💻 computer science

Pepper: High-bandwidth and Scalable Anonymous Broadcast with Cryptographic Privacy

Pepper 是一种高带宽、可扩展的匿名广播协议，它利用双服务器 DC-net 架构及创新的密码学原语，在无需外部拨号服务的情况下，实现了全局发送者匿名性、支持批处理消息传输，并提供了显著高于现有最先进替代方案的吞吐量。

原作者： Chenghao Li, Haoyuan Wang, Xianghang Mi

发布于 2026-06-04

📖 1 分钟阅读☕ 轻松阅读

原作者： Chenghao Li, Haoyuan Wang, Xianghang Mi

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

想象一下，你置身于一个拥挤、嘈杂的房间里，每个人都在大声叫喊。你想向全屋的人传递一个秘密信息，但你不希望任何人知道你是谁。在数字世界中，这被称为匿名广播（anonymous broadcasting）。

这篇论文介绍了一个名为 Pepper 的新系统，它旨在让人们能够匿名发送大量数据（如文件或视频），即使是一个监视着每一根网络电缆的强大全球间谍也无法追踪。

以下是通过简单的类比对 Pepper 工作原理的解释：

1. 旧系统的缺陷

以往的系统就像是一座单车道的桥梁。

一次只能过一辆车： 你一次只能发送一条微小的消息。如果你想发送一整本书，你必须把它拆分成数百万个微小的碎片，然后一个接一个地通过这座桥。这极其缓慢。
“拨号”问题： 为了登上桥面，你需要一个单独的、神秘的“拨号服务”来给你发票。旧系统并没有解释如何获得这张票；它们只是假设你已经拥有了。
交通拥堵： 因为每个人都必须轮流等待，所以系统处理大数据传输时非常缓慢。

2. Pepper 的解决方案：一条多车道高速公路

Pepper 就像是一条宽阔的多车道高速公路，你可以同时发送一整支车队（消息）。

创新点 #1：自包含的售票亭（注册）

在过去，你必须去一个单独的、未说明用途的办公室去领票。

Pepper 的方法： 高速公路自带一个售票亭。你走上前，匿名提交你的请求，系统会在不询问你的姓名或查看你容貌的情况下验证你的票据是否有效。
神奇之处： 它使用了一种被称为“可验证分布式点函数（Verifiable Distributed Point Function）”的密码学技巧。你可以把它想象成一个神奇的信封。你把请求放入其中。两名守卫（服务器）共同打开这个信封。他们可以验证信封是真实且密封正确的，但他们无法看到信封内部的内容，也无法知道是谁放进去的。如果信封是假的，他们就会将其丢弃；如果它是真的，他们就会盖章并让你通行。

创新点 #2：车队系统（批量消息）

这是 Pepper 最强大的超能力。

旧方式： 如果你想发送 8 条消息，你必须进行 8 次单独的过桥行程。每次行程都需要进行一次安全检查（审计）。
Pepper 的方式： 你将所有 8 条消息装进一辆卡车。你只需行驶一次穿过桥梁。守卫只对这辆卡车进行一次检查。
结果： 与其支付 8 次安全费用，你只需支付一次。这使得在发送大量数据时，Pepper 比现有的最佳系统快 13 到 20 倍。

创新点 #3：“幽灵”司机（掩护流量）

为了隐藏真实的发送者，Pepper 需要“掩护流量”——即那些发送虚假消息以混入人群的人。

问题： 在旧系统中，只有拥有特殊密钥的人才能发送消息。如果你没有密钥，你就无法协助隐藏发送者。
Pepper 的解决方案： Pepper 创建了**“幻影通道（Phantom Channels）”**。这些是高速公路上没有人实际用于传输真实数据的虚假车道。任何人都可以驾驶一辆虚拟车辆进入这些车道。
益处： 这使得普通用户（例如仅仅是在浏览社交网络的人）可以自然地产生掩护流量，而无需特殊的密钥。真实的发送者就隐藏在这些“幽灵司机”的群体之中。

