An Empirical Analysis of Privacy in the Lightning Network（闪电网络隐私的实证分析）阅读笔记

An Empirical Analysis of Privacy in the Lightning Network （闪电网络隐私的实证分析）的阅读笔记

一、 预备知识点

• Payment channel networks： 支付通道网络
• Lightning Network： 闪电网络
• HTLC(Hashed Time Lock Contract）哈希时间锁定合约： HTLC是区块链应用程序中使用的一种智能合同，可通过启用限时交易来消除交易风险。实际上，这意味着交易的接收者必须通过在特定时间范围内生成加密证明来确认付款。否则，交易将不会发生。
• onion routing（洋葱路由）： 是一种在电脑网络上匿名沟通的技术。在洋葱路由的网络中，消息一层一层的加密包装成像洋葱一样的数据包，并经由一系列被称作洋葱路由器的网络节点发送，每经过一个洋葱路由器会将数据包的最外层解密，直至目的地时将最后一层解密，目的地因而能获得原始消息。而因为透过这一系列的加密包装，每一个网络节点（包含目的地）都只能知道上一个节点的位置，但无法知道整个发送路径以及原发送者的地址。
• Sphinx
• Multisig： 多重签名，在一个 m-of-n multisig 的 P2SH 中。我们首先从n个公钥生成一个multisig的address作为交易output里的地址， 用于接受转账。如果想要花费该地址的比特币，那么至少需要m个签名才可以成功。
• 区块链的特点： 一是数据在上链前需通过共识机制获得（所有）节点的认可， 二是数据上链后通过密码学技术和数据全网全备份达到不可篡改
• 区块链存在的问题： 区块链具有低交易吞吐量、高交易延迟、高数据存储等扩展性问题（每秒仅支持7笔交易）
• 微支付通道、支付通道、支付通道网络： 支付通道网络的基础是支付通道，而支付通道技术来源于微支付通道技术
• 支付通道网络所要解决的问题： 用于解决比特币对微小支付不友好的问题
• 支付通道网络存在的问题： 隐私泄露
• 支付通道分类：
  1. 账本通道： 需要与区块链交互才能建立
  2. 虚拟通道： 不需要与区块链交互也能建立，虚拟通道建立在账本通道之上
• 现有的具有隐私保护的支付路径解决方案： 括星型网络和对等网络
• https://github.com/lightningnetwork/lightning-rfc

二、Abstract

• 支付通道网络+闪电网络 有助于解决区块链上的扩展性和隐私性问题，但是并不完善。
• 本文的攻击：通过网络上的已知信息来获取本应保密的隐私信息。比如交易金额，交易双方信息。

三、Introduction

• 作者首先简单介绍了区块链，提出了区块链存在的两大问题：1.可扩展性限制 2.隐私安全
• 闪电网络一定程度上解决了区块链的不可扩展性和隐私安全性的问题，但是也有缺陷。
• 闪电网络的四个隐私属性：
  1. Private channels： 两个节点共享一个通道，保留通道的存在，以及它的所有信息(容量、参与者等)，对其余网络隐藏。
  2. Third-party balance secrecy： 通道的容量是公开的，但参与者各自的余额应该是保密的。
  3. On-path relationship anonymity： 路由支付的中间节点不应该知道除了它们的直接前任或继任者之外，哪些其他节点是支付路由的一部分
  4. Off-path payment privacy： 任何不参与路由支付的节点都应该不能推断任何关于路由节点或支付值的信息。
     作者对于这些本应该成立的闪电网络安全属性都进行了攻击，以此来说明闪电网络的隐私安全缺陷

四、Background

• 闪电网络的组成部分：
  1. 节点：公钥
  2. 边：通道
  3. cid：通道标识符
  4. C：通道容量
• 闪电网络使用HTLCs协议进行交易的五个步骤：
  1. invoicing： Bob生成一个秘文$x$，并计算它的散列$h$。然后开了一张包含$h$和一些付款金额的invoice，并发送给Alice。
  2. Onion routing： Alice选择支付路径，然后爱丽丝形成一个以鲍勃为目的地的Sphinx数据包，并通过$U_i$节点进行路由，爱丽丝然后把最外面的洋葱包$onio{n}_1$送到$U_1$
  3. Channel preparation： 首先$U_i$接收到$U_{i-1}$的$onio{n}_i$包，$U_i$会将其解码获得$cid$，$cid$会标识下一个节点$U_{i+1}$，然后向$U_{i+1}$发送$am{t}_i$、$t_i$（超时时间）和$onio{n}_{i+1}$。但是在向$U_{i+1}$发送$onio{n}_{i+1}$之前，$U_i$和$U_{i-1}$需要通过使用HTLC来更新他们通道的状态，以确保交易没有超时，超时的话$U_i$可以要求退款。完成这一系列操作之后$U_i$可以向$U_{i+1}$发送$onio{n}_{i+1}$
  4. Invoice settlement（发票结算）： 最后 Bob从$U_n$处收到$onio{n}_{n+1}$，Bob对其进行解码，如果其中的$amt$和$h$与他之前发的Invoice上的相同，他就会发送invoice pre-image $x$ 给$U_{n-1}$，以此来得到他的钱，然后信息又会沿着路径反向传输给Alice。
  5. Channel settlement（通道结算）： 路径上的每一步，$U_i$和$U_{i+1}$都利用密文$x$来结算他们的通道。

