畢業(yè)論文外文翻譯一：中文譯文社交網(wǎng)絡(luò)阻礙審查的研究作者YairSovran,AlanaLibonati,JinyangLiNewYorkUniversity摘要許多國家利用對互聯(lián)網(wǎng)基礎(chǔ)設(shè)施的控制阻止訪問"灰色"的材料。一種常見方式就是要通過暢通中繼經(jīng)營代理服務(wù)器。本文討論了任何基于代理的規(guī)避所面臨的挑戰(zhàn)系統(tǒng)和傳播成功的系統(tǒng)代理服務(wù)器的地址，以合法用戶同時屏蔽檢查員人冒充用戶，可以從地址了解和阻止自己的代理服務(wù)器。我們建議的萬花筒，分發(fā)代理地址的規(guī)避系統(tǒng)通過其鏈接對應(yīng)于現(xiàn)有的社會網(wǎng)絡(luò)現(xiàn)實世界。萬花筒確保每個節(jié)點學(xué)會只有一個小的一致的子集代理。因為檢查員不太可能顛覆大社交圖的分數(shù)，他不能了解這樣大量的代理服務(wù)器。1簡介互聯(lián)網(wǎng)最初被為了確保穩(wěn)健在通訊攻擊基礎(chǔ)上架構(gòu)本身。一個受歡迎的報價說互聯(lián)網(wǎng)將視為故障及路線的審查制度圍繞著它。相反，互聯(lián)網(wǎng)審查制度是流行今天。實證研究揭示，數(shù)以百萬計的用戶在世界許多地區(qū)患有互聯(lián)網(wǎng)審查制度[4]和新聞報告了堵塞的各種從Flickr[6][27]，YouTube等網(wǎng)站的[6]維基百科或甚至Google[2]。審查并不只是一個技術(shù)問題。雖然審查人員經(jīng)常聘請技術(shù)方法，訪問許多類型的截尾材料被無法通過非技術(shù)性的方法，如拘留，威脅失去了工作，等等。了解全部范圍的方法（技術(shù)和非技術(shù)性）可用檢查員服務(wù)概述的任何技術(shù)可能的范圍審查制度問題的解決辦法，并通知這一系統(tǒng)的設(shè)計。圖1提供一種粗糙分類的方法審查制度。截尾材料繪制的根據(jù)用于防止訪問材料技術(shù)。X軸對應(yīng)于技術(shù)的程度手段（阻塞，數(shù)據(jù)包檢測，IP地址等）；y軸對應(yīng)于非技術(shù)性的方法(監(jiān)獄服刑，暴力的威脅)。材料可以大致分為四個象限。右上方，強制執(zhí)行檢查是通過這兩種技術(shù)手段，以及不同程度的真實世界的懲罰。例如，在最近的政治抗議活動期間，緬甸政府去了極端的這兩種技術(shù)和非技術(shù)性的審查制度。政府暫時打亂了整個國家的外部互聯(lián)網(wǎng)連接也被拘留那些人和那些張貼截尾材料使用外部代理被封鎖的網(wǎng)站[5]。在左上角，謊言的情況審查制度是只執(zhí)行通過非技術(shù)方法。例如，美國政府不會阻止訪問海外兒童色情制品網(wǎng)站，但不會起訴用于查看他們的個人根據(jù)章程，使其擁有這種非法材料有趣的是，有大量的內(nèi)容通過純粹的技術(shù)手段阻止的存在是用于訪問沒有關(guān)聯(lián)的真實世界懲罰（雖然這樣懲罰還是存在的出版商），這些都底部右下象限的內(nèi)容在圖1中。即使看起來似乎很奇怪，如他們是常見的"灰色"材料首先存在，在地方政府保持緊密的國家新聞媒體的控制。例如，最近披露內(nèi)部文章表明，中國政府阻止通過之前的許多新聞文章作為官方和它還需要阻止的網(wǎng)站產(chǎn)生了太多的評論意見的公告板職位[8]。此外，因為技術(shù)審查機制永遠不精確，許多被阻止的內(nèi)容只是源于附帶損害的阻塞個案中的谷歌[2]、[27]YouTube和Flickr[6]。另一個中國防火墻的最新研究還發(fā)現(xiàn)很多被禁的關(guān)鍵字都相當(dāng)無害等"學(xué)生聯(lián)盟"、"國際地質(zhì)社會"[14]。圖1還演示了都有兩個不同要在擊敗審查機構(gòu)處理的問題：訪問和匿名。鑒于非常真實的罰則面臨的危險任何系統(tǒng)的設(shè)計，在上面的兩個操作的用戶圖1（那些受非技術(shù)性的quadrants手段）必須保證匿名的讀者。任何系統(tǒng)設(shè)計運行在兩個象限必須的權(quán)利提供訪問tomaterial，盡管技術(shù)障礙（材料右上象限中需要同時訪問盡管塊和匿名用戶）。我們將著重在灰色材料的問題圖1的右下象限。以建筑系統(tǒng)提供訪問灰色的材料可以避免很多旨在提供訪問系統(tǒng)的并發(fā)癥嚴格審查材料在前兩象限：因為是用于查看或幫助別人沒有真實世界的懲罰查看這些灰色的材料，規(guī)避系統(tǒng)可以安全地運行在用戶的桌面繼電器流量。在系統(tǒng)我們考慮不會解決要兩種象限中，匿名保證系統(tǒng)已建成(Tor，例如），并提供可能的解決方案的材料在左上象限中。不提供像Tor系統(tǒng)右上象限的我們圖；解結(jié)合像Tor匿名系統(tǒng)攔截規(guī)避系統(tǒng)可能的解決方案問題空間的一部分。這種結(jié)合是留給未來的工作。2挑戰(zhàn)有三種主要方法，當(dāng)前使用的審查機構(gòu)阻止對灰色材料[4]直接訪問：DNS中毒、阻止的IP地址以及選擇性重置[13]的TCP連接。這些技術(shù)利用這一事實檢查員通?？刂苹A(chǔ)通信基礎(chǔ)設(shè)施，使他能夠在檢查數(shù)據(jù)包內(nèi)截尾的域名；這些數(shù)據(jù)包可以如果這些問題的處理到被禁止的目標被丟棄（阻止IP地址）或查閱被禁止的關(guān)鍵字(TCP重置，DNS下毒)。雖然直接通信被阻止，但用戶可以通過暢通代理服務(wù)器位于外禁止訪問網(wǎng)站檢查員的河段（例如一個不同的國家）。這是最常用的方法，以規(guī)避關(guān)于材料的灰色塊和一個我們將集中力量在此文件中。要使用代理服務(wù)器，必須一些護理采取：避免基于內(nèi)容的阻塞連接到代理服務(wù)器必須加密；使用DNS服務(wù)器可以避免的問題DNS下毒。最后，和最困難的挑戰(zhàn)防止檢查員只需添加的代理被阻止的站點的列表中的地址。此外，檢查員還可能構(gòu)成合法代理學(xué)習(xí)，有關(guān)客戶端想要訪問被禁止的網(wǎng)站，并有可能阻止這些客戶端也。這是主這項工作提出的挑戰(zhàn)：我們?nèi)绾文芎戏ù矸?wù)器和用戶了解對方，但不是檢查員，甚至當(dāng)檢查員是能夠作為構(gòu)成合法用戶或代理服務(wù)器?，F(xiàn)有系統(tǒng)已經(jīng)證明易受這種攻擊。很多的代理服務(wù)使用一個集中的網(wǎng)站為幫助用戶了解代理地址；檢查員只是，可以阻止這種集中式的發(fā)現(xiàn)服務(wù)。不和SafeWeb[9]系統(tǒng)已被禁用在中國這種方式。此外，如果系統(tǒng)顯示胡亂給任何代理服務(wù)器地址太多請他們的用戶，檢查員可以加入系統(tǒng)要了解所有代理和隨后阻止它們。例如，維基百科已發(fā)現(xiàn)并阻止所有700+Tor匿名化，防止Tor用戶中繼服務(wù)器從匿名污損的維基百科頁面[15]。"檢查員還可能構(gòu)成合法代理服務(wù)毫無戒心，為了跟蹤或可能阻止它們的用戶。核戰(zhàn)中網(wǎng)絡(luò)的最近一項研究表明，由幾個節(jié)點在懷疑跟蹤幾乎所有用戶勾結(jié)RIAA[10]。作為這些事件顯示，檢查員可以有效地中斷的服務(wù)阻止任何集中用于軟件的組件分布、資源發(fā)現(xiàn)等。即使系統(tǒng)是充分分散，檢查員可能會阻止所有代理這些用戶尋求代理服務(wù)，如果他可以可靠地或找出關(guān)于他們的地址。