匿名协议WonGoo的概率模型验证分析

匿名协议WonGoo的概率模型验证分析陆天波，方滨兴，孙毓忠，郭丽（中国科学院计算技术研究所软件研究室北京100080）（中国科学院研究生院北京100039）（lutianbo@）摘要Internet隐私的一个主要问题是缺乏匿名保护。

近年来，人们已经针对这一问题做了很多工作。

然而，如何利用已有的形式化方法分析匿名技术却是一个极具挑战的问题。

对P2P匿名通信协议WonGoo进行了形式化分析。

利用离散时间Markov链模型化节点和攻击者的行为。

系统的匿名性质采用时序逻辑PCTL进行描述。

利用概率模型验证器PRISM对WonGoo系统的匿名性进行了自动验证。

结果表明WonGoo的匿名性随着系统规模的增加而增加；但却随着攻击者观察到的源自同一个发送者的路径的增加而降低。

另外，匿名路径越长，系统的匿名性越强。

关键词匿名；点对点；WonGoo；概率模型验证中图法分类号TP393Analysis of Anonymity Protocol WonGoo with Probabilistic Model CheckingLU Tian-bo, FANG Bin-xing, SUN Y u-zhong, GUO Li(Institute of Computing Technology, Chinese Academy of Sciences, Beijing, P.R.China, 100080)(Graduate School of the Chinese Academy of Sciences, Beijing, P.R.China, 100039)Abtract One of the main privacy problems in Internet is lack of anonymity. Much work has been done on this problem in recent years. However, it is a challenge to analyze anonymity protocol formally. This paper presents formal analysis of peer-to-peer anonymous communication protocol WonGoo. The behavior of group members and the adversary is modeled as a discrete-time Markov chain, and security properties are expressed as PCTL formulas. Using the probabilistic model checker PRISM, it analyzes the anonymity guarantees the protocol is intended to provide. As a result, it not only finds that anonymity provided by WonGoo increases with the increase in group size and degrades with the increase in the number of random routing paths, but it also shows the relationship between anonymity and path length.Key words anonymity, Peer-to-Peer, WonGoo, Probabilistic Model Checking1 引言Internet的一个缺陷是不提供匿名保护，攻击者可以根据通信流之间的关系对发送者和接收者进行追踪。

随着Internet的快速发展并被人们广为接受，以及搜索引擎和数据挖掘等技术的发展，人们已经开始关注Internet上的隐私和匿名。

隐私不仅意味着信息的机密性，而且意味着信息发布者身份的机密性。

匿名技术是Internet上保护用户隐私的一种有效手段，它通过一定的方法将通信流中的通信关系加以隐藏，使攻击者无法获知双方的通信关系或通信的一方。

用户在通信过程中，通过隐藏自己的IP地址来保护自己的隐私。

例如，用户访问了某个网站，但是由于用户使用了匿名技术，使得该访问活动无法与用户身份信息（指IP 地址）关联起来，这在一定程度上保护了用户的隐私。

加密技术可以保护通信的内容，但是攻击者可以通过通信流分析(Traffic analysis)手段观察出谁和谁在通信，通信的时间以及通信流的多少等。

因此，加密技术并不能保证通信的安全，尤其是在一个大的开放的环境中，保护通信者的身份就显得更加困难。

本文中收稿日期：2004-11 基金项目:国家自然科学基金(60273016)，国家“八六三”高技术研究发展计划基金（2001AA142110）及中国科学院计算技术研究所基金(20016250)资助。

作者简介: 陆天波，博士研究生，主要研究方向为网络信息安全、分布式计算；方滨兴，研究员，博士生导师，主要研究方向为网络信息安全、并行计算；孙毓忠：研究员，博士生导师，主要研究方向为计算机系统结构；郭丽，副研究员，硕士生导师，主要研究方向为网络信息安全。

通信者的身份是指其IP 地址，因此发送者是指发送者的IP 地址，同样，接收者是指接收者的IP 地址。

我们所提出的WonGoo 协议[1]是一个综合了Mix[2]和Crowds[3]的优点的可扩展点对点协议，提供三种形式的匿名保护：发送方匿名（sender anonymity ），即消息无法被关联到其发送者；接收方匿名（receiver anonymity ），即消息无法被关联到其接收者；关系匿名（relationship anonymity ），即消息的发送方和接收方是不可关联的（unlinkability ）[4]。

