P2P文件污染机制及其防治的综述

然而，一旦污染者能在不改变文件标识码的情况下去 污染文件，上述基于标识码的检测手段将失效，被改变的 污染副本将在网络中传播开嗍。因为这个原因，在现实中
万方数据
跏¨一矿ｊ
ｖⅢ＾铲Ⅲ¨ｊ～Ｅ ｏ ｖ
下载的过程中，污染版本可能已经传播开，并感染了很多 节点生成了很多副本，从而诱使更多的用户下载这个污染 版本。此外，为了确保污染版本更迅速有效地传播开，污 染者还为流行的污染版本制作大量副本并通过污染服务器 投放到共享系统中。Ｌｉａｎｇ等人对ＫａＺａａ网络中的文件 污染进行了研究川。结果表明，越受欢迎的主题拥有的版 本数量就越多，并且污染副本在一个主题排名前１００位的 版本文件中占的比例远高于污染版本在这个主题排名前 ５００位的版本文件中所占的比例。
关键字 文件地址
Ｐ２Ｐ史件 ，案０Ｉ系统
避庀蕞囊，
蒜鼍Ｆ一
（ＩＰ＊Ｐ０ｔｔ，’、
图１ Ｐ２Ｐ文件查询图例
２．３ ９２９文件污染机制 针对某个特定的主题，Ｐ２Ｐ文件污染有多种实现方
法：（１）污染者篡改一个共享文件的元数据来冒充要污染 的目标文件，并发布到Ｐ２Ｐ文件共享系统中；（２）污染者 用插入噪声、截取或替换一段甚至全部内容等方式制作一 个污染版本，并发布到Ｐ２Ｐ文件共享系统中ｌ（３）污染者 发布一个部分或完全不同的文件作为某个已经发布的版本 文件的副本；（４）污染者伪造虚假的版本标识码，并插入 Ｐ２Ｐ文件索引系统；（５）污染者伪造虚假指向的不提供服 务的ＩＰ地址或端口的文件地址，并插入Ｐ２Ｐ文件索引系 统。
污染。目前，主要的Ｐ２Ｐ共享网络都支持基于文件数据
片的文件下载。一个大文件以预先确定的大小分成了若
ｍ＾Ｃ月一一吒 干小块。例如，在ＢｉｔＴｏｒｒｅｎｔ协议中，文件可以被分成
６４ＫＢ到２ＭＢ的小“块”，并进一步分成８ＫＢ到３２ＫＢ
３副本污染的影响及其防治
一般说来，副本污染是三种污染方式中危害较小也较 容易防治的一种。副本污染的污染者在发布副本广告时， 采用的是一个正确版本的标识码。用户可以用这个根据文 件内容进行散列运算产生的特征码进行散列验证，从而校 验下载文件的正确性和完整性。这个校验过程是由用户安 装的Ｐ２Ｐ软件在下载完成后自动进行的。因此，用户错 误地选择了被污染的物理副本进行下载后，很快就会检测 到并删除这个错误文件。理论上讲，污染副本只能耗费用 户精力和网络带宽，很难大规模传播开。
下载已损坏的文件将耗费大量的网络带宽和资源，因 此更好的污染防治方法是在下载前或下载中，而不是在下 载完成后，判定目标文件的合法性，这就是基于信任度的 防治方法。从信任的载体来看，它包括可信任版本和可信 任节点这两种类型。 ４．２．１可信任版本
污染者利用Ｐ２Ｐ系统匿名共享的特性可以很容易地 将未经检测的文件发布到系统中。因此，一种防治污染的 方法就是对共享文件进行先预览再发布。这样，用户可以 从一些可信任的源获取合法文件（指没有被损坏和污染 的文件）的索引。比如，在著名的ＢｉｔＴｏｒｒｅｎｔ／Ｓｕｐｒｎｏｖａ 模式中，种子发布网站Ｓｕｐｒｎｏｖａ．ｏｒｇ由２０个管理者每 天对用户共享文件进行过滤并发布无污染的ＢＴ种子文件 “”。这样，用户从Ｓｕｐｒｎｏｖａ获取的种子文件包含了正确