3. 它是如何保护你的安全

两名守卫： Pepper 使用两台协同工作的服务器（守卫）。只要其中一名守卫是诚实的，你的身份就是安全的。即使另一名守卫是间谍，他们也无法查出是谁发送了消息。
“全球间谍”无法破解： 该系统建立在目前无法解决的数学难题之上（例如分解巨大的数字）。即使全球间谍监视了每一个数据包，他们猜中谁发送了消息的概率也仅相当于抛硬币。

4. 现实世界的性能表现

作者构建了一个可运行的 Pepper 版本并进行了测试：

速度： 它可以在几毫秒内完成新用户的注册。
规模： 即使面对数千个通道，它也能高效运行。
对比： 在发送大型文件时，Pepper 比当前最先进的系统（如 Spectrum 或 Express）快 1.2 到 20 倍。
兼容性： 它被设计为可以与现有的网络（如 Tor 匿名网络和 Mastodon 去中心化社交网络）协同工作。想象一下，你最喜欢的社交应用内置了一个使用 Pepper 的“匿名模式”，让你在发布敏感信息时无需担心被追踪。

总结

Pepper 是一个高速、匿名的邮件系统。它解决了“如何在不暴露身份的情况下发送超大文件？”的问题。它通过让你在单次行程中发送整个消息车队、利用内置的无需额外办公室的票据系统，以及将你的真实消息融入“幽灵司机”的群体中来隐藏行踪。与以往任何系统相比，它更快、更高效，也更容易部署。

技术摘要：Pepper

问题陈述

匿名广播协议（ABPs）对于匿名性敏感的应用（如告密和抗审查发布）至关重要，然而实现高带宽部署仍面临持久的挑战。虽然像 Tor 这样的传统系统提供了低延迟路由，但它们仍然容易受到全局流量相关性攻击。基于迪菲-赫尔曼网络（DC-nets）和混合网络（mix-nets）的具有加密保证的替代方案提供了更强的匿名性，但却面临关键限制：

外部依赖： 尖端系统如 Spectrum 和 Express 依赖于未说明的外部“拨号”或注册服务来进行信道分配，这导致端到端协议规范存在空白。
吞吐量瓶颈： 现有的 DC-net 变体通常限制广播者每轮（epoch）只能发送一条消息，这使得大规模数据传输（例如，广播一个 1GB 的文件需要超过 13 小时）变得不切实际。
复杂的审计： 鲁棒的访问控制和审计机制往往会带来沉重的计算开销，或者需要不切实际的信任假设（例如，服务器的诚实多数派）。
缺乏集成： 先前的研究尚未充分探索与现有去中心化基础设施（如 Tor 或联邦式社交网络）的兼容性，而这些基础设施可以提供天然的掩护流量和服务器资源。

方法论

Pepper 通过一种基于双服务器 DC-net 架构的新颖集成设计解决了这些限制。该系统在两个连续的子协议下运行：注册（Registration）和消息传递（Messaging），利用先进的密码学原语来确保发送者匿名性和高效吞吐量。

1. 自包含的匿名注册

与之前的系统不同，Pepper 指定了一个完整的注册子协议，消除了对外部拨号服务的需求。

机制： 广播者使用**可验证分布式点函数（VDPFs）**来匿名获取消息信道。
流程： 广播者构建一个包含其公钥、起始信道 ID 和请求带宽的注册消息。该消息在两个聚合服务器之间进行秘密共享。
验证： 服务器通过使用 VDPF 验证令牌进行联合审计，以确保份额是格式良好的，并且对应于一个有效的请求，同时不会获知目标信道或广播者的身份。成功的注册将公钥绑定到公共公告板上的特定信道范围。

