Qui décide ce qu'est le réseau Tor : le consensus, les autorités d'annuaire et la séparation des bridges
Chaque connexion Tor commence par un acte d'accord. Avant que le navigateur ne construise son premier circuit, il lui faut une réponse à jour à une question en apparence simple : quels relais existent, et lesquels méritent confiance à cet instant ? Rien dans le réseau Tor n'est décidé par un serveur unique. C'est un petit groupe fixe de machines appelées autorités d'annuaire qui tranche cette question ensemble, selon un calendrier et au grand jour.
Un document, un réseau
Le document qu'elles produisent est le consensus : dans le glossaire du Tor Project, un document unique compilé et voté par les autorités d'annuaire une fois par heure. Chaque consensus liste les relais connus sous forme d'entrées d'état de routeur avec surnom, matériel de clés et adresses, et annote chaque entrée de marqueurs et de poids de bande passante. Le format, y compris le vocabulaire complet des marqueurs, est documenté dans la spécification d'annuaire. Les clients n'apprennent jamais ces informations du réseau dans son ensemble. Les adresses et les clés d'identité à long terme des autorités sont inscrites dans le code source de Tor lui-même, et la spécification demande à chaque autorité de garder sa clé d'identité hors ligne, pour ne certifier que des clés de signature à durée plus courte. La racine de confiance du réseau est volontairement petite, vérifiable et lente à changer.Le vote horaire, étape par étape
La mécanique est décrite dans la chronologie de vote de la spécification. Chaque autorité publie périodiquement son vote : l'état du réseau tel qu'elle le croit vrai. Une fenêtre de durée limitée recueille les votes de toutes les autorités, puis une seconde fenêtre recueille les signatures du document qui en résulte ; la spécification exige que chacune de ces fenêtres dure au moins vingt secondes. Le consensus fini porte trois horodatages dans un ordre fixe : valid-after, fresh-until et valid-until, la durée de vie totale devant valoir au moins le double de la période de fraîcheur. Au moins trois consensus doivent être valides à tout instant. Les caches d'annuaire téléchargent chaque nouveau document entre valid-after et fresh-until, les clients ordinaires le récupèrent dans la fenêtre plus longue qui suit, et tout consensus ayant plus d'un jour de retard sur son expiration est entièrement abandonné."Chaque heure, ces autorités d'annuaire exploitées par des bénévoles votent et parviennent à un consensus sur les relais qui composent le réseau Tor."Cette phrase vient de l'article de novembre 2017 du Tor Project qui présentait Bastet, une nouvelle autorité ajoutée pour accroître ce que le projet appelait la diversité et la stabilité du système des autorités d'annuaire. Elle est aussi, discrètement, la description de tout l'édifice : les autorités sont exploitées par des bénévoles, elles votent, et leur accord transforme des milliers de relais individuels en un seul réseau.
Marqueurs, bande passante et microdescripteurs
Ce sur quoi les autorités votent dépasse la simple existence. Un relais peut porter des marqueurs comme Authority, Exit, Fast, Guard, Running, Stable ou V2Dir, chacun affirmant une propriété testée, et chaque vote enregistre la bande passante mesurée du relais, dont le consensus tire les poids que les clients utilisent pour choisir leurs chemins. Les clients modernes récupèrent surtout la variante à microdescripteurs du consensus, qui associe les lignes d'état votées aux empreintes des petits morceaux de descripteur dont les clients ont besoin, plutôt que des descripteurs de serveur complets.- Guard marque un relais comme apte à la position d'entrée d'un circuit.
- Exit marque un relais comme disposé à porter du trafic vers le reste d'internet sur des ports courants.
- Stable marque un relais comme adapté aux connexions de longue durée.
- HSDir admet un relais dans l'anneau qui stocke les introductions des services onion.
- V2Dir marque un relais comme capable de servir des documents d'annuaire.