Onderzoekers van het Massachusetts Institute of Technology hebben een berichtensysteem ontwikkeld dat niet te traceren is, zo heeft de Amerikaanse universiteit zelf bekendgemaakt. Vuvuzela, zoals het systeem heet, biedt wiskundige garanties om de anonimiteit van gebruikers te garanderen.

De naam van het systeem is afkomstig van de manier waarop het werkt. Net als de Vuvuzela's die werden gebruikt tijdens het WK-voetbal in Zuid-Afrika, worden verkeerspatronen in allerlei 'ruis' verborgen. Dit moet partijen die gebruikers willen afluisteren op het verkeerde been zetten. Vuvuzela is niet bedoeld voor real-time gesprekken. Het is een dead-dropsysteem waarbij de gebruiker voor iemand anders op een vooraf afgesproken locatie een bericht achterlaat. In dit geval een geheugenadres van een server op internet, waar het door de andere gebruiker kan worden opgehaald. Het systeem voegt daarbij verschillende obfuscatielagen toe die ervoor moeten zorgen dat gebruikers niet worden opgemerkt.

Alice, Bob en Charlie

Het systeem werd mede ontwikkeld door PhD-student David Lazar. Hij geeft als voorbeeld voor de werking van het systeem een situatie waarbij het systeem drie gebruikers heeft: Alice, Bob en Charlie. Alice en Bob willen berichten uitwisselen, maar zonder dat iemand te weten kan komen dat ze dit doen. Als ze de dead-dropserver gebruiken en Charlie niet, kan iemand die het systeem monitort afleiden dat Alice en Bob met elkaar communiceren. De eerste vereiste van het systeem is dan ook dat alle gebruikers geregeld berichten naar de server versturen, ongeacht of ze nu informatie bevatten of niet.

Een aanvaller die de server heeft gehackt kan echter zien welke gebruikers welk geheugenadres benaderen. Ook als het bericht van Charlie naar het ene adres wordt gerouteerd, maar die van Alice en Bob naar een ander, kan de aanvaller weer zien wie met elkaar communiceert. In plaats van één server gebruikt Vuvuzela daarom drie servers. Elk bericht dat via het systeem wordt verstuurd is in drie encryptielagen gewikkeld. De eerste server verwijdert de eerste encryptielaag, voordat het naar de tweede server wordt gestuurd. Daarbij wordt ook de volgorde aangepast in het afleveren van berichten. Kwam het bericht van Alice eerder op de eerste server aan dan dat van Bob, dan zal voor de tweede server het bericht van Bob eerder worden afgeleverd.

Uiteindelijk ziet alleen de derde server welke berichten voor welk geheugenadres zijn bedoeld. Zelfs als die server wordt gehackt, kan een aanvaller nog steeds niet bepalen wiens bericht waar precies terecht kwam. Een aanvaller zou wel kunnen zien dat de berichten van twee gebruikers binnen een bepaald tijdsvenster zijn binnengekomen. Om dit tegen te gaan voegt Vuvuzela ruis toe. Als de eerste server het ontvangen bericht doorstuurt, creëert het ook allerlei nepberichten, met elk hun eigen versleutelde bestemmingen. De tweede server doet hetzelfde, wat het bijna onmogelijk voor een aanvaller maakt om alleen al de bestemming van berichten te bepalen die in een bepaald tijdsvenster zijn verstuurd. Zolang niet alle drie de drie servers niet worden gehackt kan het systeem de anonimiteit van gebruikers garanderen, aldus de onderzoekers.