Bandwidth authorities uitgelegd: de negen zetels die Tors consensus ondertekenen
Elk uur herschrijft het Tor-netwerk stilletjes zijn adresboek. In het middelpunt van dat ritueel staat de consensus, die het glossarium van Tor Metrics omschrijft als een enkel document dat eenmaal per uur wordt samengesteld en door de directory authorities wordt gestemd, zodat alle clients dezelfde informatie hebben over de relays waaruit het netwerk bestaat. Het somt de relays op waarvan men aanneemt dat ze draaien, kent flags toe zoals Guard of Exit en stelt een consensus weight vast die bepaalt hoeveel verkeer elke relay krijgt. Het maken ervan is het werk van een comité dat klein genoeg is om rond één tafel te passen.
Bewust klein comité
De huidige lijst is kort genoeg om volledig te noemen: moria1, tor26, dizum, gabelmoo, dannenberg, maatuska, longclaw, bastet en faravahar. Deze negen namen zijn degenen die Tors consensus-health-dienst in elke stemronde volgt, met notitie van welke authorities meededen. Onderzoekers die de consensus analyseerden voor de ACM Internet Measurement Conference vatten de regeling kernachtig samen: negen directory authorities, "elk gerund door een andere vertrouwde organisatie of persoon". Het ledenschap moet saai zijn. Zetels wisselen zelden, en wie er een bezit wordt geacht jarenlang — niet maandenlang — een goed beveiligde server te draaien. Formeel is elke authority een speciale relay die een lijst bijhoudt van de momenteel draaiende relays en periodiek samen met de anderen een consensus publiceert, in de woorden van het glossarium van de Tor-gemeenschap. Het ontwerp is met opzet conservatief. Volgens de specificatie van het directoryprotocol houden authorities langetermijn-identiteitssleutels offline die de alledaagse signing-sleutels certificeren: wie een gewone sleutel buitmaakt, buitmaakt daarmee niet de zetel. De specificatie herinnert er ook aan waarom collectieve stemming bestaat: onder Tors oudere directoryontwerp kon één leugenachtige authority clients "geruime tijd een willekeurig vertekend beeld" van het netwerk laten geloven. Dat meerdere authorities één document moesten onderschrijven was de correctie.Wie de zetels werkelijk beheert
Niets hiervan is anonieme infrastructuur. moria1, een van de langst dienende authorities, wordt beheerd door Roger Dingledine, medeoprichter van het Tor Project. tor26 draait onder Peter Palfrader, dannenberg onder de Duitse Chaos Computer Club e.V. en gabelmoo onder F3 Netze e.V., nog een Duitse nonprofitvereniging; de overige zetels zijn in handen van individuele beheerders en kleine organisaties met een lange geschiedenis in het project. OrNetStats, een onafhankelijk monitoringsproject voor relay-diversiteit, publiceert de beheerders van de bandwidth authorities met hun opgegeven contactgegevens, waardoor deze hoek van het netwerk buitengewoon goed van buitenaf te controleren is.Van scanner naar consensus weight
De consensus somt relays niet alleen op; hij weegt ze. De metricsdocumentatie van Tor definieert de consensus weight van een relay als een waarde gebaseerd op de bandbreedte die de relay zelf rapporteert en op de bandbreedte die directory authorities meten. Het meten is het werk van speciale systemen, bekend als bandbreedtescanners of bandwidth authorities: ze verbinden zich als gewone clients met het netwerk, stoppen echte overdrachten via elke relay en publiceren de resultaten in een bandwidthbestand. Volgens de specificatie van het bandwidthbestand lezen de authorities dat bestand en gebruiken ze de waarden om de gewichten in hun stemmen te schalen. Wanneer meerdere scanners dezelfde relay hebben gemeten, volgt de consensus weight uit de mediaan van de metingen — één defecte of vooringenomen scanner kan zo niet alleen het netwerkaandeel van een relay bepalen.Gebundeld vertrouwen, met opzet
Een comité van negen lijkt een single point of failure, en het Tor-project heeft nooit anders beweerd. Het pleidooi voor concentratie: een kleine, publiek bekende groep professionele beheerders is makkelijker te verdedigen — en moeilijker geruisloos te infiltreren — dan een grote anonieme. Het risico is de spiegel: een tegenstander die een meerderheid van de authorities compromitteert, zou clients enkele uren lang een vertekend netwerkbeeld kunnen voeren, bijvoorbeeld door de gewichten van eigen relays op te blazen. Precies daarom zijn de netwerkadressen van de authorities ingebakken in Tor Browser, en precies daarom behandelt het project hun integriteit als iets dat het publiek zelf kan controleren."De IPs van de directory authorities zitten hardgecodeerd in de TBB-tarball, die (verstandige) Tor-gebruikers voor het starten verifiëren met de losse handtekening tegen de signing key." — de blog van het Tor Project