくくなります。Loopix はこうした設計で、Nym もその考え方を取り入れています。ただし追加の通信量、機器の処理、待ち時間が必要で、その設定は得られる保護にも影響します。 [3] [5]

古典的なモデルでは、経路上の少なくとも一つの mix が規則を守り、自分の入力と出力の対応を攻撃者に漏らさなければ、その内部の対応を隠せる場合があります。正直とはこの具体的な動作を指し、運営者の人格全般の評価ではありません。一台の正直なサーバーがあれば、あらゆる状況を解決できるという意味でもありません。攻撃者が同じグループのほかの全メッセージを識別すれば、消去法でアンナのものが残ります。ネットワークの両端の観測、長期的な利用状況、通信への介入能力も重要です。そのため研究では、相手が何を見て何を操作できるかという脅威モデルを明示します。 [1] [3]

攻撃者は捕らえたパケットを再送し、反対側で対応する繰り返しを探せます。データを変えて目印を付けたり、通信を遅らせたり、一部を捨てたりする試みもあります。対策には、改変されていないかを調べる完全性の確認と、繰り返しの記録が必要です。Loopix や Nym が使う Sphinx 形式は、その確認に必要な情報をノードへ与えます。一部の設計ではカバーメッセージも通信の損失検出に役立ちます。ただし、いずれも特定の前提に立つ対策であり、妨害されないという約束ではありません。暗号化されたメッセージでも届かないことはあります。 [3] [5]

アンナは返信経路の指示を暗号化してペーターに渡せます。彼はその指示を使えば、彼女の通常のネットワークアドレスを知らなくても返信できます。Chaum はすでにこうした返信先を記述していました。現代の一部の方式は SURB（Single-Use Reply Block）と呼ばれる一回限りの返信ブロックを使います。一回限りなのは保護の一部で、単なる不便ではありません。仮名を使えば、実名を明かさずに複数のメッセージが同じ作者から来たと示せますが、それらのメッセージは結び付きます。アンナが本文で名乗ったり個人情報を書いたりすれば、経路を隠してもその開示は取り消せません。 [1] [10]

Tor も複数の中継点を通しますが、日常的なウェブ閲覧ができるよう低遅延を重視します。両端をうまく観測できる相手は、通信の時刻や量を比較できます。Tor にも padding の仕組みがあり、カバートラフィックを全く使わないと言うのは不正確です。古典的な mixnet は、メッセージ配送などでより長い待ち時間を受け入れます。Loopix は数秒程度の遅延で折り合う設計を研究しています。Nym も mixnet モードと、より速い dVPN モードを区別します。dVPN モードでは、ここで説明したメッセージの混合処理ではなく、暗号化されたトンネルを通してデータを送ります。名称や経路の長さだけでなく、実際の転送方法と防ぎたい脅威を見る必要があります。 [4] [9] [8] [3] [5] [11]

ビットコインのウォレットは、支払いの受け取りや送信に使うアプリです。ウォレットなどのアプリが適切な経路に対応していれば、mixnet は通信を特定のインターネット接続に結び付けにくくできます。しかし Bitcoin プロトコルに自動的に備わる機能でも、コインを混ぜるサービスと同じものでもありません。取引同士の公開されたつながりは取引を共同で記録する台帳であるブロックチェーンに残り、経路を隠しても消えません。BIP 324 もノード間接続を暗号化する仕組みであり、送信者を隠すためにメッセージを混ぜるものではありません。通信経路のプライバシーと支払い履歴のプライバシーを分けて考えましょう。Mix Network は前者の理解に役立ちますが、すべての支払いを匿名の現金に変えるわけではありません。 [6] [7]