Wie Tor-Bridges verteilt werden: BridgeDB, rdsys, Moat und die Logik der Knappheit
Eine Bridge ist ein nicht gelistetes Tor-Relay: Sie erscheint nicht in der öffentlichen Relay-Liste, sodass Zensoren sie erst entdecken müssen, bevor sie sie blockieren können. Diese Eigenschaft gilt nur so lange, wie die Bridge schwer zu bekommen ist - das Verteilsystem selbst ist damit Teil von Tors Zensurresistenz. Im Oktober 2024 setzte das Tor Project BridgeDB ab, das über ein Jahrzehnt lang Bridges verteilt hatte, und schloss die Migration auf rdsys ab, sein Verteilsystem der nächsten Generation. Wie diese Systeme entscheiden, wer welche Bridge bekommt, erklärt einiges darüber, warum Bridges auch in stark zensierten Netzen noch funktionieren.
Von BridgeDB zu rdsys
BridgeDB wurde vor mehr als elf Jahren als Prototyp veröffentlicht und lief weit über seine geplante Lebensdauer hinaus. Laut den Ingenieuren hinter der Migration bot es webbasierte Anfragen, E-Mail-Anfragen und eine Tor-Browser-API namens Moat an, und alle drei Kanäle gerieten unter Druck: Zensoren durchsuchten Bridge-Anfragen-Websites, fluteten das E-Mail-System, um Adressen zu ernten, und umgingen Captchas mit menschlichen CAPTCHA-Lösediensten. Jahre von Patchen gegen diese Taktiken wurden zu technischen Schulden, deshalb begann das Projekt etwa 2020 mit der Entwicklung eines Nachfolgers: rdsys. rdsys, kurz für Resource Distribution System, ist bewusst breiter angelegt als sein Vorgänger. Es verteilt Zensurumgehungs-Ressourcen vieler Art: Tor-Bridges, Snowflake-Proxies, VPN-Endpunkte, sogar Download-Links für Umgehungssoftware. Architektonisch ist es ein Backend-Prozess, der Ressourcen einsammelt, plus mehrere Distributor-Prozesse, die sie herausgeben. Das Backend führt den Bestand und ordnet jede Ressource genau einem Distributor zu; die Aufgabe des Distributors ist es, wie es in der rdsys-Dokumentation heißt, Ressourcen klug zu verteilen, eine brauchbare Schnittstelle anzubieten und Sybil-Angriffe abzuwehren. Die Verteilkanäle
Die Support-Dokumentation des Tor Project bringt die Grundannahme auf den Punkt: "Da Bridge-Adressen nicht öffentlich sind, müssen Sie sie selbst anfragen." Heute gibt es mehrere parallele Kanäle, jeder mit eigener Zugangskontrolle. - Moat ist in den Tor Browser eingebaut: Nutzer klicken in den Verbindungseinstellungen auf "Bridges anfordern", lösen ein Captcha, und die Bridges werden automatisch hinzugefügt.
- Der HTTPS-Distributor betreibt die Bridges-Website mit einer Ein-Klick-Option ("Just give me bridges!") neben erweiterten Auswahlmöglichkeiten wie Transporttyp oder IPv6-Adressen.
- Der E-Mail-Distributor antwortet auf Nachrichten an bridges@torproject.org von einer Gmail- oder Riseup-Adresse mit "get transport obfs4" im Textkörper.
- Der Telegram-Distributor liefert Bridges über den @GetBridgesBot, mit Befehlen wie /obfs4 oder /webtunnel. Um echte Nutzer von massenhaft erstellten Konten zu unterscheiden, bewertet er den Kontoverlauf und trennt alte von frisch registrierten Konten; das Tor Project beschreibt dies als Reaktion auf zunehmende Zensur in Russland.
- Lox, noch in Entwicklung, ist ein datenschutzfreundlicher, reputationsbasierter Mechanismus, der blockierte Bridges erkennt und Nutzer belohnt, deren Bridges nicht blockiert bleiben.
