Middle relays: de werkkracht van het Tor-netwerk
Exit-relays halen de krantenkoppen en guard-relays krijgen de security-analyse, maar daartussen ligt een laag die veel minder aandacht krijgt. Middle relays zijn de non-exit-relays die verkeer van hop naar hop vervoeren zonder ooit verbinding te maken met het open internet. De relaydocumentatie van het Tor Project noemt het huidige netwerk “vrij klein vergeleken met het aantal mensen dat Tor nodig heeft” en stelt dat meer relays betekenen: meer stabiliteit, meer robuustheid tegen aanvallen en meer veiligheid voor gebruikers. Hier staat wat de middelste laag werkelijk vervoert, waarom de gezondheid van het netwerk ervan afhangt en wat het draaien van zo'n relay inhoudt.
Wat een middle relay vervoert
Een standaard Tor-circuit heeft drie hops: een guard, een middle en een exit. De positie van de middle ligt in dat ontwerp vast — hij zit tussen de guard, die het adres van de client kent, en de exit, die de bestemming kent. De middle ziet geen van beide uiteinden. Verkeer naar onion-services reist op vergelijkbare wijze door het netwerk, met extra relays als introduction- en rendezvous-punten, dus die stroom loopt ook door de middelste laag. Het overzicht van relaytypes van het Tor Project is duidelijk: “een non-exit-relay staat uitstappen in zijn exit-policy niet toe” — hij vervoert alleen verkeer tussen andere relays. En een relay die niet snel en stabiel genoeg is voor de guard-vlag “blijft een middle relay”.Guard- en middle-relays ontvangen doorgaans geen klachten over misbruik.Die zin, uit de relaydocumentatie van het Tor Project, is de praktische reden waarom veel operators voor deze laag kiezen. Omdat de relay nooit verbinding maakt met externe diensten, is er geen exit-verkeer waar iemand over kan klagen. De documentatie voegt een kanttekening toe: alle relays staan in de openbare directory, dus diensten zoals banken en streamingplatforms kunnen relay-adressen alsnog blokkeren. Dat is een kwestie van IP-reputatie, geen misbruikklacht.
Waarom de middelste laag telt voor de gezondheid van het netwerk
Twee dingen hangen eraan. De eerste is capaciteit. Tor Metrics houdt het aantal draaiende relays bij en publiceert grafieken van bandbreedte en relay-vlaggen, en het ontwerp met drie hops betekent dat elk circuit een relay op de middelste positie gebruikt. Meer middles verdelen die last over meer machines; als de laag uitdunt, pikken relays met de guard-vlag ook het middle-werk in, en de pool van verschillende paden krimpt. De tweede is anonimiteit zelf. Tor houdt het toegangspunt van een client stabiel door guard-relays toe te wijzen die slechts elke paar weken wisselen — de tekst van het Tor Project over de levenscyclus van een nieuwe relay noemt een guard-rotatie van vier tot acht weken, later verlengd naar twaalf. Die stabiliteit beschermt tegen predecessor-aanvallen, waarbij een tegenstander beide uiteinden van verbindingen bekijkt en wacht tot de waargenomen hops overlappen. Een grote middelste laag voegt een onvoorspelbare hop toe tussen guard en exit, zodat een tegenstander die een guard in de gaten houdt nog steeds voor een breed veld aan mogelijke middles staat voordat het verkeer een exit bereikt die hij ook beheerst.Draaien is bewust eenvoudig
De Tor-handleiding behandelt alles wat een middle nodig heeft bij de serveropties, en de lijst is kort:- Een ORPort — in de handleiding gedefinieerd als de poort die “luistert naar verbindingen van Tor-clients en -servers” — plus een nickname en een werkend contactadres.
- Geen exit-policy om in te stellen — met uitstappen uitgeschakeld negeert de relay exit-policies volledig en spreekt hij nooit bestemmingen buiten het netwerk aan.
- Bandbreedtebeheer: BandwidthRate en BandwidthBurst begrenzen de doorvoer, en de supportdocumentatie van het project meldt dat er “hibernatie-opties zijn waarmee je Tor opdraagt alleen een bepaalde hoeveelheid bandbreedte per periode te serveren”, handig bij verbindingen met een datalimiet.
- Een MyFamily-regel zodra een operator meerdere relays draait. De handleiding is ondubbelzinnig: “Als je meer dan één relay draait, moet de MyFamily-optie op elke relay alle andere relays noemen”, zodat clients er nooit twee in hetzelfde circuit plaatsen.