五、Blockchain Analysis

5.1、Data and measurements

• 闪电网络可以通过公共网络图的定期快照来捕获，这些快照提供了关于节点的真实数据(标识符、网络地址、状态等)。)及其通道(标识符、容量、端点等。)
• 作者的LN数据集包含用于打开每个通道的hash，通过将这些与区块链数据相结合，作者能够确定通道何时关闭以及资金如何分配。
• 作者总共确定了174，378个通道，其中135，850个已经关闭，总容量为3315.18 BTC。在关闭的信道中，69.22%是由单个输出地址声明的。

5.2、Private channels

• Private channels是两个LN节点私有交易通道，不会向网络上其他节点广播。
• Property Heuristic（启发式属性）
• Tracing heuristic（追踪启发式）

六、Balance Discovery（余额探索）

1、The attack

• 以往的攻击往往只控制一个节点，而本文提出的方法需要控制两个节点。
• 获取$B\to C$ 通道上的余额的方法： 本文提出的方法是增加$AD$两个节点在$B\to C$ 的两边，形成$A\to B\to C\to D$ 的通道。（$A\to B$的通道好建立让A向B付款即可，而$C\to D$的通道不易建立）
  • 形成$C\to D$通道的两种方法：
  1. funding the “remote balance”： 攻击者给$C$出资用于打开$C\to D$的通道（有被$C$釜底抽薪的风险）
  2. assisted channel opening： 使用 liquidity provider（ Bitrefill 或者 LNBIG)） 辅助打开$C\to D$的通道
• 得到$A\to B\to C\to D$通道后的攻击： $A$不断通过$B\to C$通道向D发送random payment hash H，金额小于通道余额即可正常交易，金额大于通道余额则交易失败，攻击者以此原理来获取最大支付金额，即$B\to C$通道余额。
• 扩展：当$AD$两个节点之间不止一个通道时，可以用此方法探究整个通道里余额最小的通道位置（文中称为瓶颈通道），在支付失败的情况下，当前的C-lightning和LND客户返回一个错误指数，该指数是支付失败的节点的位置，这意味着攻击者可以准确地知道支付失败的地方。

2、Attack results

• 总而言之攻击成功

3、Attacker cost

• 作者实验时使用的是testnet coins，几乎无成本。
• mainnet上的最小攻击成本：攻击者需要花费1.097 BTC，并搁置109.53 BTC

七、Path Discovery（路径探索）

• $P{r}_S$: 攻击者成功发现支付路径中的发送者的概率
• $P{r}_R$：攻击者成功发现支付路径中的接收者的概率
• $P{r}_S^{succ}$：支付成功情况下发现支付路径中的发送者的概率
• $H$：节点位置
• $L$：路径长度
• $Pr[L=l]$：路径长度为 $l$ 的概率
• $Pr[H=h|L=l]$：对手节点位置在 $h$ 且路径长度为 $l$ 的概率
• 根据闪电网络的规范要求，最大路径长度应为20。
• $P{r}_S^{succ}$（支付成功情况下发现支付路径中的发送者的概率）的公式如下：
  
• $Pr[H=1|L=3，succ]=1$表示：如果支付路径长度为3，且攻击者是唯一的中间节点，那么支付成功的概率应该为1。
• $Pr[L=3|succ]$ 是 $P{r}_S$的下界，（我分析这是因为只有交易的节点大于等于三个时，攻击者才能通过中间节点寻找办法获知交易的双方）
• 假设攻击节点的位置在中间任何位置上的概率相等，在支付成功的前提下： $H=1$ 的概率为 $1/(l-2)$。（因为路径长度为 $l$，$l$ 减去首尾节点，剩下的就是中间节点的数量。）
• $P{r}_S^{fail}$ （支付失败情况下发现支付路径中的发送者的概率）的公式如下：
  
