Hoe Tor-bridges worden verdeeld: BridgeDB, rdsys, Moat en de logica van schaarste
Een bridge is een niet-gepubliceerde Tor-relay: hij staat niet in de openbare relaylijst, dus een censor moet hem eerst vinden voordat hij hem kan blokkeren. Die eigenschap geldt alleen zolang de bridge moeilijk te verkrijgen is, en daarmee is het distributiesysteem zelf deel van Tors weerstand tegen censuur. In oktober 2024 nam het Tor Project BridgeDB uit bedrijf, het systeem dat ruim een decennium lang bridges had uitgedeeld, en rondde de migratie af naar rdsys, zijn distributiesysteem van de nieuwe generatie. Hoe deze systemen beslissen wie welke bridge krijgt, verklaart veel over waarom bridges in zwaar gecensureerde netwerken nog steeds werken.
Van BridgeDB naar rdsys
BridgeDB werd ruim elf jaar geleden als prototype uitgebracht en bleef veel langer draaien dan de beoogde levensduur. Volgens de ingenieurs achter de migratie bood het webaanvragen, e-mailaanvragen en een Tor Browser-API genaamd Moat, en alle drie de kanalen kwamen onder druk: censors schraapten bridge-aanvraagsites, overspoelden het mailsysteem om adressen te oogsten en omzeilden captchas met menselijke captcha-oplossingsdiensten. Jaren van lapjes tegen die tactieken werden technische schuld, dus begon het project rond 2020 een vervanger te ontwikkelen: rdsys. rdsys, kort voor resource distribution system, is bewust breder dan zijn voorganger. Het verdeelt allerlei middelen om censuur te omzeilen: Tor-bridges, Snowflake-proxy's, VPN-eindpunten, zelfs downloadlinks voor omzeilingssoftware. Qua architectuur is het één backendproces dat bronnen verzamelt plus verschillende distributieprocessen die ze uitdelen. Het backend beheert de voorraad en koppelt elke bron aan precies één distributeur; de taak van de distributeur, zo zegt de rdsys-documentatie, is bronnen slim uitdelen, een bruikbare interface bieden en Sybil-aanvallen dwarsbomen. De distributiekanalen
De ondersteuningsdocumentatie van het Tor Project brengt de premisse bot onder woorden: "Omdat bridge-adressen niet openbaar zijn, moet je ze zelf aanvragen." Vandaag zijn er verschillende parallelle kanalen, elk met een eigen toegangscontrole. - Moat is ingebouwd in Tor Browser: gebruikers klikken op "Bridges aanvragen" in de verbindingsinstellingen, lossen een captcha op en de bridges worden automatisch toegevoegd.
- De HTTPS-distributeur beheert de bruggenwebsite, die een optie met één klik ("Just give me bridges!") biedt naast geavanceerde keuzes zoals transporttype of IPv6-adressen.
- De e-maildistributeur antwoordt op berichten aan bridges@torproject.org, verzonden vanaf een Gmail- of Riseup-adres, met "get transport obfs4" in de berichttekst.
- De Telegram-distributeur levert bridges via de @GetBridgesBot, met opdrachten als /obfs4 of /webtunnel. Om echte gebruikers te onderscheiden van massaal aangemaakte accounts weegt hij de accountgeschiedenis en scheidt hij oude accounts van vers geregistreerde; het Tor Project beschrijft dit als een reactie op toenemende censuur in Rusland.
- Lox, nog in ontwikkeling, is een privacybeschermend, op reputatie gebaseerd mechanisme: het detecteert geblokkeerde bridges en beloont gebruikers wier bridges bereikbaar blijven.
Er zijn ook twee niet-kanalen die het kennen waard zijn. Een gereserveerde pool (Reserved) is apart gezet voor handmatige distributie aan ngo's en mensen met bijzondere behoeften, en bridges met de markering None worden door hun beheerders zelf uitgedeeld. Een vers geregistreerde bridge staat ongeveer een dag op None voordat hij bij zijn toegewezen pool komt. Moat en de captcha-afweging
Moat verdient een nadere blik, want het is de route die de meeste nieuwe gebruikers het eerst tegenkomen. De captcha was de manier waarop het systeem bewees dat een verzoek van een mens kwam en niet van de scraper van een censor, en het oplossen ervan is nog steeds het gedocumenteerde traject binnen Tor Browser. Maar de eigen inschatting van het Tor Project is dat captchas een slechte deal zijn geworden: ze zijn frustrerend ontoegankelijk voor mensen met schermlezers of oudere apparaten, soms onmogelijk door taalbarrières, en steeds minder effectief omdat censors geautomatiseerde tools of menselijke oplossdiensten inzetten die er moeiteloos doorheen lopen. Daarom stapt rdsys van captchas af, en daarom wordt Moat buiten gebruik gesteld ten gunste van de Settings-distributeur, een API die omzeilingsinstellingen, inclusief het te proberen bridgetype, automatisch afstemt op het land van de gebruiker. Waarom schaarste het punt is
Elke uitgedeelde bridge is een bridge die een censor zou kunnen leren, dus de distributie wordt bewust gerantsoeneerd in plaats van gepubliceerd. Het rdsys-backend deelt alleen bronnen uit waarvan bekend is dat ze werken: de dienst bridgestrap test de pluggable transports van elke bridge en markeert ze functioneel of defect, een aparte dienst meet de bandbreedte, en elke Tor-bridge wordt opnieuw getest zodra zijn achttien uur durende verloop-timer afloopt. Beheerders kunnen de status van hun eigen bridge opvragen via een openbare statuspagina, per fingerprint. Geblokkeerde of kapotte bridges worden uit circulatie genomen in plaats van ze aan meer gebruikers in dezelfde regio aan te bieden, en een mechanisme als Lox is speciaal gebouwd om geblokkeerde bridges te detecteren en verse bridges naar de mensen te sturen die ze nog nodig hebben. Een open onderzoeksvraag
De onderliggende spanning is oud. In een artikel uit 2016 brachten de onderzoekers achter het TorBricks-protocol het bot onder woorden: huidige methoden om bridges te distribueren zijn kwetsbaar voor kwaadwillende gebruikers die bridge-adressen bemachtigen en blokkeren. Hun voorstel rantsoeneerde een logaritmisch budget aan bridges per adversariale gebruiker, zodat eerlijke gebruikers, zelfs met een onbekend aantal door de censor bestuurde aanvragers, na enkele communicatierondes nog steeds een werkende bridge kregen. Een decennium later is het algemene probleem onopgelost; het antwoord van rdsys is pragmatisch in plaats van wiskundig: veel kleine kanalen, elk met eigen heuristieken, zodat geen enkele scrape of flood de voorraad leegtrekt. Als praktische tegenhanger van dit stuk behandelt onze gids over bridges in gecensureerde regio's hoe je ze vandaag aanvraagt en instelt. De conclusie
Bridgedistributie is een evenwichtsoefening tussen bereikbaarheid en schaarste. Te vrij publiceren, en censors verzamelen de lijst; te streng filteren, en legitieme gebruikers komen er niet in. De overgang van BridgeDB naar rdsys maakte die afweging niet ongedaan, maar maakte het systeem modulair genoeg om steeds nieuwe kanalen te proberen, van Telegram en Lox tot standaardinstellingen op basis van locatie, terwijl oude eroderen. Voor gebruikers achter censuur is het advies onveranderd: vraag een paar bridges aan, test ze, en wees klaar om om meer te vragen.