這些攻擊的任何設(shè)計提供指引系統(tǒng)對抗堵塞的灰色材料使用代理服務(wù)器。系統(tǒng)必須充分分散；如果系統(tǒng)取決于任何單一的、公開已知的主機，檢查員將阻止主機和系統(tǒng)會被禁用。一種分布式的系統(tǒng)中必須登記服務(wù)很多代理和也的分區(qū)知識參與節(jié)點間的代理：如果任何節(jié)點可以了解每個代理的身份，檢查員可以作為嗯，將阻止所有這些。此外，每個代理服務(wù)器應(yīng)獲準只直接服務(wù)于一小部分用戶：如果任何代理服務(wù)器允許直接服務(wù)于所有用戶，檢查員可以都構(gòu)成合法代理，了解所有用戶和可能阻止它們。最后，系統(tǒng)不能期待能夠提供的服務(wù)當(dāng)受到攻擊的所有用戶：檢查員將無可避免地加入系統(tǒng)和阻止一些代理、中斷系統(tǒng)的合法用戶的一些子集。這些中斷用戶必須，不幸的是，不允許學(xué)習(xí)新的代理服務(wù)器的身份：如果他們被允許，檢查員也可以。重復(fù)此過程將允許檢查員阻止系統(tǒng)中的所有代理。最后，由于敵人控制基礎(chǔ)通信基礎(chǔ)設(shè)施，我們意識到這種嘗試沒有找到最有決心的檢查員的嘗試塊材料我們訪問是無果而終：檢查員可以始終部署"核選項"拔插頭對所有外部交通作為軍政府統(tǒng)治緬甸做了。A略有較小的方法可能刪除所有加密交通，難以避免內(nèi)容允許遠程站點的相反禁止站點。已確定的檢查員此外可以部署，挫敗的復(fù)雜的流量分析阻止：通過觀察所有已知參與節(jié)點的同時，他也許能夠?qū)W習(xí)的附加的身份通過與類似標識節(jié)點未知的節(jié)點交通模式。雖然我們不能指望打敗作為功能強大的對手我們在這里，想象這會強制實施檢查員的系統(tǒng)日趨昂貴的措施是仍然有用。如果檢查員被迫實施影響的策略合法的通信量（加密阻塞交通也會影響在線商務(wù)，例如)或進行越來越多復(fù)雜的分析方案，檢查員有可能法官在阻止這些增益灰色材料沒有理由所需的費用（費用，我們系統(tǒng)會增加）。3萬花筒設(shè)計上一節(jié)所述的挑戰(zhàn)和基本基于代理的規(guī)避系統(tǒng)的要求。本節(jié)說明如何我們擬議的系統(tǒng)的萬花筒解決這些挑戰(zhàn)。萬花筒允許用戶通過中繼交通訪問被封鎖的網(wǎng)站，和志愿者居住的截尾以外的代理服務(wù)器。為防止檢查員學(xué)習(xí)的所有地址用戶或代理服務(wù)器，萬花筒分發(fā)小隨機代理身份向參與者的子集。如果檢查員僅能學(xué)代理服務(wù)器的一小的部分來加入該系統(tǒng)，最合法用戶仍有一些代理服務(wù)器。不知道檢查員并不能保證萬花筒為所有用戶訪問：一些用戶會發(fā)現(xiàn)，所有的其代理服務(wù)器已被阻止，和將不能夠獲得訪問權(quán)限。這種設(shè)計要求檢查員可以不加入網(wǎng)絡(luò)的任意大次數(shù)和收集大量的隨機的子集，最終發(fā)現(xiàn)所有代理。為防止這種攻擊，我們可以利用用戶之間的信任關(guān)系的：只有節(jié)點分發(fā)代理的節(jié)點有關(guān)的信息人們所擁有的節(jié)點擁有信任的理由（由于的原有的現(xiàn)實世界中的社會關(guān)系）。由等同于該代理的用戶的社交網(wǎng)絡(luò)分銷網(wǎng)絡(luò)，萬花筒規(guī)定檢查員顛覆獲得額外的真實世界的信任關(guān)系在系統(tǒng)上的了望點。如果社會網(wǎng)絡(luò)是有效地限制檢查員加入這個網(wǎng)絡(luò)，用戶必須建立的能力小心地信任的鏈接。我們設(shè)想的信任鏈接不是在今天的受歡迎社會上顯示相同社交網(wǎng)站。沒有裹足不前，贊同一般的熟人或?qū)@些網(wǎng)站甚至是陌生人。在中對比，有強烈抑制因素，選擇鏈接不小心在萬花筒:受資助的信任鏈接原因失去其已知的代理服務(wù)器，以自身暴露的節(jié)點躲避檢查員的眼睛。該系統(tǒng)可以勸阻偶然聯(lián)系的人為地限制的鏈接數(shù)用戶可以建立。我們還允許用戶拒絕請求創(chuàng)建一個鏈接而不報警請求者這樣那同伴的壓力不會導(dǎo)致出言鏈接。最簡單的方法，利用信托圖的是允許學(xué)習(xí)只地址的節(jié)點及其近鄰。這一戰(zhàn)略會招致風(fēng)險最?。菏褂靡粋€受資助的信任鏈接，可以發(fā)現(xiàn)敵人在大多數(shù)的一個代理服務(wù)器。不幸的是，該計劃限制了每個代理服務(wù)只有幾個受信任的鄰居和葉子許多用戶無需任何代理服務(wù)器訪問：大多數(shù)用戶做他們立即的鄰居沒有任何代理服務(wù)器如用戶的鄰居都更偏愛那些在同一[22]的地理區(qū)域。有兩種基本的技術(shù)，以增加的可能性節(jié)點的達成一個代理。第一種方法要允許請求路由到代理服務(wù)器的節(jié)點上多通過詢問節(jié)點在底層的信任圖躍繼電器的請求。這允許沒有代理服務(wù)器中的節(jié)點要獲得服務(wù)及其左鄰右舍。然而，由于對等節(jié)點不是高度可用的是一個節(jié)點不可能有任何工作的多跳路由到代理服務(wù)器?；蛘呶覀兛梢詡魉陀嘘P(guān)代理服務(wù)器的信息（而不是請求）；信任網(wǎng)絡(luò)上的地址節(jié)點然后可以直接聯(lián)系他們學(xué)習(xí)的代理服務(wù)器。這種方法以來檢查員招致額外的風(fēng)險此外可以加入作為代理網(wǎng)絡(luò)和學(xué)習(xí)客戶端地址：如果每個代理服務(wù)器允許做廣告本身來2000用戶，敵人也能發(fā)現(xiàn)2000他們傳出訪問用戶和塊。因此即使如果敵人只管理顛覆一小部分信任的聯(lián)系，他可能會大大增加他的知識由廣告向一個龐大的服務(wù)網(wǎng)絡(luò)的用戶的數(shù)量。萬花筒結(jié)合這兩種技術(shù)在節(jié)制：每個節(jié)點只公布其地址小數(shù)目（r)的其他節(jié)點超出其立即鄰域（使用下面所述的機制）。允許為更多用戶沒有直接提供服務(wù)的每個代理服務(wù)器學(xué)習(xí)他們的地址、萬花筒也轉(zhuǎn)發(fā)代理服務(wù)器通過最一個中間繼電器的通信量節(jié)點。一種廣告到節(jié)點的地址的方法r其他節(jié)點將使用隨機游走的長度r放在圖形上的信任。這種做法有幾個問題：第一，如果步行是真正是隨機的作為廣告是一套新的重復(fù)r節(jié)點將學(xué)習(xí)每次地址。我們可以通過使解決此問題步行隨機的但可重復(fù)：每個時間節(jié)點轉(zhuǎn)發(fā)它記住的下一躍點節(jié)點廣告和所有未來廣告用途相同的下一躍點節(jié)點從相同的原始發(fā)件人。這項計劃也有短到來：如果檢查員是能夠獲得一個鏈接在信任圖形中，他可以生產(chǎn)任意數(shù)量恒等式"后面"該鏈接。這些標識的每個可以打廣告本身來r作為代理服務(wù)器，允許節(jié)點檢查員學(xué)習(xí)大量的客戶端的身份這就是指數(shù)與節(jié)點r。為防止這種攻擊，我們使用隨機路線[32]，而不是隨機游動。A隨機路由轉(zhuǎn)發(fā)到預(yù)先設(shè)定的消息傳出鏈接基于傳入郵件的鏈接（而不是在可重復(fù)的郵件原始發(fā)件人的身份的隨機游動)。無論多少身份的檢查員將生成，他仍控制只有一個鏈接到圖形，并因此可以才會更接近最r其他節(jié)點。