Red mixta

Innovadores como Ian Goldberg y Adam Back realizaron importantes contribuciones a la tecnología de redes de mezcla. Esta época presenció avances significativos en los métodos criptográficos, fundamentales para la implementación práctica de las redes de mezcla. Estas redes comenzaron a captar la atención en los círculos académicos, lo que impulsó la investigación para mejorar su eficiencia y seguridad. Sin embargo, su aplicación práctica generalizada seguía siendo limitada, y las redes de mezcla permanecieron en gran medida en fase experimental. Se desarrolló un software de reenvío de correo electrónico " cypherpunk " para facilitar a los usuarios el envío de correos electrónicos anónimos mediante redes de mezcla. ^{[ 8 ]}

En la década de 2000, la creciente preocupación por la privacidad en internet puso de relieve la importancia de las redes mixtas (mixnets). Esta época estuvo marcada por la aparición de Tor (The Onion Router) a mediados de la década. Si bien Tor no era una implementación directa de una mixnet, se basó en gran medida en las ideas fundamentales de David Chaum , en particular en el uso de una forma de enrutamiento cebolla similar a los conceptos de mixnet. Este período también fue testigo de la aparición de otros sistemas que incorporaron principios de mixnet en diversos grados, todos ellos orientados a mejorar la seguridad y el anonimato en las comunicaciones.

Al comenzar la década de 2010, se produjo un cambio significativo hacia la escalabilidad y eficiencia de las redes de mezcla (mixnets). Este cambio fue impulsado por la introducción de nuevos protocolos y algoritmos, que ayudaron a superar algunos de los principales desafíos que habían obstaculizado el despliegue generalizado de las mixnets. La relevancia de las mixnets aumentó, especialmente después de 2013, tras las revelaciones de Edward Snowden sobre los extensos programas de vigilancia global . Este período vio un renovado interés en las mixnets como herramientas vitales para la protección de la privacidad .

La arquitectura Loopix ^{[ 9 ]} , introducida en 2017, integró varias técnicas preexistentes de mejora de la privacidad para formar un diseño de red mixto moderno. Los elementos clave de Loopix incluían:

• Formato de paquete "Sphinx" ^{[ 10 ]} , que garantiza la imposibilidad de vincularlo y el cifrado por capas.
• Transmisión de paquetes basada en procesos de Poisson , que introduce aleatoriedad para prevenir ataques de correlación de tráfico.
• Retrasos en la mezcla exponencial , lo que dificulta el análisis del tráfico.
• Tráfico de cobertura basado en bucles, donde se inyectan continuamente paquetes ficticios (paquetes de marcador de posición que no contienen datos reales) para ocultar los flujos de datos reales.
• Topología de nodos mixtos estratificados , que optimiza el anonimato manteniendo la eficiencia de la red.

El auge de las tecnologías blockchain abrió nuevas posibilidades para sistemas descentralizados escalables , allanando el camino para redes mixtas distribuidas a gran escala.

A lo largo de la década de 2020, varios programas de investigación y desarrollo públicos y privados contribuyeron a la creación de las primeras redes mixtas a gran escala. Para 2025, múltiples proyectos ^{[ 6 ]} —entre ellos 0KN, HOPR, Katzenpost, Nym (como superposición para la posterior NymVPN ) y xx.network (liderado por David Chaum )— se encuentran en desarrollo activo, con el objetivo de mejorar la comunicación que preserva la privacidad a mayor escala.

${\displaystyle K_{m}(R1,K_{b}(R0,message),B)\longrightarrow (K_{b}(R0,message),B)}$

Para lograr esto, el remitente toma la clave pública de la mezcla (${\displaystyle K_{m}}$), y lo utiliza para cifrar un sobre que contiene una cadena aleatoria (${\displaystyle R1}$), un sobre anidado dirigido al destinatario y la dirección de correo electrónico del destinatario ( B ). Este sobre anidado está cifrado con la clave pública del destinatario (${\displaystyle K_{b}}$), y contiene otra cadena aleatoria ( R0 ), junto con el cuerpo del mensaje que se envía. Al recibir el sobre cifrado de nivel superior, la mezcla utiliza su clave secreta para abrirlo. Dentro, encuentra la dirección del destinatario ( B ) y un mensaje cifrado destinado a B . La cadena aleatoria (${\displaystyle R1}$) se descarta.

