Famiglie di relay dichiarate: perché Tor evita circuiti con più relay dello stesso operatore
Per gran parte della sua storia, gestire più di un relay Tor è venuto con un piccolo compito amministrativo: una riga MyFamily in ogni torrc, con le impronte di tutti gli altri relay sotto lo stesso operatore. Quel meccanismo ha ormai lasciato la rete, e gli operatori con più relay dichiarano le proprie famiglie con un successore basato su chiavi. Il motivo per cui l'opzione esisteva non è cambiato, e vale la pena ricordarlo a chi oggi aggiunge un secondo relay.
A cosa serve una dichiarazione di famiglia
Una famiglia di relay è un insieme di relay sotto un unico controllo amministrativo: una persona, un'organizzazione o un host che esegue più istanze di tor. La dichiarazione esiste per la costruzione dei percorsi. I client di Tor cercano di non piazzare due membri della stessa famiglia nello stesso circuito, perché un circuito la cui entrata e uscita rispondono alla stessa parte è esattamente lo scenario di un attacco di correlazione end-to-end: l'entrata vede il client, l'uscita vede la destinazione, e un solo operatore che possiede entrambe le viste può incrociarle.Quando due relay dichiarano di appartenere alla stessa 'famiglia', i client di Tor non li useranno nello stesso circuito.La documentazione della community descrive l'opzione successore allo stesso modo: la FamilyID, dice il testo, dice semplicemente ai client di Tor quali relay sono controllati da una singola entità, operatore o organizzazione, così che relay dello stesso operatore non vengano usati in più posizioni dello stesso circuito. Senza quel segnale, la scelta del percorso tratta relay imparentati come sconosciuti.
Quando gli operatori dimenticano di dichiarare
Il vecchio disegno dipendeva interamente dal fatto che gli operatori tenessero la contabilità su ogni relay e la tenessero sincronizzata. Un gruppo che condivide l'operatore ma non dichiara nulla è invisibile alla scelta del percorso: la rete conta i suoi relay come partecipanti indipendenti. Questo distorce le statistiche di diversità usate per descrivere la rete e riduce la protezione che i client ottengono davvero, perché la regola lato client si ferma esattamente al confine di ciò che è dichiarato. Il progetto OrNetStats, del ricercatore di relay di lunga data nusenu, lo segue da anni. Aggrega i relay in famiglie effettive - relay con un'impostazione MyFamily configurata reciprocamente - e tra le sue domande di fondo ci sono quali gruppi di relay abbiano possibili configurazioni errate di MyFamily e quali rappresentino per gli utenti di Tor un rischio di correlazione end-to-end. Il suo rapporto dedicato elenca operatori solo se la combinazione è realistica: probabilità di guard e di exit sopra lo zero, famiglia non configurata a dovere e relay sparsi su più di un blocco di rete /16 - ossia gruppi che potrebbero davvero tenere entrambe le estremità di un circuito. Una volta configurata correttamente la famiglia, nota il rapporto, i relay scompaiono dalla pagina nel giro di un giorno o due. Le informazioni di contatto fanno parte della stessa storia. La ContactInfo è una stringa non autenticata, e OrNetStats fa notare che questo ha permesso di impersonare altri operatori di relay, qualcosa che, secondo il progetto, è già stato sfruttato sul campo. Per questo mostra, dove disponibili, identificatori autenticati di operatore (AROI), che legano i dati di contatto a un controllo DNS o di server web che l'operatore deve davvero possedere.Da MyFamily a Happy Families
Il vecchio meccanismo, inoltre, scalava male. Ogni relay doveva elencare tutti gli altri membri, e ogni modifica richiedeva di aggiornare la configurazione di tutti. La proposta 321, scritta da Nick Mathewson a maggio 2020, ha messo un numero sul costo: secondo la sua misurazione di febbraio 2025, le dichiarazioni di famiglia superavano il 55 per cento del contenuto dei microdescrittori, e aggiungere o togliere un server imponeva di cambiare il torrc di tutti gli altri. Un appello di novembre 2021 per un modo più semplice di dichiarare le famiglie ha raccolto risposte dagli operatori, nusenu incluso, e il disegno risultante conserva la proprietà di sicurezza cambiando la meccanica: l'operatore genera una volta sola una chiave di firma di famiglia, la consegna a ogni relay della famiglia e imposta l'opzione FamilyId. L'appartenenza è provata da certificati nei descrittori, e le authority di directory pubblicano righe family-ids compatte invece di liste di impronte quadratiche. La guida della community chiama questo disegno Happy Families; è implementato nella serie Tor 0.4.9 e in Arti 1.4.1. La transizione si è chiusa nel 2026. La serie 0.4.8 - l'ultima a richiedere MyFamily accanto al nuovo meccanismo - ha raggiunto la fine della vita il 1 giugno, e il 1 settembre è stato fissato come data a partire dalla quale i client 0.4.8 e precedenti non sarebbero più stati mantenuti funzionanti in rete, con le vecchie righe di famiglia rese obsolete per risparmiare banda di directory. Il portale della community afferma ormai chiaramente che MyFamily è stato rimosso e indirizza gli operatori multi-relay verso FamilyID e una ContactInfo valida. Gli strumenti hanno seguito: il ruolo ansible-relayor ha tolto il supporto a MyFamily nella versione di giugno 2026, notando che tutte le versioni di tor supportate parlano il nuovo disegno.Indicazioni pratiche per chi gestisce più relay
- Eseguite una versione di tor supportata su ogni relay; la rete non trasporta più le vecchie righe di famiglia.
- Generate una chiave di famiglia con tor --keygen-family, copiate il file della chiave nel KeyDir di ogni relay, aggiungete una riga FamilyId al torrc e ricaricate.
- Ruotate le chiavi a fasi: distribuite la nuova FamilyId accanto alla vecchia, aspettate qualche giorno la propagazione, poi togliete la riga vecchia.
- Impostate una ContactInfo funzionante - sempre richiesta a chi gestisce più relay - e valutate di pubblicare un AROI perché l'identità di operatore non possa essere falsificata.
- Controllate come vi vede la rete: le pagine di famiglia di OrNetStats e il rapporto di correlazione end-to-end mostrano se i vostri relay sono raggruppati correttamente.