原來的隨機路由不對稱[32]；我們強制執(zhí)行對稱路由這樣的節(jié)點集，學(xué)習(xí)節(jié)點的節(jié)點，學(xué)的是相同的（和已大小r）。這是重要的因為一個節(jié)點可以做損害兩者都由被學(xué)習(xí)(冒充代理服務(wù)器）和學(xué)習(xí)（阻止代理服務(wù)器）。圖2；每個節(jié)點的廣告address-cookie沿著一個隨機的一對路線通過它的每個5啤酒花鄰居。一個中繼節(jié)點包含一個中繼標記來確定這一個中繼。N2是唯一的代理，箭頭的一端用一個圈表示一個原始(而不是轉(zhuǎn)發(fā))廣告。3.1協(xié)議操作圖2給出的示例繼電器和代理服務(wù)器廣告他們?nèi)f花筒中的地址。節(jié)點N2盡管所有其他節(jié)點都繼電器的代理。構(gòu)建對稱隨機路線，每個節(jié)點隨機對其鄰居彼此，以便它將轉(zhuǎn)發(fā)一條消息收到一個鄰居對中的另一個。圖2顯示的節(jié)點N3和N4的路由表。因為N3個數(shù)為奇數(shù)的鄰居，已對N1與本身，導(dǎo)致N3將路由所有收到的所有郵件從回發(fā)到自身的單身人士鄰居。底層的信任圖可能會慢慢地改變?yōu)樾掠脩艏尤胂到y(tǒng)和建立信任的時間鏈接。納入到信任圖的變化是一個簡單的現(xiàn)有路由表：如果N3建立了一個新的節(jié)點與信任的鏈接N7它可以對，任何單身人士鄰居（例如N1)與N7。同樣，如果N4刪除信任的鏈接N5它對、N6同自己。當(dāng)一個節(jié)點有多個單身人士的鄰居，它對他們一起創(chuàng)造新的路由條目。每個代理服務(wù)器源自通過每年的廣告其鄰國。廣告包括其當(dāng)前地址并將用于訪問cookie。發(fā)端人通過設(shè)置限制隨機路線長度少量生存時間字段（ttl=r)。我們選擇r==5作為系統(tǒng)廣泛參數(shù)。如果檢查員廣告與生存時間字段的消息設(shè)置為可更多比5，這些郵件將被刪除。每個中繼節(jié)點也源自包括其自己的廣告對地址cookie，并標記為中繼的標志節(jié)點。此標志允許客戶選擇直接連接到過接力的一個當(dāng)代理都可用。在圖2中，代理服務(wù)器N2的廣告如下路徑N2!!N3!!N4!!N1...中繼節(jié)點N3廣告它的地址cookie對三個隨機的路線通過N1N5N6。這些廣告，產(chǎn)生的N3N4N1能夠汲取的教訓(xùn)N2地址直接同時通信N6N5可以與通信代理服務(wù)器N2通過轉(zhuǎn)發(fā)通過加密的通信量N4.3.2分析本節(jié)考慮如何為幾個值系統(tǒng)參數(shù)會影響萬花筒：多少中繼代理服務(wù)器以允許躍、多少個節(jié)點應(yīng)該宣傳多少代理服務(wù)器所需的本身，和確保服務(wù)。隨機路線的長度（r)節(jié)點使用來宣傳他們的身份，反映了達成的權(quán)衡其他代理和提高檢查員的能力收集的信息。如果r太小，生成隨機路線也難逃截尾（鑒于地理相近的社會屬性圖表，尤其如此）。另一方面，隨機路線再允許相應(yīng)地發(fā)現(xiàn)檢查員更多的節(jié)點標識。如果檢查員可以加入通過萬花筒f顛覆信任鏈接，他就能學(xué)習(xí)的射頻用戶或代理服務(wù)器：萬花筒增加他是能夠通過發(fā)現(xiàn)的用戶的數(shù)量r。模擬透露r=5代表合理的權(quán)衡。我們有模擬萬花筒的性能使用，根據(jù)一百萬節(jié)點的一個綜合信任圖社交圖模型中[28]建議。平均水平合成圖中的節(jié)點程度是4..65和最大值是13。當(dāng)1.5%的節(jié)點作為代理、每個節(jié)點可以間接訪問代理服務(wù)器的中位數(shù)是3和多個90%的節(jié)點知道如何訪問至少一個代理。我們還使用過與已爬網(wǎng)之間的Orkut社會圖42474用戶。我們只啟用與合成圖，比較通過丟棄的鏈接使用Orkut鏈接的子集強制執(zhí)行的最大節(jié)點程度13。大約90%爬網(wǎng)用戶的駐留在巴西，我們將指定這些被截尾域內(nèi)的節(jié)點。當(dāng)15%外截尾的域行為作為代理服務(wù)器的節(jié)點的（代理服務(wù)器的分數(shù)是1.5%的所有節(jié)點）中,位數(shù)代理服務(wù)器可以訪問每個節(jié)點的編號（直接或間接)是7。此數(shù)字是比觀察到高在合成圖因為Orkut子圖程度較高的平均節(jié)點（5.59與4..65）和Orkut節(jié)點的鄰居都不大可能是鄰居自己。因此，每個隨機的路由在Orkut是可能會來拜訪更多不同的節(jié)點比綜合圖，導(dǎo)致學(xué)習(xí)更多的代理和繼電器的節(jié)點。即使受資助的信任鏈接的數(shù)量達到多達一半的代理服務(wù)器，總數(shù)超過94%用戶仍然可以訪問代理服務(wù)器不知道檢查員。4聯(lián)系工作現(xiàn)有匿名系統(tǒng)（例如[17、25]）和、抗審查發(fā)布系統(tǒng)（例如[12、29]不處理會試圖阻止訪問的敵手到系統(tǒng)。最近，Tor的開發(fā)者，使Tor的彈性，對這種攔截攻擊擬議的方法[16]。建議的解決方案采用了集中發(fā)現(xiàn)服務(wù)，傳播有限的一組繼電器要求使用多個策略的用戶的身份。另一種集中式的發(fā)現(xiàn)機制，密鑰空間跳頻[21]使用限制每個相同的見解發(fā)現(xiàn)一組有限的代理服務(wù)器的用戶。萬花筒的權(quán)力下放的辦法稱贊這兩因為兩個都需要用戶將他請求通過中繼服務(wù)一些引導(dǎo)代理服務(wù)器聯(lián)系被阻止的中央發(fā)現(xiàn)要了解更多的代理服務(wù)器。很多代理服務(wù)器建立就是為了被封鎖的網(wǎng)站到中繼通信例如控制[20][7]PsiphonCircumventor[3]。很多基于代理的規(guī)避系統(tǒng)依賴于手動傳播志愿者代理業(yè)主代理服務(wù)器的身份，她的朋友們。萬花筒的使用社會網(wǎng)絡(luò)鏡像這種手動傳播，但允許用戶可以發(fā)現(xiàn)更進一步的志愿者代理走在信任的圖形。用于信任的社會的鏈接也類似于SPKI/SDSI[19]和PGP認證[33]鏈。萬花筒，以免對使用信任網(wǎng)絡(luò)檢查員創(chuàng)建任意數(shù)量的身份；實質(zhì)上，這是獻給攻擊[18]。信譽系統(tǒng)[11、23、24、26、30、31]可能用來檢測審查機構(gòu)誰已經(jīng)滲透系統(tǒng)；然而，自代理揭示其到多個節(jié)點的地址，它是很難裝當(dāng)它被阻止的任何特定節(jié)點上指責(zé)。5結(jié)論萬花筒是一種對等系統(tǒng)，使用信任關(guān)系分發(fā)代理和中繼的用戶之間為了幫助用戶發(fā)現(xiàn)和轉(zhuǎn)發(fā)地址繞過通信的代理服務(wù)器的通信堵塞。通過控制節(jié)點數(shù)，學(xué)習(xí)每個節(jié)點的地址，可以防止萬花筒僅控制有限的數(shù)量。我們相信萬花筒是一個非常有前途的系統(tǒng)。確認我們感謝幫助我們改進設(shè)計的FrankDabek和paper.NikolaosMichalakis，EricHielscher和RobertGrimm還有助于設(shè)計。我們很感謝FransKaashoek，RobertMorris，DavidBindel和他們的熱心評論者。參考文獻：[1]Anonymizer./.