${\displaystyle R0}$es necesario en el mensaje para evitar que un atacante adivine los mensajes. Se supone que el atacante puede observar todos los mensajes entrantes y salientes. Si no se utiliza la cadena aleatoria (es decir, solo${\displaystyle (K_{b}(message))}$se envía a${\displaystyle B}$) y un atacante tiene una buena suposición de que el mensaje${\displaystyle message'}$fue enviado, él puede probar si${\displaystyle K_{b}(message')=K_{b}(message)}$sostiene, por lo que puede aprender el contenido del mensaje. Al agregar la cadena aleatoria${\displaystyle R0}$Se impide al atacante realizar este tipo de ataque; incluso si adivina el mensaje correcto (es decir,${\displaystyle message'=message}$es cierto) no sabrá si tiene razón ya que no conoce el valor secreto${\displaystyle R0}$. Prácticamente,${\displaystyle R0}$funciona como una sal .

Lo que se necesita ahora es una forma para que B responda a A sin que B se dé cuenta de que la identidad de A está en secreto .

Una solución es que A forme una dirección de retorno imposible de rastrear.${\displaystyle K_{m}(S1,A),K_{x}}$dónde${\displaystyle A}$es su propia dirección real,${\displaystyle K_{x}}$es una clave pública de un solo uso elegida únicamente para la ocasión actual, y${\displaystyle S1}$es una clave que también actuará como una cadena aleatoria para fines de sellado. Luego, A puede enviar esta dirección de retorno a B como parte de un mensaje enviado mediante las técnicas ya descritas.

B envía${\displaystyle K_{m}(S1,A),K_{x}(S0,response)}$a M, y M lo transforma en${\displaystyle A,S1(K_{x}(S0,response))}$.

Esta mezcla utiliza la cadena de bits${\displaystyle S1}$que encuentra después de descifrar la parte de la dirección${\displaystyle K_{m}(S1,A)}$como clave para volver a cifrar la parte del mensaje${\displaystyle K_{x}(S0,response)}$. Solo el destinatario, A , puede descifrar la salida resultante porque A creó ambos${\displaystyle S1}$y${\displaystyle K_{x}}$La clave adicional${\displaystyle K_{x}}$garantiza que la mezcla no pueda ver el contenido del mensaje de respuesta.

A continuación se indica cómo B utiliza esta dirección de retorno imposible de rastrear para formar una respuesta a A , a través de un nuevo tipo de combinación:

El mensaje de A${\displaystyle \longrightarrow }$B :

${\displaystyle K_{m}(R1,K_{b}(R0,message,K_{m}(S1,A),K_{x}),B)\longrightarrow K_{b}(R0,message,K_{m}(S1,A),K_{x})}$

Mensaje de respuesta de B${\displaystyle \longrightarrow }$A :

${\displaystyle K_{m}(S1,A),K_{x}(S0,response)\longrightarrow A,S1(K_{x}(S0,response))}$

Dónde:${\displaystyle K_{b}}$= Clave pública de B ,${\displaystyle K_{m}}$= la clave pública de la mezcla.

Un destinatario puede responder a un remitente sin sacrificar el anonimato de este último. El mensaje de respuesta comparte todas las ventajas de rendimiento y seguridad de los mensajes anónimos que van del remitente al destinatario.

Un adversario puede realizar un ataque pasivo monitorizando el tráfico hacia y desde la red mixta. El análisis de los tiempos de llegada entre múltiples paquetes puede revelar información. Dado que no se realizan cambios activos en los paquetes, un ataque de este tipo es difícil de detectar. En el peor de los casos, suponemos que el adversario puede observar todos los enlaces de la red y que conoce las estrategias y la infraestructura de la red mixta. ^{[ 2 ]}

Un paquete en un enlace de entrada no puede correlacionarse con un paquete en el enlace de salida basándose en información sobre la hora de recepción, el tamaño o el contenido del paquete. La correlación de paquetes basada en la temporización se impide mediante el procesamiento por lotes, mientras que la correlación basada en el contenido y el tamaño del paquete se impide mediante el cifrado y el relleno de paquetes, respectivamente.

