Black Hat USA 2002 - Why is Anonymity So Hard?

這場講座揭示了匿名通訊系統從簡單到複雜的演進路徑及其內在困境。講者從最基礎的單跳代理開始，指出其致命缺陷在於只有一個信任點——一旦公司改變政策或遭到執法脅迫就會崩潰。為了解決這個問題，研究者發展出混合節點（Mix Node）概念，其核心創新在於訊息批次處理與重新排序：當多封訊息同時進入時，節點先解密訊息、將其打亂順序、再使用對稱密鑰重新轉發。觀察者無法判斷進入的訊息對應哪條出出去的訊息。當多個混合節點串聯成級聯結構時，只要其中一個節點保持誠實，整個系統就能保護使用者隱私——這是分散式信任的基礎。

自由路由混合進一步讓使用者自主選擇路徑，試圖增加攻擊複雜度。然而新問題隨之出現：全域攻擊者只需在網路前端與後端各放置一個嗅探器，就能識別進出訊息。況且，批次處理導致高延遲（郵件需等 1-2 天），使得這類系統只適合非實時應用如電子郵件。

為了支援低延遲應用（網頁瀏覽、SSH 連接），洋蔥路由應運而生。其運作方式截然不同：Alice 建構一個多層加密結構，每層包含下一跳的位址與對稱密鑰。路徑上的節點依次解密一層、確定下一站、用自己的密鑰加密回傳資料。這樣既實現了低延遲連接，又隱藏了通訊雙方身份。然而防禦能力受限：如果攻擊者控制路徑兩端，可透過觀察訊息到達時間來識別通訊雙方——訊息進入和離開的時序模式會洩露關聯性。更惡劣的是標記攻擊：攻擊者可篡改訊息中的某些位元，造成錯誤訊息發送到後續節點，或者故意延遲特定訊息以改變其時序特徵，進而製造出可識別的模式。

匿名系統面臨的根本困難是經濟與技術的雙重挑戰。技術層面存在長期交叉攻擊——如果 Alice 在週一發送訊息、Bob 在週四收到，而 Alice 每週一都發送、Bob 每週四都收到，攻擊者取這些訊息集合的交集就能識別通訊者。虛擬流量（偽裝訊息）理論上能打亂模式，但難以有效實現——必須看起來和真實訊息完全一致。流量整形（按正弦波或固定模式發送）雖然有潛力，但攻擊者仍可透過統計分析識別異常峰值。

更深層的問題是網路效應的悖論。真正的匿名性源於大量使用者的參與，產生足夠的訊息混淆。但高延遲與低可用性（郵件遺失、延遲數天）會嚴重損傷使用者體驗，導致採用率下降，反而破壞匿名性。講者指出，美國用戶使用德國 Web Mixes 的情況很少，因為延遲與不穩定性。少量使用者反而讓攻擊者更容易識別身份——系統上只有 50 人，某人訪問特定網站的機率就很高。此外，志願運營出口節點的人面臨嚴重的法律風險：使用者若透過其節點發送死亡威脅或非法內容，運營者可能遭到起訴。一旦幾個運營者被逮捕並公開判罰，願意參與的志願者會大幅減少，系統也從自由路由拓樸退化成少數可靠出口節點的漏斗結構。攻擊者只需監控這幾個出口節點就能掌握所有流量。

分散式信任模型試圖解決這個困境——多個不同實體（政府、銀行、醫療系統等）各運營一個節點並承諾不串謀。然而，若中情局與普通民眾共用同一系統，攻擊者仍能識別出中情局的流量特徵（因為 CIA 特工訪問的網站模式不同）。真正的解決方案需要政府自己部署並允許普通民眾使用，但政府通常難以接受允許恐怖分子或犯罪者使用其基礎設施的現實——儘管恐怖分子實際上會使用更簡單的方法（如偷手機使用後丟棄）。

講者提到，解決這些問題無法單靠技術革新，而需要在可用性、安全性、經濟成本與網路效應間找到脆弱的平衡。他正在開發的 Mixminion 系統試圖改進 Mixmaster，但許多根本性問題——特別是長期交叉攻擊與濫用問題——仍待解決。