WonGoo 克服了Mix 效率低和Crowds 抗攻击性差的缺点，通过分层加密和随机转发取得了强匿名和高效率。

我们在文献[1]中分析了WonGoo 的效率和匿名性介于Crowds 和Mix 之间，是Crowds 和Mix 的折中。

模型验证（Model Checking ）技术是安全协议形式化分析的一项重要技术，它最早应用于硬件的性能验证中。

随着信息安全技术的不断发展，被逐渐应用于安全协议的形式化分析中。

本文利用概率模型验证（Probabilistic Model Checking ）技术分析了WonGoo 系统的匿名性。

我们把WonGoo 系统形式化为一个离散时间Markov 链（discrete-time Markov chains ，DTMCs ）模型，利用时序逻辑PCTL （Probabilistic Computational Tree Logic ）[5]来描述WonGoo 系统的匿名性质，并用概率模型验证器PRISM[6]进行验证。

我们所考虑的问题是攻击者是否能够确定谁是一条匿名路径的发起者。

我们假定攻击者可以观察部分网络通信流，可以运行自己的WonGoo 节点，可以控制其他的部分WonGoo 节点。

但是，攻击者不能破坏系统所采用的加密技术。

2概率模型验证技术模型验证是一种验证有限状态系统的自动化分析技术。

系统被模型化为一个状态转化图，系统的性质用时序逻辑描述。

它通过一个有效的搜索过程来验证状态转化图是否满足某种性质。

我们可以把模型验证抽象的描述为：给定一个模型M 和逻辑描述的性质P ，检查M ╞P ，即在模型M 中性质P 是否成立。

模型验证的最大优点在于验证过程是全自动化的，并且如果一个性质不满足，它能给出反例说明这个性质不满足的理由。

概率模型验证是模型验证技术的扩充，主要用于自动验证具有随机行为的系统中某些事件发生的概率。

例如在系统运行过程中验证事件“停机的概率不超过0.1”和“视频帧在5毫秒内到达的概率不低于0.9”等。

概率模型验证中系统的形式化模型被赋予了概率信息，典型的情况是模型的每一个状态转化都标记有一个概率，用于说明状态转化的可能性。

我们在本文中用到的模型是离散时间Markov 链（DTMCs ），其他两个常用的模型是连续时间Markov 链（continuous-time Markov chains ，CTMCs ）和Markov 决策过程（Markov decision processes ，MDPs ）。

2.1离散时间Markov 链（DTMCs ）一个带标记函数的离散时间Markov 链D 是一个四元组 ),,,(L P s S ，其中● S 是一个有限状态的集合；● Ss ∈ 是初始状态；● ]1,0[:→⨯S S P 是一个转移概率矩阵，满足∑∈=Ss s s P '1)',( ，对任意的S s ∈；●APS L 2:→ 是一个标记函数，表示原子命题在状态s 成立，其中AP 是一个原子命题集合。

转移概率矩阵的元素)',(s s P 给出了从状态s 到状态's 的转移概率。

系统的一次执行可用一条通过DTMCs 的路径表示。

本文中WonGoo 系统的一次执行是指一条WonGoo 路径的建立过程。

一条通过DTMCs 的路径是一个有穷（或者无穷）的状态序列 (2)1s s s =ω，其中对任意的0≥i ，有0),(1>+i is s P 。

我们把始于状态s 的路径的集合记为sPath 。

2.2 DTMCs 上的PCTL 模型验证PCTL 是对时序逻辑CTL （Computational Tree Logic ）[7]的扩充和发展。

它在CTL 基础之上增加了概率算子)(~ψp P ，其中]1,0[∈p ，},,,{~>≥<≤∈。

PCTL的语法如下：)(||||::~ψφφφαφp P true ⌝∧=φφφφφψ||::kX ≤=其中α是原子命题，k 是一个整数，φ是一个状态公式，ψ是一个路径公式。

概率算子)(~ψp P 的意思是，如果一条路径源于状态s 且满足路径公式ψ的概率满足条件p~，则认为公式)(~ψp P 在状态s 是满足的。

可以表示成下列公式：s╞)(~ψp P ⇔pP s ~)(ψ其中}||{)(ψωωψ=∈=sssPath P P 。

文献[8]对这一概率的计算过程进行了讨论。

PRISM 支持三种类型的路径公式：φX ，21φφk ≤ 和21φφ 。

路径ω满足路径公式ψ，记为ω╞ψ。

下面给出PCTL 在DTMCs 上的语义描述。

对于一条路径ω： φωωφ=⇔=|)1(|X （ω的第二个状态满足公式φ）),|)(|)(.(|1221i j j i k i k<∀=∧=≤∃⇔=≤φωφωφφω（ω的前k 个状态中的某个满足2φ，同时该状态以前的所有状态都满足1φ）2121|.0|φφωφφωkk ≤=≥∃⇔=对于一个状态S s ∈: true s =| for all Ss ∈)(|s L s ∈⇔=αα2121|||φφφφ=∧=⇔∧=s s sφφ≠⇔⌝=||s spp P s s p ~)()(|~ψψ⇔=对于公式21φφ来说，常用的形式是true=1φ。