Relay intermedi: il cavallo di battaglia della rete Tor
I relay di uscita fanno titoli e i guard dominano le analisi di sicurezza, ma in mezzo c'è un livello che riceve molta meno attenzione. I relay intermedi sono i relay senza uscita che trasportano il traffico di hop in hop senza connettersi mai alla rete aperta. La documentazione sui relay del Progetto Tor descrive la rete attuale come «piuttosto piccola rispetto al numero di persone che hanno bisogno di Tor» e sostiene che più relay significano più stabilità, più robustezza contro gli attacchi e più sicurezza per chi la usa. Ecco cosa trasporta davvero il livello intermedio, perché la salute della rete dipende da lui e cosa comporta gestirne uno.
Cosa trasporta un relay intermedio
Un circuito Tor standard ha tre hop: un guard, un intermedio e un'uscita. La posizione dell'intermedio è fissata da quel progetto — sta tra il guard, che conosce l'indirizzo del client, e l'uscita, che conosce la destinazione. L'intermedio non vede nessuna delle due estremità. Il traffico verso i servizi onion attraversa la rete in modo simile, con ulteriori relay che fanno da punti di introduzione e di rendez-vous, quindi anche quel flusso passa per il livello intermedio. La pagina del Progetto Tor sui tipi di relay è netta: «un relay senza uscita non consente di uscire nella sua exit policy» — fa solo da vettore del traffico tra altri relay. E un relay che non è abbastanza rapido e stabile da ottenere il flag di guard «rimarrà un relay intermedio».I relay guard e intermedi di solito non ricevono reclami per abusi.Quella frase, tratta dalla documentazione sui relay del Progetto Tor, è il motivo pratico per cui molti operatori scelgono questo livello. Poiché il relay non si connette mai a servizi esterni, non c'è traffico in uscita di cui qualcuno possa lamentarsi. La documentazione aggiunge una precisazione: tutti i relay figurano nell'elenco pubblico, quindi piattaforme come banche e servizi di streaming possono comunque bloccarne gli indirizzi. È un inconveniente di reputazione IP, non un reclamo per abusi.
Perché il livello intermedio conta per la salute della rete
Da lui dipendono due cose. La prima è la capacità. Tor Metrics tiene traccia del numero di relay attivi e pubblica grafici su larghezza di banda e flag dei relay, e il progetto a tre hop significa che ogni circuito usa un relay in posizione intermedia. Più intermedi distribuiscono quel carico su più macchine; quando il livello si assottiglia, i relay con flag di guard finiscono per fare anche servizio da intermedi, e l'insieme di percorsi distinti si restringe. La seconda è l'anonimato stesso. Tor mantiene stabile il punto d'ingresso del client assegnando relay guard che ruotano solo ogni poche settimane — il testo del Progetto Tor sul ciclo di vita di un nuovo relay descrive una rotazione dei guard da quattro a otto settimane, poi estesa a dodici. Quella stabilità difende dagli attacchi di tipo predecessore, in cui un avversario osserva entrambe le estremità delle connessioni e attende che gli hop osservati si sovrappongano. Un ampio livello intermedio aggiunge un hop imprevedibile tra guard e uscita, quindi un avversario che osserva un guard resta di fronte a un ampio campo di possibili intermedi prima che il traffico raggiunga un'uscita che controlla lui stesso.Gestirne uno è volutamente semplice
Il manuale di Tor copre tutto ciò che serve a un intermedio tra le opzioni del server, e l'elenco è breve:- Un ORPort — definito nel manuale come la porta che «ascolta le connessioni dai client e dai server Tor» —, più un nickname e un indirizzo di contatto funzionante.
- Nessuna exit policy da configurare — con l'uscita disattivata, il relay ignora del tutto le exit policy e non contatta mai destinazioni fuori dalla rete.
- Controlli di banda: BandwidthRate e BandwidthBurst limitano il traffico, e la documentazione di supporto del progetto segnala che esistono «opzioni di ibernazione con cui si dice a Tor di servire solo una certa quantità di banda per periodo», utili sulle connessioni con tetto di dati.
- Una voce MyFamily ogni volta che un operatore gestisce più relay. Il manuale è categorico: «Se gestisci più di un relay, l'opzione MyFamily di ciascun relay deve elencare tutti gli altri», così i client non mettono mai due di loro nello stesso circuito.