28、可撤销匿名性：原理、方案与安全分析

可撤销匿名性：原理、方案与安全分析

1. 引言

在匿名通信服务中，如何在保障用户匿名性的同时，又能在必要时追踪可疑消息的发送者，是一个重要的问题。本文将介绍一种可撤销匿名性的方案，该方案结合了阈值组签名、盲签名和阈值原子代理重加密等密码学原语，旨在实现完全可追溯性和完全匿名性的平衡。

2. 基本概念

2.1 可疑消息

被执法机构（L）请求的消息被称为“可疑”消息。判断消息是否“可疑”可以基于接收者的地址（如IP地址、URL等）或消息内容。

2.2 需求总结

该方案需要满足以下属性：
1. 能够披露任何给定“可疑”消息发送者的身份，且无需依赖发送者的帮助。
2. 撤销操作应仅对单个用户ID进行去匿名化，不影响其他用户的匿名性（除了匿名集大小减1）。
3. 基于用户ID和“可疑”消息之间的链接，任何实体（用户本身或撤销过程中涉及的实体）都不能对ID进行虚假陈述。
4. 出于隐私原因，ID和“可疑”消息之间的链接不得透露给除L以外的任何实体。特别是，匿名器不得了解有关ID的任何信息。
5. 撤销方案必须与匿名服务的信任模型兼容，即n个匿名器中至少k个必须合作才能对某个用户进行去匿名化，且少于k个匿名器是恶意的。

3. 相关工作

3.1 Mix网络方法

[Golle04]描述了一种Mix网络方法，允许Mix证明自己不是给定“可疑”消息的发送者，但无法识别真正的发送者。

3.2 基于票证的认证系统

[BeFK01]的基于票证的认证系统基于盲签名，旨在防止洪泛攻