技术摘要：OmniSphinx：主动混合网络

问题陈述

混合网络（Mix networks）是匿名通信的关键工具，用于保护消息内容及元数据（例如发送者-接收者关系）。然而，现有的混合网络存在僵化问题：它们依赖于特定的、固定的数据包格式（如 Sphinx、PolySphinx、EROR）。这些格式互不兼容，需要分别部署软件和基础设施。这种碎片化迫使运营商必须在单一格式之间做出选择，从而限制了用户功能（例如组播流量），并阻碍了网络在无需协调基础设施更新的情况下适应未来新格式的能力。

虽然“主动网络”（Active networking）的概念——即节点执行嵌入在数据包中的代码以增加灵活性——已被提出，但由于性能惩罚和缺乏具有说服力的用例，这类概念在历史上一直未被接受。作者认为，混合网络本身由于加密和洗牌操作已经产生了显著的延迟，这使得主动处理带来的开销在换取能够在单一部署中模拟多种多样化格式的能力时，是一个可以接受的用途。

方法论

作者提出了 OmniSphinx，一种新型的主动混合格式，它将主动网络的设计理念集成到了成熟的 Sphinx 协议中。

核心设计

OmniSphinx 将数据包结构化为报头（Header）和载荷（Payload）。与传统格式中数据包处理逻辑硬编码在协议中不同，OmniSphinx 将每个节点的**混合程序（Mix Program）**直接嵌入到数据包的报头中。

• 指令集： 该系统使用一种定制的、基于寄存器的指令集，专门针对现有混合格式所需的运算（如密钥派生、加解密、MAC 验证、填充和转发）进行了优化。该指令集在灵活性与开销之间取得了平衡，避免了低级机器码的低效，同时比高层抽象更具适应性。
• 数据包处理： 混合节点在接收到数据包后执行三个阶段：
  1. 预处理： 通过 Diffing-Hellman 派生共享密钥，并解开 Onion 加密以揭示当前跳数（Hop）的混合程序。
  2. 程序执行： 节点执行嵌入的指令。该程序可以访问报头、载荷和共享密钥。一个专门的 Forward 指令负责将处理后的数据包入队。
  3. 后处理： 节点通过确定性填充确保输出数据包符合尺寸要求。

安全与隐私分析

作者解决了三个主要挑战：灵活性、隐私和性能。

• 隐私保证： 论文指出，对于任意混合程序，由于节点行为不再是固定的，标准的隐私证明（层不可链接性 Layer Unlinkability 和尾部不可区分性 Tail Indistinguishability）并不自动成立。为了解决这个问题，作者：
  1. 证明了在使用简单的 Forward 指令时，基于 Gap Diffie-Hellman (GDH) 假设，OmniSphinx 满足适配版本的指令层不可链接性 (ILU) 和指令尾部不可区分性 (ITI)。
  2. 将**信息流分析（Information Flow Analysis）**引入匿名通信领域。该方法将数据分类为“良性”或“恶意”，并通过指令图追踪依赖关系。如果一个混合程序中没有恶意信息（例如共享密钥或之前的包数据）流入 Forward 指令，则该程序被视为安全。
• 节点安全： 指令集受到限制，以防止恶意用户窃取密钥、控制节点（例如参与僵尸网络）或造成拒绝服务攻击。执行时间和内存都是受限的，且指令集缺乏任意的网络访问权限。

核心贡献

1. OmniSphinx 协议： 一种新的混合格式，允许发送者嵌入自定义处理逻辑，从而使单个网络实例能够模拟多种现有及未来的混合格式。
2. 指令集架构： 一个定义的指令集，能够高效地模拟相关的混合格式（特别是在 Sphinx 和 PolySphinx 的模拟方面展示了能力）。
3. 信息流分析： 应用信息流分析来验证任意混合程序的隐私性，确保动态处理不会泄露元数据。
4. 实证评估： 与原生格式相比，对带宽和计算开销进行的全面基准测试。

结果

作者使用 Java 实现了 OmniSphinx，并将其性能与原生 Sphinx、AE-Sphinx、EROR、MultiSphinx 和 PolySphinx 进行了对比评估。

• 带宽开销：
  • 模拟 Sphinx（最紧凑的格式）会使报头大小增加 33%（从 205 B 增加到 273 B）。
  • 模拟其他格式会产生更高的相对开销（例如，AE-Sphinx 为 +127%，MultiSphinx 为 +139%），这主要是因为 OmniSphinx 必须在报头中包含混合程序和额外的 MAC，而原生格式通常复用 MAC 进行载荷完整性校验。
  • 在最坏情况下（使用 2 KiB 载荷模拟所有格式），数据包大小增加约 61%。
• 计算开销：
  • 数据包创建： 性能与原生 Sphinx 相同（~1.12 ms），因为两者均由原生 Java 实现处理。
  • 数据包处理： 与原生 Sphinx 相比，OmniSphinx 的处理速度慢了约 90 µs（中间节点分别为 283 µs 和 198 µs）。
  • 指令成本： 简单的字节移动指令耗时约 1.5 µs。密码学操作（MAC、哈希、加解密）耗时增加 2 到 3 倍，而公钥操作（指数运算）是最慢的（约 153 µs）。
• 模拟能力： 作者成功演示了 OmniSphinx 可以利用定义的指令集模拟 Sphinx 和 PolySphinx 的全部功能（包括复制和组通信）。

意义与主张

论文声称 OmniSphinx 证明了主动网络在混合网络特定约束下的可行性。虽然模拟引入了可衡量的带宽和计算开销，但作者认为，对于典型的通信用例（如电子邮件通信），由于网络延迟和现有的加密成本已经占据主导地位，这些成本是合理的。

其主要意义在于从僵化的、单一格式的部署转向了灵活、统一的基础设施。这使得以下目标成为可能：

• 更好的资源利用： 单个混合网络实例可以服务于具有多样化需求（例如标准单播 vs 组播）的客户端，而无需建立独立的网络。
• 增强匿名集： 用户可以从更广泛、更多样化的节点和运营商集合中进行选择，以满足其特定的格式需求。
• 面向未来： 新的混合格式可以通过指令集或客户端软件的更新来实现和部署，而无需对所有运营商进行协调的基础设施变更。

作者总结道，虽然 OmniSphink 由于开销问题并非原生格式的直接替代品，但对于寻求匿名通信系统灵活性和扩展性的运营商和用户来说，它提供了一个极具吸引力的权衡方案。