29、揭开NDN安全的神秘面纱与匿名流量网络解析

揭开NDN安全的神秘面纱与匿名流量网络解析

1. NDN安全相关攻击及应对策略

NDN（Named Data Networking）的安全问题一直是网络领域关注的焦点。下面将详细介绍不同层面的攻击类型及其应对措施。

1.1 排除接口比率方案的问题

在NDN中，排除接口比率方案存在一定缺陷。该方案中，被多个接口上的兴趣排除的内容会受到更严重的惩罚。然而，其显著缺点如下：
- 内容排名依赖于消费者发出的排除数量，容易受到破坏。
- 排除是NDN中内容探索的一部分，可能会将优质内容标记为不良内容。

1.2 网络层攻击及应对

• 前缀劫持攻击 ：攻击者会发布受害者的前缀，使原本发往受害者的兴趣转向攻击者。攻击者收到兴趣包后会悄悄丢弃，形成黑洞。
  在NDN中，由于通信的对称性，每个节点可以了解未满足的兴趣包信息，这有助于推断被劫持的前缀。此外，节点可以跟踪每个接口相对于名称前缀的性能。NDN的多路径转发也有助于通过不同路径转发数据包，减少攻击的影响。为了完全消除这种攻击，路由广告/更新需要由广告路由器签名。每个路由器需要一个由网络运营商提供的公钥，每个路由器接口也需要一个由路由器公钥签名的公共接口密钥。所有更新信息需要通过接口密钥进行认证。

graph LR
    A[攻击者] -->|发布受害者前缀| B[兴趣转向攻击者]
    B -->|丢弃兴趣包| C[形成黑洞]
    D[节点] -->|了解未满足兴趣包信息| E[推断被劫持前缀]
    D -->|跟踪接口性能| F[减少攻击影响]
    G[路由广告/更新] -->|签名| H[认证]

1.3 策略层攻击及应对

• 定时分析攻击 ：攻击者通过探测缓存并利用数据检索时间来推断内容是来自原始数据生产者还是缓存。不同响应时间的差异可用于收集过去通信的信息，从而可能泄露用户隐私。
  例如，Alice和Adv通过路由器连接到持有内容C的原始生产者。当Alice请求内容C时，兴趣经过路径：Alice → R0 → R1 → R2，响应沿原路返回，总响应时间为t1。当Adv请求C时，兴趣经过路径：Adv → R3 → R1，响应时间为t2，且t1 > t2，攻击者可据此推断Alice之前访问过内容C。
  应对措施如下：
  • 将流量分为交互式和内容分发流量。对于交互式内容，在内容名称中添加随机数，由请求者和内容提供者共同商定，可防止攻击者探测缓存，但会影响缓存效果。
  • 请求者和生产者将隐私敏感的兴趣和内容标记为私有，中间路由器不缓存此类内容，防止隐私泄露。
  • 路由器模拟缓存未命中，在满足内容块请求前应用随机延迟，但会影响用户体验。可通过设置流行度阈值来减少对用户体验的影响，即首次请求时随机延迟，后续请求尽快交付内容。
  • 协作缓存和随机缓存可用于保护缓存隐私。协作缓存通过增加共享一组路由器的客户端数量来增加匿名客户端集，有助于保护隐私。

应对措施	优点	缺点
添加随机数	防止缓存探测	影响缓存效果
标记私有内容	防止隐私泄露	-
模拟缓存未命中	保护隐私	影响用户体验
协作缓存	增加匿名客户端集	缺乏分析