其中，（１）和（２）（分别被称为元数据污染和内容污染 【ｌ】）的污染方式都是插入假冒的版本文件，（３）是插入假 冒的副本，（４）和（５）都是插入假冒的文件索引记录。因 此，现有研究将文件污染分为版本污染、副本污染和索引 污染三类“’３’４１。下面我们将分别讨论这三类污染的具体机 制、对Ｐ２Ｐ文件共享系统的影响以及防治方法。
并成功地使其用户数缩减了近一半嘲。
这种基于标识码的副本污染往往通过攻击Ｐ２Ｐ共享
系统所采用的散列函数，试图在不改变文件标识码的情况
下来污染文件。针对它的最根本的防治方法是采用更不易
Ｃ九ｍ埘ｖ
出现碰撞的散列函数，如后来的Ｐ２Ｐ文件共享系统使用
的Ｔｉｇｅｒ Ｔｒｅｅ，ＭＤ５和ＳＨＡ—ｌ等散列函数。
另外，基于文件片的完整性校验也能有效地防治副本
当一个文件版本在Ｐ２Ｐ文件共享系统中被共享并传 播开来，很多物理节点都存储了它的副本供用户下载。对 应于同一个版本的不同副本具有相同的版本标识码。 ２．２ Ｐ２Ｐ文件共享机制
Ｐ２Ｐ文件共享系统的用户以节点的方式加入系统。系 统对用户共享的文件进行分析，提取出元数据并生成标识 码。最后，元数据以及存储文件的节点地址（ＩＰ地址和 端口）一起作为共享文件的索引记录被插入文件索引系统。
Ｓｕｒｖｅｙ ｏｆ Ｐ２Ｐ Ｆｉｌｅ Ｐｏｌｌｕｔｉｏｎ ｅｎｄ Ａｎｔｉ—ｐｏ¨ｕｔｉｏｎ ＬＵＯ Ｙｉ－ｊｕｎ，ＬＩＵ ｑｉａｎｇ
（＇Ｓｔａｇｅ Ｋｅｙ Ｌａｂｏｒａｔｏｒｙ ｏｆ ＰＯＷＯＰ Ｔｒａｎｓｍｉｓｓｉｏｎ ＦＣｕ／ｐｍｅｎｔ ａｎｄ Ｓｙｓｔｅｍ，．Ｃｅｃｕｒ／ｔｙ ａ舶Ｎｅｗ Ｔｏｃｈｎｏｌｏｇｙ，Ｃｂｏａｇ翠／ｎｇ（，／Ｎｖｅｒｓ／ｔｙ，Ｃｂｏｎｇ驴／ｎｇ． ４０００４４，Ｃｈｉｎａ）
Ａｂｓｔｒａｃｔ：Ａｌｏｎｇ ｗｉｔｈ ｔｈｅｉｒ ｒａｐｉｄ ｄｅｖｅｌｏｐｍｅｎｔ，ｐｅｅｒ－－ｔｏ－ｐｅｅｒ ｆｉｌｅ ｓｈａｒｉｎｇ ｓｙｓｔｅｍｓ ｓｕｆｆｅｒ ｆｒｏｍ ｓｅｖｅｒｅ ｆｉｌｅ ｐｏｌｌｕｔｉｏｎ ａｔｔａｃｋｓ ｄｕｅ ｔｏ ｔｈｅ ｈｉｇｈｌｙ ｄｉｓｔｒｉｂｕｔｅｄ ａｎｄ ａｕｔｏｎｏｍｏｕｓ ｎｏｄｅｓ ａｎｄ ｔｈｅ ｎｏｎ－ａｕｔｈｅｎｔｉｃａｔｅｄ ｎａｔｕｒｅ．Ｔｈｅ ｓｕｒｖｅｙ ｆｉｒｓｔ ｉｎｔｒｏｄＯＣｅｓ ｅｘｉｓｔｉｎｇ ｆｉｌｅ ｐｏｌｌｕｔｉｏｎ ｍｅｃｈａｎｉｓｍｓ．ａｎｄ ｔｈｅｉｒ ｈａｒｍｎｅｓｓ ａｇａｉｎｓｔ ｄｉｆｆｅｒｅｎｔ ｔｙｐｅｓ ｏｆ Ｐ２Ｐ ｆｎｅ ｓｈａｒｉｎｇ ｓｙｓｔｅｍｓ．Ｔｈｅｎ，ｉｔ ｄｉｓｃｕｓｓｅｓ ｃｕｒｒｅｎｔ ａｎｔｉ－－ｐｏｌｌｕｔｉｏｎ ｔｅｃｈｎｉｑｕｅｓ，ａｎｄ ｔｈｅｉｒ ｅｆｆｅｃｔｉｖｅｎｅｓｓ ｉｎ ｄｉｆｆｅｒｅｎｔ ｅｎｖｉｒｏｍｅｎｔｓ．Ｆｉｎａｌｌｙ，ｔｈｅ ｓｕｒｖｅｙ ｏｕｔｌｉｎｅｓ ｆｕｔｕｒｅ ｒｅｓｅａｒｃｈ ｄｉｒｅｃｔｉｏｎｓ ｏｎ Ｐ２Ｐ ａｎｔｉ－ｐｏｌｌｕｔｉｏｎ． Ｋｅｙ ｗｏｒｄｓ：ｐｅｅｒ—ｔｏ—Ｄｅｅ’；ｐｏｌｌｕｔｉｏｎ；ｎｅｔｗｏｒｋ ｓｅｃｕｒｉｔｙ
１引言
