Bandwidth Authorities erklärt: die neun Sitze, die Tors Konsens unterschreiben
Jede Stunde schreibt das Tor-Netzwerk still sein Adressbuch neu. Im Zentrum dieses Rituals steht der Konsens, den das Tor-Metrics-Glossar als ein einziges Dokument beschreibt, das von den Directory Authorities einmal pro Stunde zusammengestellt und abgestimmt wird, damit alle Clients dieselben Informationen über die Relays des Netzwerks haben. Er listet die als aktiv geltenden Relays auf, vergibt Flags wie Guard oder Exit und legt ein Consensus Weight fest, das bestimmt, wie viel Traffic jedes Relay erhält. Erzeugt wird er von einem Gremium, das klein genug ist, um an einen Tisch zu passen.
Absichtlich kleines Gremium
Die aktuelle Liste ist kurz genug, um sie vollständig zu nennen: moria1, tor26, dizum, gabelmoo, dannenberg, maatuska, longclaw, bastet und faravahar. Diese neun Namen verfolgt Tors Consensus-Health-Dienst in jeder Abstimmungsrunde und vermerkt, welche Authorities teilgenommen haben. Forscher, die den Konsens für die ACM Internet Measurement Conference untersuchten, brachten die Ordnung auf den Punkt: neun Directory Authorities, „jeweils betrieben von einer anderen vertrauenswürdigen Organisation oder Person“. Die Mitgliedschaft soll langweilig sein. Sitze wechseln selten, und wer einen innehat, soll jahrelang – nicht monatelang – einen gut gesicherten Server betreiben. Formal ist jede Authority ein spezialisiertes Relay, das eine Liste der aktuell laufenden Relays pflegt und regelmäßig gemeinsam mit den anderen einen Konsens veröffentlicht – so die Formulierung des Tor-Community-Glossars. Der Entwurf ist bewusst konservativ. Laut der Directory-Protokoll-Spezifikation halten die Authorities langlebige Identitätsschlüssel offline und bestätigen damit die alltäglichen Signing-Schlüssel mittlerer Laufzeit; wer einen gewöhnlichen Schlüssel erbeutet, erbeutet damit nicht den Sitz. Die Spezifikation erinnert auch daran, warum kollektive Abstimmung existiert: Nach Tors älterem Directory-Design konnte eine einzelne logende Authority Clients „für eine Zeit eine beliebig verzerrte Sicht“ aufs Netzwerk glauben machen. Dass mehrere Authorities einem Dokument zustimmen müssen, war die Korrektur.Wer die Sitze wirklich betreibt
Nichts davon ist anonyme Infrastruktur. moria1, eine der am längsten laufenden Authorities, wird von Roger Dingledine betrieben, Mitgründer des Tor Projects. tor26 läuft bei Peter Palfrader, dannenberg beim Chaos Computer Club e.V. in Deutschland und gabelmoo bei F3 Netze e.V., einem weiteren deutschen gemeinnützigen Verein; die übrigen Sitze halten Einzelpersonen und kleine Organisationen mit langer Geschichte im Projekt. OrNetStats, ein unabhängiges Monitoring-Projekt zur Relay-Diversität, veröffentlicht die Betreiber der Bandwidth Authorities samt ihren selbst angegebenen Kontaktinformationen – dieser Winkel des Netzwerks lässt sich von außen ungewöhnlich gut prüfen.Vom Scanner zum Consensus Weight
Der Konsens listet Relays nicht nur; er gewichtet sie. Tors Metrics-Dokumentation definiert das Consensus Weight eines Relays als Wert, der auf der vom Relay gemeldeten und der von den Directory Authorities gemessenen Bandbreite beruht. Das Messen übernehmen dedizierte Systeme, bekannt als Bandwidth Scanner oder Bandwidth Authorities: Sie verbinden sich wie gewöhnliche Clients mit dem Netzwerk, stoppen echte Übertragungen durch jedes Relay und veröffentlichen die Ergebnisse in einer Bandwidth-Datei. Nach der Bandwidth-File-Spezifikation lesen die Authorities diese Datei und nutzen ihre Werte, um die Gewichte in ihren Stimmen zu skalieren. Haben mehrere Scanner dasselbe Relay gemessen, ergibt sich das Consensus Weight aus dem Median der Messwerte – ein fehlerhafter oder voreingenommener Scanner kann den Anteil eines Relays am Netzwerk nicht allein bestimmen.Konzentriertes Vertrauen, mit Absicht
Ein Gremium aus Neun wirkt wie ein Single Point of Failure, und das Tor Project hat nie so getan, als wäre es anders. Das Argument für die Konzentration: Eine kleine, öffentlich bekannte Gruppe professioneller Betreiber lässt sich leichter verteidigen – und stiller unterwandern – als eine große, anonyme. Das Risiko ist das Spiegelbild: Wer eine Mehrheit der Authorities kompromittiert, könnte Clients für wenige Stunden ein verzerrtes Netzwerkbild unterschieben, etwa indem er die Gewichte eigener Relays aufbläht. Genau deshalb sind die Netzwerkadressen der Authorities fest in Tor Browser eincompiliert, und genau deshalb behandelt das Projekt ihre Integrität als etwas, das die Öffentlichkeit selbst prüfen kann.„Die IPs der Directory Authorities sind fest im TBB-Tarball verankert, den (kluge) Tor-Nutzer vor dem Start anhand der abgetrennten Signatur gegen den Signing-Key prüfen.“ – Tor-Project-Blog