Come vengono distribuiti i bridge Tor: BridgeDB, rdsys, Moat e la logica della scarsità
Un bridge è un relay di Tor non pubblicato: non compare nella lista pubblica dei relay, quindi un censore deve scovarlo prima di poterlo bloccare. Questa proprietà vale solo finché il bridge resta difficile da ottenere, e questo rende lo stesso sistema di distribuzione parte della resistenza alla censura di Tor. Nell'ottobre 2024 il Tor Project ha ritirato BridgeDB, il sistema che distribuisce bridge da oltre un decennio, e ha completato la migrazione a rdsys, il suo sistema di distribuzione di nuova generazione. Il modo in cui questi sistemi decidono chi riceve quale bridge spiega molto su perché i bridge funzionano ancora nelle reti fortemente censurate.
Da BridgeDB a rdsys
BridgeDB fu rilasciato più di undici anni fa come prototipo e continuò a funzionare ben oltre la vita prevista. Secondo gli ingegneri che hanno curato la migrazione, offriva richieste via web, richieste via e-mail e un'API del browser Tor chiamata Moat, e tutti e tre i canali sono finiti sotto pressione: i censori estraevano dati dai siti di richiesta dei bridge, intasavano il sistema di posta per raccogliere indirizzi e aggiravano i captcha ricorrendo a servizi umani di risoluzione di CAPTCHA. Anni di toppe contro queste tattiche sono diventati debito tecnico, per cui il progetto ha iniziato verso il 2020 a sviluppare un sostituto: rdsys. rdsys, abbreviazione di resource distribution system, è deliberatamente più ampio del suo predecessore. Distribuisce risorse di ogni tipo per aggirare la censura: bridge Tor, proxy Snowflake, endpoint VPN, persino link per scaricare software di aggiramento. Sul piano dell'architettura è un processo backend che raccoglie le risorse e diversi processi distributori che le consegnano. Il backend tiene l'inventario e assegna ogni risorsa a esattamente un distributore; il compito del distributore, come dice la documentazione di rdsys, è distribuire le risorse con criterio, offrire un'interfaccia usabile e contrastare gli attacchi Sybil. I canali di distribuzione
La documentazione di supporto del Tor Project riassume la premessa senza giri di parole: "Poiché gli indirizzi dei bridge non sono pubblici, dovrai richiederli tu stesso." Oggi esistono diversi canali paralleli, ognuno con il proprio controllo d'accesso. - Moat è integrato nel browser Tor: l'utente clicca su "Richiedi bridge" nelle impostazioni di connessione, risolve un captcha e i bridge vengono aggiunti automaticamente.
- Il distributore HTTPS gestisce il sito dei bridge, che offre un'opzione con un clic ("Just give me bridges!") accanto a scelte avanzate come il tipo di trasporto o gli indirizzi IPv6.
- Il distributore e-mail risponde ai messaggi inviati a bridges@torproject.org da un indirizzo Gmail o Riseup, con "get transport obfs4" nel corpo del messaggio.
- Il distributore Telegram consegna bridge tramite il @GetBridgesBot, con comandi come /obfs4 o /webtunnel. Per distinguere gli utenti reali dagli account creati in massa, pondera lo storico dell'account, separando i vecchi dagli appena registrati; il Tor Project lo descrive come una risposta alla crescente censura in Russia.
- Lox, ancora in fase di sviluppo, è un meccanismo che preserva la privacy e si basa sulla reputazione: rileva i bridge bloccati e premia gli utenti i cui bridge restano sbloccati.
Esistono anche due non-canali che vale la pena conoscere. Un pool riservato (Reserved) è messo da parte per la distribuzione manuale a ONG e persone con esigenze particolari, e i bridge contrassegnati come None sono lasciati ai loro operatori, che li distribuiscono per conto proprio. Un bridge appena registrato mostra None per circa un giorno prima di entrare nel pool assegnatogli. Moat e il compromesso del captcha
Moat merita uno sguardo più da vicino perché è la strada che la maggior parte dei nuovi utenti incontra per prima. Il captcha era il modo del sistema di dimostrare che una richiesta veniva da un essere umano e non dal crawler di un censore, e risolverne uno resta il flusso documentato all'interno del browser Tor. Ma la valutazione dello stesso Tor Project è che i captcha sono diventati un cattivo affare: sono frustrantemente inaccessibili per chi usa screen reader o dispositivi datati, talvolta impossibili per le barriere linguistiche, e sempre meno efficaci, perché i censori impiegano strumenti automatizzati o servizi di risoluzione umana che li attraversano senza fatica. Ecco perché rdsys sta abbandonando i captcha, e perché Moat viene dismesso in favore del distributore Settings, un'API che configura automaticamente le impostazioni di aggiramento, incluso il tipo di bridge da provare, in base al paese dell'utente. Perché la scarsità è il punto
Ogni bridge consegnato è un bridge che un censore potrebbe imparare, così la distribuzione è deliberatamente razionata invece che pubblicata. Il backend di rdsys consegna solo risorse che si sa funzionare: il servizio bridgestrap testa i trasporti collegabili di ciascun bridge e li contrassegna come funzionali o difettosi, un servizio separato misura la banda, e ogni bridge Tor viene ritestato quando scade il suo timer di diciotto ore. Gli operatori possono consultare lo stato del proprio bridge tramite una pagina di stato pubblica, per fingerprint. I bridge bloccati o guasti vengono ritirati dalla circolazione invece di essere spinti verso altri utenti nella stessa regione, e un meccanismo come Lox è costruito proprio per rilevare i bridge bloccati e instradare bridge nuovi verso chi ne ha ancora bisogno. Un problema di ricerca aperto
La tensione di fondo è antica. In un articolo del 2016, i ricercatori dietro il protocollo TorBricks l'hanno detto senza giri di parole: gli attuali metodi di distribuzione dei bridge sono vulnerabili agli utenti malintenzionati che ottengono indirizzi di bridge per bloccarli. La loro proposta razionava un budget logaritmico di bridge per utente avversario, così che, anche con un numero sconosciuto di richiedenti controllati dal censore, gli utenti onesti riuscissero a ottenere un bridge funzionante dopo poche tornate di comunicazione. A un decennio di distanza, il problema generale resta irrisolto; la risposta di rdsys è pragmatica più che matematica: molti canali piccoli, ciascuno con euristiche diverse, cosicché nessun singolo scraping o flood prosciughi la riserva. Per la controparte pratica di questo articolo, la nostra guida sui bridge nelle regioni censurate copre come richiederli e configurarli oggi. La conclusione
La distribuzione dei bridge è un atto di equilibrio tra raggiungibilità e scarsità. Pubblicare troppo liberamente permette ai censori di raccogliere la lista; filtrare troppo rigidamente lascia fuori gli utenti legittimi. Il passaggio da BridgeDB a rdsys non ha chiuso questo compromesso, ma ha reso il sistema abbastanza modulare da continuare a sperimentare nuovi canali, da Telegram e Lox alle impostazioni predefinite in base alla posizione, man mano che i vecchi si erodono. Per gli utenti sotto censura, il consiglio non è cambiato: richiedete alcuni bridge, testateli e siate pronti a chiederne altri.