近年来，Ｐ２Ｐ对等网络由于其节点的自主性和结构的 分散性在互联网上被极大地普及。建立在对等网络基础上 的文件共享也已经成为了互联网上最重要的应用之一。不 同于传统的客户服务器系统，Ｐ２Ｐ文件共享系统的每一个 用户同时扮演了服务器和客户机两个角色，它们既向别的 用户提供文件共享，也从别的用户处查询目标文件。然 而，由于缺乏一个值得信赖的服务器来协调和验证文件分 配，这种技术经常被滥用于一些版权内容的非法共享。于 是，拥有版权的出版商，例如美国唱片工业协会（ＲＩＡＡ）， 美国电影协会（ＭＰＡＡ）等，一方面通过法律保护法来 反对Ｐ２Ｐ文件共享系统的开发者，迫使他们关闭Ｐ２Ｐ文 件共享服务器（例如Ｎａｐｓｔｅｒ，Ｏｖｅｍｅｔ，ｅＤｏｎｋｅｙ２Ｋ等）， 另一方面也采用破坏Ｐ２Ｐ网络技术的手段来保护他们的 版权内容。文件污染就是这样一种保护措施。它利用Ｐ２Ｐ 文件共享系统中被控制的节点恶意散布被污染的文件给用 户，并通过这些污染版本的传播来扰乱文件传播的正常进 程。其目的是欺骗用户多次下载这些被污染的版本，进而 对Ｐ２Ｐ文件下载失望并放弃使用Ｐ２Ｐ文件分享系统。随 着专业污染公司（例如Ｏｖｅｒｐｅｅｒ，Ｌｏｕｄｅｙｅ等）的出现， Ｐ２Ｐ文件污染问题越发严重。在其鼎盛时期，Ｏｖｅｒｐｅｅｒ 伪造（ＭＰ３）文件污染了超过３００００个主题“副。Ｌｉａｎｇ等 人对２００４年ＫａＺａａ文件共享系统中的七首热门歌曲研究 表明，针对它们的污染版本都或多或少地存在着，其中个 别歌曲的污染率则是高达７６．８％ＩＨ。文件污染在保护版权 内容的同时存在着诸多弊端，首先污染文件的下载极大地
Ｐ２Ｐ文件污染机制及其防治的综述
罗亦军，刘强
（重庆大学输配电装备及系统安全与新技术国家重点实验室，重庆４０００４４）
加¨一旷ｊ
ｖⅢ＾阡Ⅲｕ ｊ～Ｅ Ｏ ｖ
摘要：Ｐ２Ｐ文件共享系统由于其节点分散性，自主性，以及缺乏有效认证手段的特点，在快速发展的同时，也遭遇到严重的文 件污染攻击。在对Ｐ２Ｐ文件共享系统介绍的基础上，讨论了现有文件污染机制及其原理，分析了它们对不同Ｐ２Ｐ文件系统的危害， 给出了现有的污染防治方法以及它们的适用场合，并在此基础上对未来的工作进行了展望。 关键词：Ｐ２Ｐ；文件污染；网络安全
大地降低了散列碰撞的难度。针对这种散列函数，污染者
只需要保持小部分用于产生散列码的文件内容不变，然后
任意改变别的部分，都可以伪造出符合版本标识码的副 本。一旦用户从发布污染副本的节点下载了一段被损坏的
＾ｏ暑
内容，整个下载的文件都会损坏。采用这种方法，污染公
Ｖ
司ＯｖｅｒＰｅｅｒ在两年中往ＫａＺａａ注入了近５０％的污染文件，
从理论上讲，文件污染防治可以从两个方面进行：一 是对下载文件的检测，争取迅速有效地发现污染文件，从 而中止下载及其传播；二是选择可信任的下载源进行下载， 包括可信任的物理节点和可信任的版本。 ４．１基于检测的防治方法
版本污染的优势之一在于它的难检测性。因为污染者 通常采用随机插入白噪声的方法生成污染文件，文件的真 伪很难被自动检测出来。很多研究通过对污染文件传播进 行建模和仿真指出Ｐ２Ｐ用户手工检测和删除污染文件的 重要性伫’５１。其中，文献［２，１０】将用户意识作为一个影响 因素引入数学模型并评估它对污染文件传播的影响。结果 表明，一方面用户对污染相当不敏感（缺乏意识），另一 方面他们对污染的反应（疏于行动）是导致污染扩散的关 键。因此，文献【５】提出增加用户检测和删除污染文件的 动力能从根本上防治版本污染。
由于一个文件能以不同的方式进行编码和合成，所以， 在同一个文件共享系统中，一个主题可能存在多个不同的 版本。一些热门主题往往对应着成百上千种版本Ⅲ。因此， Ｐ２Ｐ共享系统对每个版本文件进行散列计算，得到惟一的 一个版本标识码，用于区分不同的版本。用户可以用这个 标识码指定访问某个特定主题的特定版本。