Bandwidth authority spiegate: i nove seggi che firmano il consenso di Tor
Ogni ora la rete Tor riscrive in silenzio la propria rubrica. Al centro di quel rituale c'è il consenso, che il glossario di Tor Metrics descrive come un documento unico compilato e votato dalle directory authority una volta all'ora, perché tutti i client abbiano le stesse informazioni sui relay che compongono la rete. Elenca i relay ritenuti attivi, assegna flag come Guard o Exit e fissa un peso di consenso che determina quanto traffico riceve ciascun relay. A produrlo è un comitato abbastanza piccolo da stare attorno a un unico tavolo.
Un comitato volutamente ristretto
L'elenco attuale è abbastanza corto da poter essere citato per intero: moria1, tor26, dizum, gabelmoo, dannenberg, maatuska, longclaw, bastet e faravahar. Sono questi i nove nomi che il servizio consensus-health di Tor segue in ogni turno di voto, annotando quali authority hanno partecipato. I ricercatori che hanno analizzato il consenso per l'ACM Internet Measurement Conference riassumono l'assetto senza giri di parole: nove directory authority, "ciascuna gestita da un'organizzazione o da un individuo fidato diverso". La composizione è pensata per essere noiosa. I seggi cambiano raramente, e chi ne occupa uno deve mantenere un server ben protetto per anni, non mesi. Formalmente, ogni authority è un relay speciale che tiene l'elenco dei relay attivi e pubblica periodicamente un consenso insieme alle altre, secondo la formulazione del glossario della comunità Tor. Il progetto è conservatore di proposito. Secondo la specifica del protocollo di directory, le authority conservano offline chiavi di identità di lungo termine che certificano le chiavi di firma quotidiane: impossessarsi di una chiave ordinaria non significa impossessiarsi del seggio. La specifica ricorda anche perché esiste il voto collettivo: nel precedente disegno di directory di Tor, una singola authority che mentisse "poteva far credere ai client, per un certo tempo, una visione arbitrariamente distorta" della rete. Esigere che più authority concordassero su un unico documento è stata la correzione.Chi gestisce davvero i seggi
Nulla di tutto questo è infrastruttura anonima. moria1, una delle authority più longeve, è gestita da Roger Dingledine, cofondatore del Tor Project. tor26 è di Peter Palfrader, dannenberg del Chaos Computer Club e.V. tedesco e gabelmoo di F3 Netze e.V., altra associazione no-profit tedesca; i seggi restanti sono di operatori individuali e piccole organizzazioni con una lunga storia nel progetto. OrNetStats, progetto indipendente di monitoraggio della diversità dei relay, pubblica gli operatori delle bandwidth authority con i loro contatti dichiarati, e fa di questo angolo della rete uno dei più facili da verificare dall'esterno.Dallo scanner al peso di consenso
Il consenso non si limita a elencare i relay: li pesa. La documentazione delle metriche di Tor definisce il peso di consenso di un relay come un valore basato sulla banda che il relay dichiara e su quella che le directory authority misurano. La misura spetta a sistemi dedicati, noti come bandwidth scanner o bandwidth authority: si collegano alla rete come normali client, cronometrano trasferimenti reali attraverso ciascun relay e pubblicano i risultati in un file di banda. Secondo la specifica del file di banda, le authority leggono quel file e ne usano i valori per scalare i pesi che assegnano nei propri voti. Quando più scanner hanno misurato lo stesso relay, il peso di consenso viene dalla mediana delle misurazioni: così uno scanner difettoso o di parte non può da solo dettare la quota di un relay nella rete.Fiducia concentrata, di proposito
Un comitato di nove sembra un single point of failure, e il progetto Tor non ha mai finto il contrario. L'argomento per la concentrazione: un piccolo insieme di operatori professionisti, pubblicamente noto, è più facile da difendere — e più difficile da infiltrare in silenzio — di un insieme grande e anonimo. Il rischio è il riflesso speculare: un avversario che compromettesse la maggioranza delle authority potrebbe, per una finestra di poche ore, dare ai client una visione distorta della rete, ad esempio gonfiando i pesi dei relay che controlla. È per questo che gli indirizzi delle authority sono incisi nel codice di Tor Browser, e per questo il progetto tratta la loro integrità come qualcosa che il pubblico può verificare da sé."Gli IP delle directory authority sono hardcoded nel tarball di TBB, che gli utenti Tor (quelli avveduti) verificano con la firma separata contro la chiave di firma." — il blog del Tor Project