RelayGuard：双跳隐私中继中对抗流量分析的预算感知突发整形

《Journal of Information Security and Applications》：RelayGuard: Budget-aware burst shaping against traffic analysis in dual-hop privacy relays

　　

• 提出了一种面向双跳隐私中继的、具有预算感知的突发整形防御机制。
• 引入正规的（k）匿名突发桶以降低流量可区分性。
• RelayGuard显著降低了网站指纹识别和会话关联的准确率。
• 在真实的中继测试环境中，RelayGuard取得了良好的隐私与开销之间的权衡。

## 引言

随着现代互联网服务向多个中间实体暴露丰富的元数据，保护用户网络隐私变得日益重要。即使应用负载已被加密，可观测的流量特征（如分组方向、突发大小、时序和流动态）仍可能泄露关于用户活动的敏感信息。针对这些问题，隐私保护中继架构应运而生，以减少用户与远程目的地之间的直接关联。一个典型的例子是Apple的iCloud Private Relay，它采用了双跳分信任架构，故意将入口代理和出口代理分离，使得任何单一中继实体都无法同时观测到用户的IP地址和正在访问的目标目的地[1], [2]。更广泛地说，这一设计原则与隐私分区和盲中继的概念一致，即将身份相关和内容相关的知识有意地分配给不同的参与方，以限制单向跟踪能力[3], [4]。

尽管双跳隐私中继在防止直接标识符-目的地关联方面取得了显著改善，但它们并不能消除元数据泄露。在实际中，底层流量特征仍然对各个观测点（包括接入网络和面向中继的网段）的被动观察者可见。关于网站指纹识别（WF）的先前研究表明，加密流量往往保留着独特的统计模式，可被利用来推断访问过的网站或关联浏览会话，即使无法访问分组的载荷内容[5], [6], [7]。这个问题对于低延迟隐私系统尤为关键，因为保持可用性限制了可引入的混淆量。重要的是，近期的研究特别证明了Apple的iCloud Private Relay仍然容易受到流量分析攻击，表明基于中继的隐私保护本身并不能提供对抗指纹式推断的稳健防护[8]。

这些观察揭示了一个关键差距，即架构隔离提供的隐私与对抗流量分析的隐私之间的差距。现有的中继架构主要是为了防止任何单一实体观测到通信的两端，但它们并不一定针对抑制流量分析对手所利用的统计规律性进行了优化。与此同时，许多现有的WF防御是针对Tor等匿名通信系统开发的，通常依赖于激进的填充或时序扰动策略，从而产生大量带宽和延迟开销[5], [9]。这样的开销对于大众市场的隐私中继来说可能无法接受，因为它们必须为日常Web流量保持响应性、可扩展性和运行效率。因此，面向双跳隐私中继的实用防御必须同时满足两个目标：应显著降低流量可区分性，并且应在严格的资源和性能约束下实现这一点。

本文提出了RelayGuard，一种轻量级且可部署的面向双跳隐私中继的防御机制，来解决上述挑战。RelayGuard在入口中继处运行，执行具有预算感知的突发整形，将观测到的流量转化为可区分性更低的正规模式。RelayGuard不强制执行重量级的恒速传输或大规模填充，而是使用带有预算校正的在线贪心调度策略，选择性地执行三种轻量级操作：自适应填充、小延迟注入和短窗口微批处理。该防御围绕四个突发级特征（方向、突发大小、突发间隙和突发持续时间）进行设计，这些特征共同捕捉了流量分析中常用的元数据的大部分信息，同时仍然适合在线处理。

RelayGuard的一个核心思想是使用k匿名突发桶。我们的方法不是以随意的方式扰动流量，而是将突发映射到至少被k个网站或页面类别有意共享的正规桶中。这种设计提供了一种突发级匿名支持条件：经过整形的突发被鼓励类似于多个网站或页面类别共享的正规模式，而非特定于单个类别的模式。为了高效实现这一目标，RelayGuard结合了两个互补原则：正规化（canonicalization），通过引导突发靠近代表性模板来减少变异性；以及匿名感知的正则化（anonymity-aware regularization），对映射到过于具体的桶的行为施加惩罚。由此产生的公式自然地捕捉了隐私、带宽开销和延迟开销之间的权衡关系。

