Bandwidth authorities wytłumaczone: dziewięć miejsc, które podpisują konsensus Tora
Co godzinę sieć Tor po cichu przepisuje swoją książkę adresową. W centrum tego rytuału jest konsensus, który słownik Tor Metrics opisuje jako pojedynczy dokument składany i zatwierdzany głosowaniem directory authorities raz na godzinę, tak by wszyscy klienci mieli te same informacje o przekaźnikach tworzących sieć. Wymienia przekaźniki uznane za działające, nadaje flagi takie jak Guard czy Exit i ustala wagę konsensusu kształtującą to, ile ruchu otrzyma każdy przekaźnik. Tworzy go komitet na tyle mały, że zmieściłby się przy jednym stole.
Celowo mały komitet
Obecna lista jest krótka na tyle, by przytoczyć ją w całości: moria1, tor26, dizum, gabelmoo, dannenberg, maatuska, longclaw, bastet i faravahar. Te dziewięć nazw śledzi w każdej rundzie głosowania serwis consensus-health projektu Tor, odnotowując, które authorities wzięły udział. Badacze, którzy analizowali konsensus dla ACM Internet Measurement Conference, ujęli ten układ wprost: dziewięć directory authorities, „każda prowadzona przez inną zaufaną organizację lub osobę”. Skład ma być nudny. Miejsca zmieniają się rzadko, a kto je zajmuje, ten ma latami — nie miesiącami — utrzymywać dobrze zabezpieczony serwer. Formalnie każda authority to wyspecjalizowany przekaźnik, który prowadzi listę aktualnie działających przekaźników i okresowo publikuje razem z pozostałymi konsensus — tak brzmi sformułowanie ze słownika społeczności Tor. Konstrukcja jest z premedytacją konserwatywna. Zgodnie ze specyfikacją protokołu katalogowego authorities trzymają offline długoterminowe klucze tożsamości, które poświadczają codzienne klucze podpisujące: przejęcie zwykłego klucza nie oznacza przejęcia miejsca. Specyfikacja przypomina też, po co w ogóle jest głosowanie zbiorowe: w starszym katalogowym projekcie Tora pojedynczy kłamiący authority „mógł przez pewien czas wbić klientom do głowy dowolnie przekręcony obraz” sieci. Żądanie zgody kilku authorities na jeden dokument było korektą.Kto naprawdę zajmuje te miejsca
Nic z tego nie jest anonimową infrastrukturą. moria1, jedna z najdłużej działających authorities, jest prowadzona przez Rogera Dingledine'a, współzałożyciela Tor Project. tor26 prowadzi Peter Palfrader, dannenberg — niemiecki Chaos Computer Club e.V., a gabelmoo — F3 Netze e.V., kolejny niemiecki związek non-profit; pozostałe miejsca trzymają operatorzy indywidualni i małe organizacje z długą historią w projekcie. OrNetStats, niezależny projekt monitorujący różnorodność przekaźników, publikuje operatorów bandwidth authorities wraz z podanymi przez nich danymi kontaktowymi — ten zakątek sieci da się z zewnątrz audytować wyjątkowo łatwo.Od skanera do wagi konsensusu
Konsensus nie tylko wylicza przekaźniki — on je waży. Dokumentacja metryk Tora definiuje wagę konsensusu przekaźnika jako wartość opartą na paśmie, które przekaźnik zgłasza, i na tym, które mierzą directory authorities. Pomiar wykonują dedykowane systemy, znane jako skanery pasma albo bandwidth authorities: łączą się z siecią jak zwykli klienci, mierzą realne transfery przez każdy przekaźnik i publikują wyniki w pliku pasma. Zgodnie ze specyfikacją pliku pasma authorities czytają ten plik i używają jego wartości do skalowania wag przyznawanych w głosach. Gdy ten sam przekaźnik zmierzyło kilku skanerów, waga konsensusu wychodzi z mediany pomiarów — jeden zepsuty lub stronniczy skaner nie może w pojedynkę dyktować udziału przekaźnika w sieci.Skoncentrowane zaufanie — celowo
Komitet złożony z dziewięciu wygląda jak pojedynczy punkt awarii i projekt Tor nigdy nie udawał inaczej. Argument za koncentracją: mały, publicznie znany zespół zawodowych operatorów łatwiej bronić — i trudniej po cichu podkopywać — niż duży i anonimowy. Ryzyko jest jego lustrzanym odbiciem: przeciwnik, który skompromitowałby większość authorities, mógłby przez okno kilku godzin podsuwać klientom przekręcony obraz sieci, choćby zawyżając wagi swoich przekaźników. Właśnie dlatego adresy sieciowe authorities są zaszyte w Tor Browser i właśnie dlatego projekt traktuje ich integralność jako coś, co społeczeństwo może sprawdzić samodzielnie.„Adresy IP directory authorities są zaszyte w tarballu TBB, który (roztropni) użytkownicy Tora przed uruchomieniem weryfikują odłączonym podpisem względem klucza podpisującego”. — blog Tor Project