2. 带高效审计的批量消息传递

Pepper 引入了对批量消息传递的支持，允许单个广播者在单个轮次中向不同的信道发送多达 $t$ 条消息。

机制： 系统利用**分布式多点函数（DMPFs）**及其可验证变体（VDMPFs）。这使 DPFs 从单个非零点推广到多个非零点，从而允许单个密钥对编码多条消息。
访问控制： 为了强制执行只有信道所有者才能写入，Pepper 集成了基于秘密共享的 Schnorr 证明（SPoSS）。这使得服务器可以在不重构消息的情况下，验证客户端是否拥有与已注册信道相对应的私钥。
掩护流量： 系统引入了“幻影信道（Phantom Channels）”——具有通用已知私钥（例如 $g^1, g^2$ ）的特殊信道——允许掩护流量客户端在无需注册身份的情况下生成有效的伪造写入。
审计效率： 至关重要的是，Pepper 的审计机制可以在单次操作中验证整个批次的 $t$ 条消息。无论批次大小如何，它仅交换一对审计令牌，从而显著摊销了验证开销，这与需要 $t$ 次单独验证的系统相比具有明显优势。

3. 系统架构与兼容性

Pepper 旨在与现有的去中心化网络协同部署：

聚合服务器： 系统使用由两个服务器组成的队列（cohorts）。这些服务器可以作为 Tor 中继或 Mastodon 实例共同部署。
目录服务： 目录服务维护着活跃服务器对的注册表，允许客户端动态选择队列。
容错性： 系统假设“任意信任（any-trust）”模型（每个队列中至少有一个诚实服务器），并通过增加更多服务器对来支持水平扩展。

核心贡献

集成式匿名注册： 设计了一个使用 VDPFs 的完整、自包含的注册子协议，消除了 Spectrum 和 Express 对外部拨号系统的依赖。
高吞吐量批量消息传递： 构建了一种结合 VDMPF 与 SPoSS 的轻量级访问控制机制。这实现了对批量写入（高达 $t$ 条消息）的高效验证，仅需一次证明交换，显著提高了有效吞吐量。
实现与评估： 提供了一个开源实现（约 8,000 行 Go 代码，约 2,900 行 C/C++ 代码），展示了毫秒级的注册审计以及支持数千个信道的可扩展性能。
实际部署路径： 展示了与现有基础设施的兼容性，说明了 Pepper 如何利用 Tor 进行掩护流量和服务器资源，并与联邦式社交网络集成。

结果

作者针对通信成本、审计时间、吞吐量和延迟，将 Pepper 与最先进的基准（Spectrum、Express 和 PACLs）进行了对比评估。

审计延迟： 即使对于 16,000 个信道，注册审计也能在毫秒内完成。对于消息传递，Pepper 的批量审计扩展性良好，在处理 5KB 消息且批次大小 $t=8$ 时，其单次请求审计时间优于 Spectrum（快 10.8 倍至 12.4 倍）和 PACLs（快 2.3 倍至 3.6 倍）。
有效吞吐量： 虽然由于批量处理带来的单次请求计算量较高，导致单次请求吞吐量低于 Spectrum，但其有效消息速率显著更高。对于 $t=8$ ，Pepper 在各种信道数量下的交付速率比 PACLs 高出 1.2 倍至 5.0 倍，比 Spectrum 高出 13.6 倍至 20 倍。
端到端延迟： 在文件传输测试（100KB 至 100MB）中，Pepper 始终保持最低延迟。对于 100MB 的文件，Pepper 用时约 10.2 小时，相比之下，PACLs 用时约 16.7 小时，而 Spectrum 的估计用时约为 274 小时。
通信开销： Pepper 保持了具有竞争力的通信成本。虽然为了支持批量处理，VDMPF 密钥比标准 DPFs 略大，但减少服务器间审计令牌交换（每个批次一次 vs. $t$ 次）的开销抵消了这一成本。

重要性

论文声称，Pepper 代表了迈向实用化高带宽匿名广播的重要一步。通过消除外部依赖、支持高效的批量消息传递，并与 Tor 和 Mastodon 等现有去中心化网络无缝集成，Pepper 解决了阻碍以往 DC-net 系统的吞吐量和可扩展性瓶颈。该系统证明了可以在不要求不切实际的信任假设或牺牲匿名保证的前提下，实现适用于现实应用（如匿名文件共享和媒体分发）的性能指标的加密发送者匿名性。