• $Pr[L=3，fail]=0$ 表示： 因为如果攻击者是唯一的中间节点，支付就不会失败
• $Pr[L=l|fail]=Pr[L=l|fail,l\ge 4]$ : 在支付失败情况下路径上的节点数一定是要大于三的，等于情况下支付不会失败。在攻击节点成功把支付转发给下一个节点后最后支付失败，则说明接收方一定不是攻击节点的额下一个节点，即攻击节点的位置一定不是 $l-1$。由此可得：
  
• 假设攻击节点的位置在中间任何位置上的概率相等，在支付失败的前提下：$H=1$ 的概率为 $1/(l-3)$（因为在支付失败的情况下，攻击者的位置除了不可能是首尾位置，也不可能是倒数第二个位置，所以要要减去3）。由此可得下面公式：
  

7.1、Lightning Network simulator（闪电网络模拟器）

• 作者研究团队进行了闪电网络的模拟。
• lnd, c-lightning，eclair： 是三个闪电网络软件客户端？
• 在路径选择方面： 研究者选择使用了Yen’s k-shortest path 算法和networkx Dijkstra’s SPF 算法。
• 支付参数：
  • $t_{pay}$：表示每日发生在LN中的付款总数。
  • $endpoints$：表示付款发送方和接收方的参数
  • $values$：表示交易的金额，如果设置$values$较大则可能高于通道余额导致支付失败，$values$较小时则交易成功率高。

7.2、Simulation results（模拟结果）

• 图片一中蓝线表示让交易的路径尽可能长的条件下所有的交易中各种路径长度所占的比例，红线表示让交易路径尽可能短的情况下所有的交易中各种路径长度所占的比例。
• $length{s}_{long}$：代表最坏的情况。（endpoints = uniform， values = cheap）
• $length{s}_{short}$：代表最好的情况。（ endpoints = weighted 确保更频繁地挑选高度连接的节点，从而缩短路径， values = expensive）
• 结论： 网络拓扑和客户端路径查找算法对路径长度的影响比端点（endpoints）或值（values）大得多。
  
• Lower Bound： 节点低联系不成团
• Clique： 节点成团的
• 图二解释： 在交易成功或不成功的条件下，在节点不成团和成团的两种情况里，攻击者可以找出支付方的概率范围统计（$length{s}_{long}$是最低情况，$length{s}_{short}$是最高情况）。
• 结论： 攻击者很容易可以获知支付发起者，支付失败情况下的获知率要高于支付成功的情况。（成功：L>=3 失败：L>=4）

八、Payment Discovery

• 攻击方法： t 时刻进行网络快照，再在 t + T 时刻进行网络快照，并使用两个快照之间的差异，通过查看任何更改的路径信息来推断发生的付款信息。

8.1、Payment discovery algorithm

• $S_t$、$S_{t+\tau }$ ：表示在τ时间间隔内的两个网络快照
• $G_{diff}=S_{t+\tau }-S_t$：表示两个通道内的余额差异

8.2、Attack simulation

• P（precision）： 正确检测到的付款数 / 检测到的付款总数
• R（recall）： 正确检测到的付款数 / 实际付款数

8.3、Simulated attack results

• 图3显示了τ和推断的付款数量之间的关系，并证实了攻击者在快照之间等待的时间越长，攻击就越无效的直觉，因为这会导致多次付款之间的重叠。
• 在某一点上，越来越快的采样带来的回报越来越少。例如，对于τ = 32秒，攻击者的召回率为66%，对于τ = 1秒，召回率缓慢增加到74.1%。

九、Conclusions

• 在本文中，作者系统地探索了闪电网络的主要隐私属性，并表明，至少在其现有状态下，每个属性都容易受到攻击

十、

• Alice 和 Bob 首先形成了两个承诺交易，他们每个人一个，这代表了他们对渠道当前状态的一致意见。每个承诺事务都有2对2的multisig作为输入，并有两个输出：本地和远程。
• $t{x}_{A,i}$：代表Alice对 $i$ 状态的看法，表示将Alice的当前余额发送到本地，并将Bob的当前余额发送到远程
• $t{x}_{B,i}$：表示将Bob的当前余额发送到本地，并将Alice的当前余额发送到远程
• 远程输出（remote output）包括： $add{r}_B$ in $t{x}_{A,i}$ and $add{r}_A$ in $t{x}_{B,i}$
• 本地输出（ local output ）包括： 限制时间 t 和潜在输入 σ