• 缓存监控攻击 ：攻击者通过随机名称持续探测缓存，监控连接到同一路由器的其他消费者访问的数据。即使数据加密，攻击者也能从数据名称和大小获取大量信息。攻击者主要针对网络边缘的路由器，因为边缘路由器的缓存服务的消费者数量有限。
  应对措施包括选择性缓存和选择性隧道。选择性缓存基于隐私敏感内容通常不受欢迎的假设，节点仅在内容超过特定流行度阈值时才进行缓存。选择性隧道假设互联网服务提供商（ISP）是可信的，将内容分为隐私敏感和非敏感内容，在隐私敏感的兴趣/数据中添加标志位，中间路由器不缓存标记的内容。然而，选择性缓存的假设可能不总是有效，攻击者可以通过频繁请求非流行内容来制造虚假的流行度。未来可设计高效的部分内容缓存隧道机制。
• 对象发现攻击 ：攻击者利用兴趣包中的排除功能获取受害者缓存中其他内容的信息。攻击者利用最长名称前缀匹配，无需知道完整名称。应对方法是禁用排除过滤器并限制名称前缀匹配。
• 流量克隆攻击 ：攻击者通过预测未来请求复制整个数据包流。攻击者首先需要进行对象发现攻击以了解请求内容的名称。简单的解决方案是对内容名称进行加密，若无法加密，则应设计难以预测或理解的名称。

1.4 数据链路层攻击及应对

• 自私攻击 ：在NDN物联网环境中，由于节点计算和存储能力有限，可能会自私地不转发其他节点的兴趣或数据包，导致拒绝服务（DoS）攻击。攻击者还可以通过嗅探兴趣包名称并过滤特定名称组件来阻止进一步转发。简单的缓解方法是提供激励措施，鼓励节点转发数据包。

2. TCP - IP与NDN安全对比

TCP - IP和NDN安全的显著区别在于，TCP - IP关注内容的位置，而NDN关注内容本身。TCP - IP中广泛采用的安全协议（如TLS和IPsec）用于保护两个主机之间的通信通道。在涉及多方的应用中，通信开销会显著增加，且即使通道安全，接收者也无法保证收到的数据是否真实或未被篡改。而在NDN中，数据携带签名，只要签名验证成功，消费者无需担心数据的获取方式和来源。在当前基于TCP - IP的安全协议（如HTTPS）中，只有当可信认证机构直接签名时，签名才会被接受。NDN利用名称语义构建信任策略，避免盲目验证内容签名，其命名约定也有助于密钥分发，提高了NDN的可用性。

对比项	TCP - IP	NDN
关注重点	内容位置	内容本身
安全协议作用	保护通信通道	保护数据
签名验证	依赖可信认证机构	利用名称语义构建信任策略
密钥分发	-	命名约定有助于密钥分发

揭开NDN安全的神秘面纱与匿名流量网络解析

3. NDN安全研究挑战

NDN安全虽然有诸多优势，但也面临一些研究挑战。

3.1 NACK及其安全问题

路由器或生产者发送NACK（Negative Acknowledgment）来通知下游路由器转发失败或请求的内容不存在。发送NACK有很多好处，比如消费者可以区分数据包丢失和其他原因，能及时刷新PIT（Pending Interest Table）状态以释放资源。但收到原因代码为“不存在的内容”的NACK后，就没必要向替代路径发送数据包了。

然而，这些优势也带来了风险，不安全或伪造的NACK可能引发另一种DoS（Denial of Service）攻击。当这些伪造的NACK被路由器缓存时，会污染缓存，后续的兴趣请求将由这些伪造的NACK来响应。简单的解决办法是使用签名，因为NACK是一种特殊的内容，不签名违反了其架构的基本原则。但攻击者可能会利用签名NACK的过程，因为签名需要大量的计算能力，生产者可能会因签名耗尽资源，从而导致另一种DoS攻击。因此，需要深入研究并制定关于使用NACK的严格指南。

graph LR
    A[NACK发送] -->|有好处| B[区分原因、释放资源]
    A -->|有风险| C[伪造NACK引发DoS]
    C -->|解决办法| D[使用签名]
    D -->|新问题| E[生产者资源耗尽]

3.2 对合法消费者的负面影响

虽然已经提出了各种对策来减轻现有攻击的影响，但对合法消费者的影响却缺乏关注。一些缓解措施看似简单可行，但合法消费者也需要付出相当大的代价。例如，速率限制方法无疑可以减少DoS攻击（如兴趣洪泛攻击）的影响，但合法消费者也会受到影响。因此，需要深入分析所提出的对策对合法消费者的影响。