Zwei Nicht-Kanäle sind ebenfalls wissenswert. Ein Reserved-Pool ist für die manuelle Verteilung an NGOs und Personen mit besonderem Bedarf reserviert, und Bridges mit der Markierung None bleiben ihren Betreibern überlassen, die sie selbst verteilen. Eine frisch registrierte Bridge zeigt etwa einen Tag lang None, bevor sie in ihren zugewiesenen Pool rückt. Moat und der Captcha-Kompromiss
Moat verdient einen genaueren Blick, weil es der Weg ist, den die meisten neuen Nutzer zuerst treffen. Das Captcha war die Methode des Systems, um zu belegen, dass eine Anfrage von einem Menschen stammt und nicht vom Scraper eines Zensors; das Lösen eines Captcha ist weiterhin der dokumentierte Ablauf im Tor Browser. Doch die eigene Einschätzung des Tor Project fällt ernüchternd aus: Captchas sind frustrierend unzugänglich für Menschen mit Screenreadern oder älteren Geräten, manchmal sprachbedingt unmöglich zu lösen und zunehmend wirkungslos, weil Zensoren automatisierte Werkzeuge oder menschliche Lösedienste einsetzen, um sie mühelos zu durchschreiten. Deshalb rückt rdsys von Captchas ab, und deshalb wird Moat zugunsten des Settings-Distributors ausgemustert, einer API, die Umgehungseinstellungen - einschließlich des passenden Bridge-Typs - automatisch anhand des Landes des Nutzers konfiguriert. Warum Knappheit der Punkt ist
Jede herausgegebene Bridge ist eine Bridge, die ein Zensor lernen könnte; die Verteilung ist deshalb bewusst rationiert statt veröffentlicht. Das rdsys-Backend gibt nur Ressourcen heraus, von denen bekannt ist, dass sie funktionieren: Der Dienst bridgestrap prüft die Pluggable Transports jeder Bridge und markiert sie als funktionsfähig oder defekt, ein separater Dienst misst die Bandbreite, und jede Tor-Bridge wird erneut getestet, sobald ihr Ablauf-Timer von achtzehn Stunden abgelaufen ist. Betreiber können den Zustand ihrer eigenen Bridge über eine öffentliche Statusseite per Fingerabdruck abfragen. Blockierte oder kaputte Bridges werden aus dem Verkehr gezogen, statt sie weiteren Nutzern in derselben Region zugeschoben zu bekommen, und ein Mechanismus wie Lox ist genau dafür gebaut, blockierte Bridges zu erkennen und frische an die Menschen zu verteilen, die sie noch brauchen. Ein offenes Forschungsproblem
Der zugrunde liegende Konflikt ist alt. In einer Studie von 2016 brachten die Forscher hinter dem TorBricks-Protokoll es auf den Punkt: Übliche Methoden der Bridge-Verteilung sind verwundbar gegenüber bösartigen Nutzern, die Bridge-Adressen erlangen und blockieren. Ihr Vorschlag rationierte ein logarithmisches Budget von Bridges pro adversarialem Nutzer, sodass selbst bei unbekannter Zahl zensorkontrollierter Anfragesteller ehrliche Nutzer nach wenigen Kommunikationsrunden eine funktionierende Bridge erhielten. Ein Jahrzehnt später ist das allgemeine Problem ungelöst; die Antwort von rdsys ist pragmatisch statt mathematisch: viele kleine Kanäle mit jeweils eigenen Heuristiken, damit kein einzelnes Scraping oder Fluten den Pool leert. Für die praktische Ergänzung zu diesem Artikel deckt unser Leitfaden zu Bridges in zensierten Regionen ab, wie man sie heute anfordert und einrichtet. Das Fazit
Die Bridge-Verteilung ist ein Balanceakt zwischen Erreichbarkeit und Knappheit. Zu frei veröffentlicht, sammeln Zensoren die Liste ein; zu streng abgesichert, kommen legitime Nutzer nicht hinein. Der Wechsel von BridgeDB zu rdsys hat diesen Kompromiss nicht beendet, aber das System so modular gemacht, dass immer wieder neue Kanäle erprobt werden können - von Telegram und Lox bis zu ortsabhängigen Standardeinstellungen -, während alte erodieren. Für zensierte Nutzer gilt unverändert: Ein paar Bridges anfordern, testen und bereit sein, weitere zu erbitten.