Los intervalos entre paquetes, es decir, la diferencia de tiempo entre la observación de dos paquetes consecutivos en dos enlaces de red, se utilizan para inferir si los enlaces transportan la misma conexión. El cifrado y el relleno no afectan el intervalo entre paquetes relacionado con el mismo flujo IP. Las secuencias de intervalos entre paquetes varían considerablemente entre conexiones; por ejemplo, en la navegación web, el tráfico se produce en ráfagas. Este hecho puede utilizarse para identificar una conexión.

Los ataques activos pueden realizarse inyectando ráfagas de paquetes con firmas de temporización únicas en el flujo objetivo. El atacante puede intentar identificar estos paquetes en otros enlaces de red. Sin embargo, es posible que no pueda crear nuevos paquetes debido al conocimiento necesario de las claves simétricas en todas las combinaciones subsiguientes. Tampoco se pueden utilizar paquetes de repetición, ya que se pueden prevenir fácilmente mediante funciones hash y almacenamiento en caché. ^{[ 2 ]}

Se pueden crear grandes brechas en el flujo objetivo si el atacante descarta grandes volúmenes de paquetes consecutivos. Por ejemplo, se realiza una simulación enviando 3000 paquetes al flujo objetivo, donde el atacante descarta los paquetes 1 segundo después del inicio del flujo. A medida que aumenta el número de paquetes consecutivos descartados, la efectividad del descarte defensivo disminuye significativamente. Introducir una brecha grande casi siempre creará una característica reconocible.

El atacante puede crear ráfagas artificiales. Esto se logra creando una firma a partir de paquetes artificiales, manteniéndolos en un enlace durante un tiempo determinado y luego liberándolos todos a la vez. El descarte defensivo no ofrece protección en este escenario, y el atacante puede identificar el flujo objetivo. Existen otras medidas de defensa que se pueden tomar para prevenir este ataque. Una de ellas son los algoritmos de relleno adaptativo. Cuanto mayor sea el retraso de los paquetes, más fácil será identificar el comportamiento y, por lo tanto, mejor será la defensa.

Un atacante también puede explorar otros ataques de temporización además de los intervalos entre paquetes. Puede modificar activamente los flujos de paquetes para observar los cambios en el comportamiento de la red. Los paquetes pueden corromperse para forzar la retransmisión de paquetes TCP, cuyo comportamiento es fácilmente observable para obtener información. ^{[ 12 ]}

Suponiendo que un adversario pueda ver los mensajes que se envían y reciben en las mezclas de umbral, pero no pueda ver el funcionamiento interno de estas mezclas ni lo que envían, si el adversario ha dejado sus propios mensajes en las mezclas correspondientes y recibe uno de los dos, puede determinar el mensaje enviado y el remitente correspondiente. El adversario debe colocar sus mensajes (componente activo) en la mezcla en cualquier momento dado, y estos mensajes deben permanecer allí antes de que se envíe otro mensaje. Normalmente, este no es un ataque activo. Los adversarios menos capaces pueden usar este ataque en combinación con otros para causar más problemas.

Las redes de mezcla obtienen seguridad al cambiar el orden de los mensajes que reciben para evitar crear una relación significativa entre los mensajes entrantes y salientes. Las mezclas crean interferencia entre los mensajes. Esta interferencia limita la tasa de fuga de información para un observador de la mezcla. En una mezcla de tamaño n, un adversario que observa la entrada y salida de la mezcla tiene una incertidumbre de orden n al determinar una coincidencia. Un ataque de durmiente puede aprovechar esto. En una red en capas de mezclas de umbral con un durmiente en cada mezcla, hay una capa que recibe entradas de los remitentes y una segunda capa de mezclas que reenvían los mensajes al destino final. A partir de esto, el atacante puede saber que el mensaje recibido no pudo haber provenido del remitente a ninguna mezcla de la capa 1 que no se activó. Hay una mayor probabilidad de hacer coincidir los mensajes enviados y recibidos con estos durmientes, por lo que la comunicación no es completamente anónima. Las mezclas también pueden ser puramente temporales: aleatorizan el orden de los mensajes recibidos en un intervalo particular y adjuntan algunos de ellos a las mezclas, reenviándolos al final del intervalo independientemente de lo que se haya recibido en ese intervalo. Los mensajes que estén disponibles para mezcla interferirán, pero si no hay mensajes disponibles, no habrá interferencia con los mensajes recibidos. ^{[ 13 ]}