[2]Bbcnews.chinacriticisedforbanongoogle.http://news.bbc.co.uk/1/hi/technology/2238236.stm.[3]CitizensLab.Everyone’sguidetobypassinginternetcensorship./Circ_guide.pdf.[4]OpenNetInitiative..[5]Opennetinitiative.pullingtheplug:Atechnicalreviewoftheinternetshutdowninburma./research/bulletins/013/.[6]PCworld.Chinablocksyoutube,restores?ickrandblogspot./article/id,138599-c,sites/article.html.[7]Psiphon..[8]Reporterssansborder.Journeytotheheartofinternetcensorship./article.php3?id_article=23924.[9]Safewebprivacyproxycensoredinchina.http://censorware.net/articles/01/03/14/0755209.shtml.[10]A.Banerjee,M.Faloutsos,andL.Bhuyan.Issomeonetrackingp2pusers?InIFIPNetworking,2007.[11]S.BucheggerandJ.-Y.L.Boudec.Arobustreputationsystemforp2pandmobilead-hocnetworks.InWorkshoponEconomicsofPeer-to-PeerSystems,Apr.2004.[12]I.Clarke,O.Sandberg,B.Wiley,andT.W.Hong.Freenet:Adistributedanonymousinformationstorageandretrievalsystem.InProceedingsofDesigningPrivacyEnhancingTechnologies:WorkshoponDesignIssuesinAnonymityandUnobservability,2000.[13]R.Clayton,S.Murdoch,andR.N.M.Watson.Ignoringthegreat?rewallofChina.In6thWorkshoponPrivacyEnhancingTechnologies,June2006.[14]J.Crandall,D.Zinn,M.Byrd,E.Barr,andR.East.Conceptdoppler:Aweathertrackerforinternetcensorship.In14thACMConferenceonComputerandCommunicationsSecurity,2007[15]R.Dingledine.Torandwikipedia./?arma/slides-wiki-tor.pdf.[16]R.DingledineandN.Mathewson.Designofablocking-resistantanonymitysystem./svn/trunk/doc/design-paper/blocking.pdf.[17]R.Dingledine,N.Mathewson,andP.Syverson.Tor:Thesecond-generationonionrouter.InProceedingsofthe13thUSENIXSecuritySymposium,Aug.2004.[18]J.Douceur.Thesybilattack.InIPTPS2002.[19]C.Ellison,B.Frantz,B.Lampson,R.Rivest,B.Thomas,andT.Ylonen.SPKIcerti?catetheory.RFC2693,NetworkWorkingGroup,1986.[20]N.Feamster,M.Balazinska,G.Harfst,H.Balakrishnan,andD.Karger.Infranet:Circumventingwebcensorshipandsurveillance.InProceedingsofthe11thUSENIXSecuritySymposium,2002.[21]N.Feamster,M.Balazinska,W.Wang,H.Balakrishnan,andD.Karger.Thwartingwebcensorshipwithuntrustedmessengerdiscovery.InPrivacyEnhancingTechnologiesWorkshop,Mar.2003.[22]D.Liben-Nowell.AnAlgorithmicApproachtoSocialNetworks.PhDthesis,MassachusettsInstituteofTechnology,June2005.[23]S.Marti,P.Ganesan,andH.Garcia-Molina.DHTroutingusingsociallinks.In3rdWorkshoponPeer-to-PeerSystems(IPTPS2004).[24]B.C.Popescu,B.Crispo,andA.S.Tanenbaum.Safeandprivatedatasharingwithturtle:Friendsteam-upandbeatthesystem.InProc.12thCambridgeInternationalWorkshoponSecurityProtocols,2004.[25]M.K.ReiterandA.D.Rubin.Crowds:Anonymityforwebtransactions.ACMTransactionsonInformationandSystemSecurity,1998.[26]M.T.S.SepandarD.KamvarandH.Garcia-Molina.Theeigentrustalgorithmforreputationmanagementinp2pnetworks.InProceedingsoftheWorldWorldWebConferences(WWW),2003.[27]N.Y.Times.Thailandbansyoutube./2007/04/05/business/worldbusiness/05tube.html.[28]R.Toivonen,J.-P.Onnela,J.Saram¨aki,J.Hyv¨onen,andK.Kaski.Amodelforsocialnetworks.PhysicaAStatisticalMechanicsanditsApplications,371:851?860,2006.[29]M.Waldman,A.Rubin,andL.Cranor.Publius:Arobust,tamper-evident,censorship-resistantandsource-anonymouswebpublishingsystem.InProceedingsofthe9thUSENIXSecuritySymposium,Aug.2000.