我们的研究主要关注防御双跳隐私中继中的网站指纹识别攻击，同时也考察了对会话关联的抵抗力作为次要威胁。这种关注点是基于以下事实：指纹识别提供了具体的且被广泛研究的元数据推断模型，同时也作为更广泛流量分析风险的有用代理。从这一视角出发，RelayGuard的设计目的并非作为对抗所有网络推断形式的通用防御，而是一种在现实部署环境中降低流量可区分性的实用机制。

本文的主要贡献总结如下：

• 我们将双跳隐私中继中的流量分析防御形式化为一个在线的、受预算约束的突发正规化问题，该问题同时考虑正规化保真度、基于类别多样性的匿名性，以及带宽/延迟成本。
• 我们为中继流量整形引入了k匿名突发桶的概念，其中每个正规整形目标必须至少被k个网站或页面类别所支持。我们进一步提供了桶级隐私解释，将类别多样性和类别平衡与贝叶斯最优攻击者的成功概率相关联。
• 我们设计了RelayGuard，一种入口侧的中继防御机制，通过具有预算感知的贪心调度器将自适应中继层填充、有界延迟注入和短窗口微批处理相结合。
• 我们开发了一种在线预算校正机制，用于在会话内调节整形激进程度，防止早期预算耗尽，改善隐私与开销之间的权衡。
• 我们在防御感知的封闭世界、开放世界、会话关联、跨条件和跨时间场景下评估了RelayGuard，并将其与经典基线和近期基于整形的防御进行了比较。

本文其余部分组织如下：第2节回顾了关于双跳隐私中继、网站指纹识别和流量分析防御的相关工作。第3节介绍了系统架构、流量表示、对抗者模型和设计假设。第4.1节形式化了RelayGuard的优化问题，第4.2节介绍了整体框架。随后的小节则详细说明了其主要组件，包括突发提取、正规k匿名桶构建、具有预算感知的贪心整形和预算校正。第5节描述了实验设置和评估结果。最后，第6节总结全文并展望了未来方向。

## 各章节片段

### 双跳隐私中继与隐私分区

近年来，增强隐私的中继架构引起了越来越多的关注，这些架构旨在防止任何单一中间实体同时获知用户身份和正在访问的目标。一个代表性示例是Apple的iCloud Private Relay，它采用了双跳分信任设计，其中入口实体获知面向用户的网络身份，而出口实体解析面向目标的信息，从而限制了直接的标识符-目的地关联[1]。

### 系统模型与威胁模型

在本节中，我们描述了本文考虑的系统环境和对抗性条件。我们关注双跳分信任隐私中继架构，其中入口和出口中继被有意分离，使得任何单一中继都无法观测到用户身份和正在访问的目标[1], [2], [3], [4]。尽管这种架构限制了直接端点关联，但它仍然将突发结构和时序等流量元数据暴露给被动观察者。

### 问题形式化

我们将RelayGuard形式化为入口中继处的一个在线突发整形问题。一个加密会话被表示为一个有序的突发序列?（公式(1)），其中每个突发bi（公式(2)）捕捉了第3.2节中定义的可观测突发级元数据。对于每个突发bi，入口中继执行一个整形操作ai=(pi, di, wi)，其中pi表示在入口-出口链路上插入的中继层填充帧，di表示额外的转发延迟，wi表示微批处理窗口。

### 实验设置

在本节中，我们从安全和系统两个角度评估RelayGuard。我们的实验旨在回答三个主要问题：(i) RelayGuard是否能在双跳隐私中继环境中有效降低网站指纹识别准确率；(ii) 它是否能提高页面族级别的会话关联抵抗力；以及(iii) 这些隐私增益是否能在实际的带宽、延迟和运行时开销下实现。为此，我们构建了一个受控的...

### 结论

在本文中，我们提出了RelayGuard，一种面向双跳隐私中继系统的实用流量分析防御机制。RelayGuard通过在入口中继执行具有预算感知的突发整形，增强了分信任中继架构对基于元数据的推断的防御能力。与重量级的流量归一化方法不同，它在一个在线贪心调度器中结合了自适应填充、小延迟注入和短窗口微批处理，同时通过正规化引导突发变换。

### 利益冲突声明

作者声明没有已知的可能影响本文所述工作的竞争性财务利益或个人关系。

Hai Anh Tran