Middle Relays: das Arbeitstier im Tor-Netzwerk
Exit-Relays machen Schlagzeilen und Guard-Relays beschäftigen die Sicherheitsforschung, doch dazwischen liegt eine Ebene, die weit weniger Aufmerksamkeit erhält. Middle Relays sind die Non-Exit-Relays, die Traffic von Hop zu Hop weiterreichen, ohne selbst eine Verbindung zum offenen Internet aufzubauen. Die Relay-Dokumentation des Tor Project bezeichnet das heutige Netzwerk im Vergleich zur Zahl der Menschen, die Tor nutzen, als „recht klein“ und argumentiert, dass mehr Relays für bessere Stabilität, mehr Robustheit gegen Angriffe und mehr Sicherheit der Nutzer sorgen. Hier steht, was die mittlere Ebene tatsächlich trägt, warum die Netzgesundheit davon abhängt und was ihr Betrieb bedeutet.
Was ein Middle Relay transportiert
Ein Standard-Circuit in Tor besteht aus drei Hops: einem Guard, einem Middle und einem Exit. Die Position des Middle ist durch dieses Design festgelegt — er sitzt zwischen dem Guard, der die Adresse des Clients kennt, und dem Exit, der das Ziel kennt. Der Middle sieht keins von beiden. Traffic zu Onion-Services durchläuft das Netz auf ähnliche Weise, mit weiteren Relays als Introduction- und Rendezvous-Punkten; auch dieser Fluss läuft also über die mittlere Ebene. Die Übersicht der Relay-Typen des Tor Project stellt klar: „Ein Non-Exit-Relay erlaubt das Verlassen des Netzes in seiner Exit-Policy nicht“ — es leitet Traffic lediglich zwischen anderen Relays weiter. Und ein Relay, das nicht schnell und stabil genug ist, um das Guard-Flag zu bekommen, „bleibt ein Middle Relay“.Guard- und Middle-Relays erhalten in der Regel keine Abuse-Beschwerden.Dieser Satz aus der Relay-Dokumentation des Tor Project ist der praktische Grund, warum viele Betreiber diese Ebene wählen. Weil das Relay nie Verbindungen zu externen Diensten aufbaut, gibt es keinen Exit-Traffic, über den sich jemand beschweren könnte. Die Dokumentation nennt eine Einschränkung: Alle Relays stehen im öffentlichen Verzeichnis, sodass Dienste wie Banken und Streaming-Plattformen Relay-Adressen trotzdem blockieren können. Das ist eine lästige IP-Reputationsfrage, keine Abuse-Beschwerde.
Warum die mittlere Ebene für die Netzgesundheit zählt
Davon hängen zwei Dinge ab. Das erste ist Kapazität. Tor Metrics erfasst die Zahl der laufenden Relays und veröffentlicht Graphen zu Bandbreite und Relay-Flags, und das Drei-Hop-Design bedeutet, dass jeder Circuit ein Relay in der mittleren Position nutzt. Mehr Middles verteilen diese Last auf mehr Maschinen; dünnt die Ebene aus, übernehmen auch Relays mit Guard-Flag den Middle-Dienst — und der Pool unterschiedlicher Pfade schrumpft. Das zweite ist Anonymität selbst. Tor hält den Einstiegspunkt eines Clients stabil, indem es Guard-Relays zuweist, die nur alle paar Wochen rotieren — der Text des Tor Project zum Lebenszyklus eines neuen Relays nennt eine Guard-Rotation von vier bis acht Wochen, später auf zwölf verlängert. Diese Stabilität schützt vor Predecessor-Angriffen, bei denen ein Angreifer beide Enden von Verbindungen beobachtet und darauf wartet, dass sich die beobachteten Hops überschneiden. Eine große mittlere Ebene fügt zwischen Guard und Exit einen schwer vorhersagbaren Hop ein, sodass ein Angreifer, der einen Guard beobachtet, vor einem weiten Feld möglicher Middle-Relays steht, bis der Traffic bei einem Exit landet, den er ebenfalls kontrolliert.Der Betrieb ist bewusst einfach gehalten
Das Tor-Handbuch behandelt alles, was ein Middle braucht, in seinen Server-Optionen, und die Liste ist kurz:- Einen ORPort — im Handbuch als der Port definiert, der „für Verbindungen von Tor-Clients und -Servern lauscht“ —, dazu einen Nickname und eine funktionierende Kontaktadresse.
- Keine Exit-Policy zum Konfigurieren — mit deaktiviertem Exit ignoriert das Relay Exit-Policies vollständig und spricht nie Ziele außerhalb des Netzes an.
- Bandbreitensteuerung: BandwidthRate und BandwidthBurst begrenzen den Durchsatz, und die Support-Dokumentation des Projekts verweist auf „Hibernation-Optionen, mit denen man Tor anweisen kann, nur eine bestimmte Bandbreitenmenge pro Zeitraum bereitzustellen“ — praktisch bei Volumenlimits.
- Einen MyFamily-Eintrag, sobald ein Betreiber mehrere Relays betreibt. Das Handbuch ist deutlich: „Wenn du mehr als ein Relay betreibst, muss die MyFamily-Option jedes Relays alle anderen Relays auflisten“, damit Clients nie zwei davon in denselben Circuit setzen.