二：外文資料原文Passiton:SocialNetworksStymieCensorsYairSovran,AlanaLibonati,JinyangLiNewYorkUniversityAbstractManycountriesexploitcontrolovertheInternetinfrastructuretoblockaccessto“grey”materials.Onecommonwaytoaccessblockedcontentsistorelaytraf?cviaanunblockedproxyoperatingoutsidethecensoreddomain.Thispaperdis-cussesthechallengesfacinganyproxy-basedcircumventionsystemandarguesthatasuccessfulsystemshoulddissem-inateproxies?addressestolegitimateuserswhileshieldingtheaddressesfromthecensorwho,posingasauser,couldlearnofandblocktheproxiesthemselves.WeproposeKaleidoscope,acircumventionsystemthatdisseminatesproxyad-dressesoverasocialnetworkwhoselinkscorrespondtoexist-ingrealworldsocialrelationshipsamongusers.Kaleidoscopeensureseachnodelearnsonlyasmall,consistentsubsetoftheproxies.Becausethecensorisunlikelytosubvertalargefractionofthesocialgraph,heisnotabletolearnof,andthusblock,alargenumberofproxies.1IntroductionTheInternetwasoriginallydesignedtoensurerobustcommunicationinthefaceofattacksonthecommunicationinfrastructureitself.Apopularquotesays?theInternettreatscensorshipasamalfunctionandroutesaroundit?.Onthecontrary,Internetcensorshipisprevalenttoday.EmpiricalstudiesrevealthatmillionsofusersinmanypartsoftheworldsufferfromInternetcensor-ship[4]andnewshavereportedtheblockageofavarietyofwebsitesrangingfromYouTube[27],Flickr[6],Wikipedia[6]orevenGoogle[2].Censorshipisnotsimplyatechnicalproblem.Al-thoughcensorsoftenemploytechnicalmethods,accesstomanytypesofcensoredmaterialispreventedvianon-technicalmethodssuchasthethreatofdetention,jobloss,etc.Understandingthefullrangeofmethods(bothtechnicalandnon-technical)availabletothecensorservestooutlinethepotentialscopeofanytechnicalsolutiontotheproblemofcensorshipandinformsthedesignofsuchasystem.Figure1givesaroughclassi?cationofapproachestocensorship.Censoredmaterialsareplottedaccordingtothetechniquesusedtopreventaccesstothematerials.Thex-axiscorrespondstothedegreeoftechnicalmeansemployed(IPaddressblocking,packetinspection,etc.);they-axiscorrespondstonon-technicalapproaches(threatofjailterms,violence).ThematerialscanberoughlygroupedintofourquadrantsAtthetopright,censorshipisenforcedviabothtechnicalmeansaswellasvariousdegreesofrealworldpunishments.Forexample,duringrecentpoliticalprotests,theBurmesegovernmentwenttoextremesofbothtechnicalandnon-technicalcensorship.Thegovernmenttemporarilydisruptedtheentirecountry?sexternalInternetconnectivityandalsodetainedthosepeoplewhousedoutsideproxiestopostcensoredmaterialsonotherwiseblockedwebsites[5].Atthetopleftliesituationswherecensorshipisonlyenforcedvianon-technicalmethods.Forexample,theUSgovernmentdoesnotblockaccesstooverseaschildpornographysitesbutdoesprosecuteindividualsforviewingthemunderstatutesthatmakepossessingsuchmaterialillegal.Interestingly,thereisalargeamountofcontentblockedviapurelytechnicalmeansforwhichthereisnoassociatedrealworldpunishmentsforaccessing(althoughsuchpunishmentsstillexistforpublishers).Thesearecontentsthatlietothebottomrightquad-rantinFigure1.Eventhoughitseemsoddthatsuch?grey?materialsexistinthefirstplace,theyarecommonincountrieswherethegovernmentmaintainstightcontrolofthenewsmedia.Forexample,arecentlydisclosedinternalarticlehasshownthattheChinesegovernmentblocksmanynewsarticlesbeforetheyareapprovedasof?cialanditalsorequireswebsitestoblockbulletinboardpoststhathavegeneratedtoomanycomments[8].Furthermore,becausetechnicalcensorshipisneverprecise,manyblockedcontentsaresimplytheresultofcollateraldamageasinthecaseoftheblockingofGoogle[2],YouTube[27],andFlickr[6].An-otherrecentstudyoftheChinese?rewallhasalsofoundthatmanybannedkeywordsarequiteinnocuoussuchas?studentunion?,?internationalgeologicalsociety?