Autoridades de ancho de banda explicadas: los nueve asientos que firman el consenso de Tor
Cada hora, la red Tor reescribe en silencio su libreta de direcciones. En el centro de ese ritual está el consenso, que el glosario de Tor Metrics describe como un único documento compilado y votado por las autoridades de directorio una vez por hora, para que todos los clientes tengan la misma información sobre los relés que forman la red. Enumera los relés que se cree activos, asigna flags como Guard o Exit y fija un peso de consenso que determina cuánto tráfico recibe cada relé. Producirlo es tarea de un comité lo bastante pequeño para caber en una sola mesa.
Un comité deliberadamente pequeño
La lista actual es lo bastante corta para enumerarla por completo: moria1, tor26, dizum, gabelmoo, dannenberg, maatuska, longclaw, bastet y faravahar. Esos nueve nombres son los que el servicio de consensus-health de Tor rastrea en cada ronda de votación, anotando qué autoridades participaron. Investigadores que analizaron el consenso para la ACM Internet Measurement Conference lo resumieron sin rodeos: nueve autoridades de directorio, "cada una gestionada por una organización o persona de confianza distinta". La membresía está pensada para ser aburrida. Los asientos cambian rara vez, y quien ocupa uno se supone que mantendrá un servidor bien asegurado durante años, no meses. Formalmente, cada autoridad es un relé especial que mantiene una lista de los relés activos y publica periódicamente un consenso junto con las demás, en palabras del glosario de la comunidad Tor. El diseño es conservador a propósito. Según la especificación del protocolo de directorio, las autoridades conservan fuera de línea claves de identidad de largo plazo que certifican las claves de firma de uso diario, de modo que capturar una clave rutinaria no captura el asiento. La especificación también recuerda por qué existe la votación colectiva: bajo el anterior diseño de directorio de Tor, una sola autoridad que mintiera "podía hacer creer a los clientes durante un tiempo una visión arbitrariamente distorsionada" de la red. Exigir que varias autoridades acordaran un mismo documento fue la corrección.Quién opera realmente los asientos
Nada de esto es infraestructura anónima. moria1, una de las autoridades más longevas, la opera Roger Dingledine, cofundador del Proyecto Tor. tor26 corre a cargo de Peter Palfrader, dannenberg del Chaos Computer Club e.V. en Alemania y gabelmoo de F3 Netze e.V., otra asociación sin ánimo de lucro alemana; los asientos restantes están en manos de operadores individuales y pequeñas organizaciones con larga historia en el proyecto. OrNetStats, un proyecto independiente de monitoreo de diversidad de relés, publica los operadores de las autoridades de ancho de banda junto con sus datos de contacto declarados, lo que convierte este rincón de la red en uno de los más fáciles de auditar desde fuera.Del escáner al peso de consenso
El consenso no solo enumera relés; los pondera. La documentación de métricas de Tor define el peso de consenso de un relé como un valor basado en el ancho de banda que el relé informa y el que miden las autoridades de directorio. La medición corre a cargo de sistemas dedicados conocidos como escáneres de ancho de banda o autoridades de ancho de banda: se conectan a la red como clientes comunes, miden transferencias reales a través de cada relé y publican los resultados en un archivo de ancho de banda. Según la especificación del archivo de ancho de banda, las autoridades leen ese archivo y usan sus valores para escalar los pesos que asignan en sus votos. Cuando varios escáneres han medido el mismo relé, el peso de consenso se obtiene de la mediana de las mediciones, de modo que un escáner defectuoso o sesgado no puede dictar por sí solo la cuota de un relé en la red.Confianza concentrada, a propósito
Un comité de nueve parece un punto único de fallo, y el proyecto Tor nunca ha fingido lo contrario. El argumento a favor de la concentración es que un conjunto pequeño, públicamente conocido y de operadores profesionales es más fácil de defender —y más difícil de infiltrar silenciosamente— que uno grande y anónimo. El riesgo es su reflejo: un adversario que comprometiera a la mayoría de las autoridades podría, durante una ventana de unas horas, dar a los clientes una visión distorsionada de la red, por ejemplo inflando los pesos de los relés que controla. Por eso las direcciones de red de las autoridades viajan grabadas dentro de Tor Browser, y por eso el proyecto trata su integridad como algo que el público puede verificar por sí mismo."Las IPs de las autoridades de directorio van incrustadas en el tarball de TBB, que los usuarios de Tor (los prudentes) verifican con la firma separada contra la clave de firma." — el blog del Proyecto Tor