3.3 勾结攻击的检测

在勾结攻击中，攻击者与恶意生产者合作，试图使路由器的PIT饱和，从而丢弃合法兴趣。如果是低速率的勾结攻击，检测会非常困难，原因如下：
- 从网络角度看，没有伪造的兴趣包，因为它们有有效的签名。
- 检测参数（如兴趣满足率/兴趣过期率）可能不起作用。
- 网络层的NACK本身可能导致NACK洪泛攻击。
虽然拥塞控制方案可以减少攻击的影响，但无法区分恶意和合法的兴趣包。因此，需要一种有效的勾结攻击检测方案。

3.4 统一解决方案框架的需求

目前NDN安全方面的大多数工作都是针对特定类型的攻击及其可能的对策。为了使NDN更安全，需要一个统一的解决方案框架，涵盖NDN中的主要攻击。因为一个小的解决方案集合就有可能抵抗大多数现有的攻击，同时要确保不违反NDN的基本原则，并且尽量减少对NDN实体的开销。

4. 匿名流量网络概述

匿名流量网络（ATN）有助于保护用户的身份和隐私。研究界对这类网络的实现非常感兴趣。基于洋葱路由的Tor网络是一个由志愿者驱动的大型网络，在全球范围内得到广泛应用。此外，Garlic、I2P、Bitcoin等实现也采用了匿名网络的基本概念。

随着去中心化网络和零知识认证的发展，对匿名和隐私的追求也在不断推进。互联网的使用方式在不断演变，用户的流量模式也在发生变化。下面将详细介绍ATN的相关内容。

4.1 ATN的实现类型

• Tor网络 ：基于洋葱路由，通过多个中继节点对数据进行多层加密，使数据在传输过程中难以被追踪到原始发送者。
• Garlic网络 ：将多个数据包捆绑在一起进行加密传输，增加了数据的匿名性。
• I2P网络 ：一个匿名的分布式网络，用户可以在其中进行匿名通信和共享信息。
• Bitcoin网络 ：虽然主要用于加密货币交易，但也采用了一些匿名技术，如地址的生成和交易的加密。

实现类型	特点
Tor网络	多层加密，中继节点多
Garlic网络	数据包捆绑加密
I2P网络	分布式匿名通信
Bitcoin网络	加密货币交易匿名

4.2 ATN的挑战

• 性能问题 ：由于加密和路由的复杂性，ATN的性能可能较低，导致延迟增加和带宽受限。
• 安全性问题 ：虽然ATN的目的是保护隐私，但仍然存在被攻击的风险，如流量分析和中间人攻击。
• 监管问题 ：匿名网络可能被用于非法活动，因此面临着监管的压力。

4.3 ATN的工具和技术

• 加密技术 ：如AES、RSA等，用于保护数据的隐私和完整性。
• 路由技术 ：如洋葱路由、分布式哈希表等，用于实现数据的匿名传输。
• 匿名协议 ：如Tor协议、I2P协议等，规定了数据的传输和处理方式。

5. 总结

NDN安全方面，其架构特点有助于实现安全、移动性和高效的内容分发，但也被攻击者利用来发起各种攻击。与TCP - IP攻击相比，NDN中的一些攻击是全新的，有些则类似但影响不同。大多数攻击主要针对可用性和隐私这两个安全要求，因为数据包中的数字签名已经有助于满足完整性、源认证和正确性等安全要求。同时，NDN安全还面临着NACK安全、对合法消费者的影响、勾结攻击检测和统一解决方案框架等研究挑战。

匿名流量网络为用户提供了匿名和隐私保护，但也面临着性能、安全和监管等挑战。随着互联网的发展，对匿名和隐私的需求将不断增加，未来需要进一步研究和改进相关技术，以提高ATN的性能和安全性。