[14].Figure1alsodemonstratesthattherearetwodistinctproblemstobeaddressedindefeatingcensors:accessandanonymity.Giventheveryrealpenaltiesatstakeforusers,anysystemdesignedtooperateintheuppertwoquadrantsofFigure1(thoseprotectedbynon-technicalmeans)mustguaranteeanonymityforreaders.Anysys-temdesignedtooperateintherighttwoquadrantsmustprovideaccesstomaterialdespitetechnicalhurdles(materialsinthetop-rightquadrantrequirebothaccessde-spiteblocksandanonymityforusers).Wewillfocusontheproblemofgreymaterialsinthelower-rightquadrantofFigure1.Buildingsystemstoprovideaccessforgreymaterialsavoidsmanyofthecomplicationsofsystemsdesignedtoprovideaccesstocensoredmaterialsinthetoptwoquadrants:sincethereisnorealworldpunishmentforviewingorhelpingothersviewthesegreymaterials,acircumventionsystemcansafelyrunonusers’desktopsandevenenlistvolunteerhelpersbothoutsideandinsidethecensoreddo-maintorelaytraf?cforothers.Whilethesystemweconsiderwon’taddresseitherofthetoptwoquadrants,anonymityguaranteeingsystemshavebeenbuilt(Tor,forexample)andprovideapossiblesolutionformaterialinthetop-leftquadrant.SystemslikeTordonotpro-videasolutionfortheupper-rightquadrantofour?gure;combiningananonymitysystemlikeTorwithablockingcircumventionsystemmightbeasolutionforthispartoftheproblemspace.Suchacombinationislefttofuturework.2ChallengesTherearethreeprimarymethodscurrentlyusedbycensorstoblockdirectaccesstogreymaterials[4]:DNSpoisoning,IPaddressblockingandselectiveresettingofTCPconnections[13].Thesetechniquesexploitthefactthatthecensortypicallycontrolstheunderlyingcommunicationinfrastructure,givinghimtheabilitytoinspectpacketsinsidethecensoreddomain;thesepacketscanbedroppediftheyareaddressedtoabanneddestination(IPaddressblocking)orinspectedforbannedkeywords(TCPresetting,DNSpoisoning).Althoughdirectcommunicationisblocked,userscanaccessbannedsitesviaunblockedproxieslocatedout-sideofthecensor?sreach(inadifferentcountryforex-ample).Thisisthemostcommonapproachtocircum-ventingblocksongreymaterialandtheonewe?llfocusoninthispaper.Touseaproxy,somecaremustbetaken:toavoidcontent-basedblocking,theconnectiontotheproxymustbeencrypted;usingaDNSserveroutsideofthecensoreddomainavoidstheproblemofDNSpoisoning.The?nal,andmostdif?cult,challengeispreventingthecensorfromsimplyaddingtheproxies’addressestothelistofblockedsites.Additionally,thecensorcouldalsoposeasalegitimateproxytolearnaboutclientswantingaccesstobannedsitesandpotentiallyblocktheseclientsaswell.Thisistheprimarychallengeaddressedbythiswork:howcanwemakelegitimateproxiesandusersawareofeachother,butnottothecensor,evenwhenthecensorisabletoposeasalegitimateuseroraproxy?Existingsystemshavealreadyprovenvulnerabletothisattack.Manyproxyservicesuseacentralizedweb-sitetohelpuserslearnaboutproxyaddresses;thecensorcansimplyblocksuchcentralizeddiscoveryservices.TheAnonymizer[1]andSafeWeb[9]systemsweredisabledinthiswayinChina.Furthermore,ifasystemre-vealstoomanyproxyaddressesindiscriminatelytoanyuserthatrequeststhem,thecensorcanjointhesystemtolearnaboutallproxiesandsubsequentlyblockthem.Forexample,Wikipediahasdiscoveredandblockedall700+ToranonymizingrelayserverstopreventTorusersfromanonymouslydefacingWikipediapages[15].Thecensorcouldalsoposeasalegitimateproxytoserveun-suspectingusersinordertotrackorpossiblyblockthem.ArecentstudyoftheGnutellanetworkhasshownthatalmostallusersaretrackedbyafewnodesthataresuspectedofcolludingwiththeRIAA[10].Astheseincidentsshow,thecensorcaneffectivelydisruptservicebyblockinganycentralizedcomponentsusedforsoftwaredistribution,resourcediscovery,etc.Evenifthesystemisfullydecentralized,thecensorcouldblockallproxiesorthoseusersseekingproxyservicesifhecanreliablyfindouttheiraddress.Theseattacksprovideguidelinesforthedesignofanysystemtoresistblockingofgraymaterialusingproxies.Thesystemmustbefullydecentralized;ifthesys-temdependsonanysingle,publicly-knownhost,thathostwillbeblockedbythecensorandthesystemwillbedisabled.Adistributedsystemmustenlisttheser-viceofmanyproxiesandalsopartitionknowledgeoftheproxiesamongtheparticipatingnodes:ifanynodecanlearntheidentityofeveryproxy,thecensorcanaswellandwillblockallofthem.Furthermore,eachproxyshouldbeallowedtoonlydirectlyserveasmallnum-berofusers:ifanyproxyisallowedtodirectlyserveallusers,thecensorcanposeasalegitimateproxytolearnaboutallusersandpossiblyblockthem.Finally,thesystemmustnotexpecttobeabletoprovideservicetoalluserswhenunderattack:thecensorwillinevitablyjointhesystemandblocksomeproxies,disruptingthesystemforsomesubsetoflegitimateusers.Thesedisruptedusersmust,unfortunately,notbeallowedtolearntheidentityofnewproxies:iftheywereallowedto,thecensorcouldaswell.Repeatingthisprocesswouldal-lowthecensortoblockallproxiesinthesystem.Finally,sincetheadversarycontrolstheunderlyingcommunicationinfrastructure,werealizethatattemptingtoeludethemostdeterminedcensor?sattemptstoblockouraccesstomaterialisfruitless:acensorcouldalwaysdeploythe?nuclearoption”ofpullingtheplugonallexternaltraf?casthejuntarulingBurmadid.Aslightlylessdrasticapproachmightbetodropallencryptedtraf?cmakingitimpossibletoavoidcontent?ltersorwhite-listingthesetofallowedremotesitesin-steadofblack-listingbannedsites.Adeterminedcensorcouldalsodeploysophisticatedtraf?canalysistothwartblocking:byobservingallknownparticipatingnodessi-multaneously,hemaybeabletolearntheidentityofadditional,unknownnodesbyidentifyingnodeswithsimilartraf?cpatterns.Althoughwecan’thopetodefeatanadversaryaspowerfulandruthlessastheonesweimaginehere,asystemwhichforcesthecensortoimplementincreasinglycostlymeasuresisstilluseful.Ifthecensorisforcedtoimplementstrategiesthataffectlegitimatetraf?c(blockingencryptedtraf?calsoaffectsonlinecommerce,forinstance)ortoundertakeincreasinglycomplexanalysisschemes,thecensorislikelytojudgethatthegaintobehadinblockingthesegreymaterialsdoesnotjustifytherequiredcost(acostthatour3KaleidoscopeDesignTheprevioussectionoutlinedthechallengesandbasicrequirementsforaproxy-basedcircumventionsystem.ThissectionshowshowourproposedsystemKaleido-scopeaddressesthosechallenges.Kaleidoscopeallowsusersinsidethecensoreddo-maintoaccessblockedwebsitesbyrelayingtraf?cviavolunteerproxiesresidingoutsidethecensoreddomain.Topreventthecensorfromlearningtheaddressesofallusersorproxies,Kaleidoscopedistributesasmallran-domsubsetofproxyidentitiestoparticipants.Ifthecensorcouldonlylearnasmallsubsetofproxiesbyjoiningthesystem,mostlegitimateusersstillhavesomeproxynotknowntothecensor.Kaleidoscopedoesnotguaranteeaccessforallusers:someuserswill?ndthatalloftheirproxieshavebeenblockedandwillnotbeabletogainaccess.Thisdesignrequiresthatthecensorcannotjointhenetworkanarbitrarilylargenumberoftimesandcollectalargenumberofrandomsubsetstoeventuallydiscoverallproxies.Topreventthisattackwetakeadvantageofthetrustrelationshipsamongusers:nodesonlydistributeinformationaboutproxiestonodesthatareownedbypeoplethatthenodeownerhasreasontotrust(becauseofpre-existingrealworldsocialrelationships).Byequatingthesocialnetworkofuserswiththeproxydistributionnetwork,Kaleidoscoperequiresthecensortosubvertreal-worldtrustrelationshipstoobtainadditionalvantagepointsonthesystem.Ifthesocialnetworkistoeffectivelylimitthecensor?sabilitytojointhenetwork,usersmustestablishtrustlinkscarefully.Thetrustlinksweenvisionarenotthesameasthosedisplayedontoday?spopularsocialnetworkingsites.Thereisnodisincentivetoendorsingcasualacquaintancesorevenstrangersonthesesites.Incontrast,therearestrongdisincentivestochoosinglinkscarelesslyinKaleidoscope:subvertedtrustlinkscauseanodetoloseitsknownproxiesandexposeitselftothepryingeyeofthecensor.Thesystemcoulddiscouragecasuallinksbyarti?ciallylimitingthenumberoflinksausermayestablish.Wealsoallowuserstorefusere-queststocreatealinkwithoutalertingtherequestersothatpeerpressuredoesnotleadtoill-chosenlinks.Themoststraightforwardwaytoutilizethetrustgraphistoallownodestolearnonlytheaddressesofitsimmediateneighbors.Thisstrategyincurstheleastrisk;withonesubvertedtrustlink,theadversarycandiscoveratmostoneproxy.Unfortunately,theschemelimitseachproxytoservingonlyafewtrustedneighborsandleavesmanyuserswithoutaccesstoanyproxy:mostusersdonothaveanyproxiesintheirimmediateneighborhoodasusers?neighborsarebiasedtowardsthoseinthesamegeographicalregion[22]Therearetwobasictechniquestoincreasethelikelihoodofnodesreachingaproxy.The?rsttechniqueistoallownodestorouterequeststoproxiesovermultiplehopsintheunderlyingtrustgraphbyaskingnodestorelayrequests.Thisallowsanodewithoutaproxyinitsimmediateneighborhoodtoobtainservice.However,becausepeernodesarenothighlyavailable,anodeisunlikelytohaveanyworkingmulti-hoproutetoaproxy.Alternativelywecouldrouteinformationaboutproxyaddressesoverthetrustnetwork(insteadofrequests);nodescanthendirectlycontacttheproxiestheylearnof.Thisapproachincursadditionalrisksincethecensorcouldalsojointhenetworkasaproxyandlearntheaddressesofclients:ifeachproxyisallowedtoadvertiseitselfto2000users,theadversarycanalsodiscover2000usersandblocktheiroutgoingaccess.Thus,eveniftheadversaryonlymanagestosubvertasmallfractionoftrustlinks,hecouldsigni?cantlyincreasehisknowledgeofthenetworkbyadvertisingitsservicetoalargenumberofusers.Kaleidoscopecombinesbothofthesetechniquesinmoderation:eachnodeadvertisesitsaddressonlytoasmallnumber(r)ofothernodesbeyonditsimmediateneighborhood(usingamechanismwedescribebelow).Toalloweachproxytoservicemoreuserswithoutdirectlylearningtheiraddresses,Kaleidoscopealsofor-wardstraf?ctoproxiesviaatmostoneintermediatere-laynode.Oneapproachtoadvertisinganode’saddresstorothernodeswouldbetousearandomwalkoflengthroverthetrustgraph.Thisapproachhasseveralproblems:?rst,ifthewalkistrulyrandom,astheadvertisementisrepeatedanewsetofrnodeswilllearntheaddresseachtime.Wecan?xthisproblembymakingthewalkrandom,butrepeatable:eachtimeanodefor-wardsanadvertisementitremembersthenext-hopnodeandusesthesamenext-hopnodeforallfutureadvertisemen