Jak rozdzielane są mostki Tora: BridgeDB, rdsys, Moat i logika niedoboru
Mostek to niewymieniony na publicznej liście relay Tora: nie pojawia się w publicznym wykazie przekaźników, więc cenzor musi go najpierw odkryć, zanim będzie mógł go zablokować. Ta właściwość obowiązuje tylko dopóki mostek jest trudny do zdobycia - sam system dystrybucji jest więc częścią odporności Tora na cenzurę. W październiku 2024 r. Tor Project wycofał BridgeDB, system rozdzielający mostki od ponad dekady, i zakończył migrację na rdsys - system dystrybucji nowej generacji. Sposób, w jaki te systemy decydują, kto otrzyma jaki mostek, wiele wyjaśnia w kwestii tego, dlaczego mostki wciąż działają w mocno ocenzurowanych sieciach.
Od BridgeDB do rdsys
BridgeDB został wydany ponad jedenaście lat temu jako prototyp i działał długo po przewidywanym okresie życia. Według inżynierów stojących za migracją oferował żądania przez WWW, żądania e-mail oraz API przeglądarki Tor o nazwie Moat, a wszystkie trzy kanały trafiły pod presję: cenzorzy przeszukiwali strony zgłoszeń mostków, zalewali system poczty, by zbierać adresy, i omijali captche z pomocą ludzkich usług rozwiązywania CAPTCHA. Lata łatek przeciw tym taktykom zamieniły się w dług technologiczny, więc około 2020 r. projekt rozpoczął pracę nad następcą: rdsys. rdsys, skrót od resource distribution system, jest celowo szerszy niż poprzednik. Rozdziela najróżniejsze zasoby do omijania cenzury: mostki Tora, proxy Snowflake, punkty końcowe VPN, a nawet linki do pobrania oprogramowania omijającego blokady. Architektonicznie to jeden proces backendu zbierający zasoby oraz kilka procesów dystrybutorów, które je wydają. Backend prowadzi inwentarz i przypisuje każdy zasób dokładnie jednemu dystrybutorowi; zadaniem dystrybutora, jak mówi dokumentacja rdsys, jest sprytne rozdzielanie zasobów, zapewnienie użytecznego interfejsu i udaremnianie ataków Sybil. Kanały dystrybucji
Dokumentacja wsparcia Tor Project stawia sprawę bez owijania: "Ponieważ adresy mostków nie są publiczne, musisz poprosić o nie samodzielnie". Dziś istnieje kilka równoległych kanałów, każdy z własną kontrolą dostępu. - Moat jest wbudowany w Tor Browser: użytkownik klika "Poproś o mostki" w ustawieniach połączenia, rozwiązuje captcha, a mostki dodają się automatycznie.
- Dystrybutor HTTPS obsługuje stronę mostków, która oferuje opcję jednym kliknięciem ("Just give me bridges!") obok zaawansowanych wyborów, takich jak typ transportu czy adresy IPv6.
- Dystrybutor e-mail odpowiada na wiadomości wysyłane na bridges@torproject.org z adresu Gmail lub Riseup, z treścią "get transport obfs4" w treści listu.
- Dystrybutor Telegram wydaje mostki przez @GetBridgesBot, komendami takimi jak /obfs4 czy /webtunnel. Aby odróżnić prawdziwych użytkowników od kont tworzonych masowo, waży historię konta, oddzielając stare od świeżo zarejestrowanych; Tor Project opisuje to jako odpowiedź na narastającą cenzurę w Rosji.
- Lox, wciąż w rozwoju, to chroniący prywatność mechanizm oparty na reputacji: wykrywa zablokowane mostki i nagradza użytkowników, których mostki pozostają niezblokowane.
Są też dwa „nie-kanały”, o których warto wiedzieć. Pula Reserved jest odłożona na ręczną dystrybucję dla NGO i osób o szczególnych potrzebach, a mostki oznaczone jako None pozostawia się ich operatorom, którzy rozdzielają je we własnym zakresie. Świeżo zarejestrowany mostek pokazuje None przez około jeden dzień, zanim trafi do przydzielonej puli. Moat i kompromis captcha
Moat zasługuje na bliższe spojrzenie, bo to ścieżka, którą większość nowych użytkowników napotyka pierwsza. Captcha była sposobem systemu na udowodnienie, że prośba pochodzi od człowieka, a nie od scrapera cenzora, a jej rozwiązanie to wciąż udokumentowana ścieżka w Tor Browser. Ale samo Tor Project ocenia, że captche stały się złym interesem: są frustrująco niedostępne dla osób korzystających z czytników ekranu czy starszych urządzeń, czasem niemożliwe przez bariery językowe i coraz mniej skuteczne, bo cenzorzy używają zautomatyzowanych narzędzi albo ludzkich usług rozwiązywania, które przechodzą je bez wysiłku. Dlatego rdsys odchodzi od captcha, a Moat jest wycofywany na rzecz dystrybutora Settings - API, które automatycznie konfiguruje ustawienia omijania, w tym typ mostka do wypróbowania, według kraju użytkownika. Dlaczego niedobór jest sednem
Każdy wydany mostek to mostek, który mógł poznać cenzor, dlatego dystrybucja jest świadomie racjonowana, a nie publikowana. Backend rdsys wydaje tylko zasoby, o których wiadomo, że działają: usługa bridgestrap testuje podłączane transporty każdego mostka i oznacza je jako sprawne albo wadliwe, osobna usługa mierzy przepustowość, a każdy mostek Tora jest testowany ponownie po upływie osiemnastogodzinnego licznika ważności. Operatorzy mogą sprawdzić stan własnego mostka na publicznej stronie statusu, podając fingerprint. Zablokowane lub zepsute mostki są wycofywane z obiegu zamiast być proponowane kolejnym użytkownikom w tym samym regionie, a mechanizm taki jak Lox powstał właśnie po to, by wykrywać zablokowane mostki i kierować świeże do osób, które wciąż ich potrzebują. Otwarty problem badawczy
Napięcie u podstaw jest stare. W pracy z 2016 r. badacze stojący za protokołem TorBricks ujęli to bez owijania: obecne metody dystrybucji mostków są podatne na złośliwych użytkowników, którzy zdobywają adresy mostków, aby je blokować. Ich propozycja racjonowała logarytmiczny budżet mostków na złośliwego użytkownika, tak by nawet przy nieznanej liczbie żądających kontrolowanych przez cenzora uczciwi użytkownicy uzyskiwali sprawny mostek po kilku rundach komunikacji. Dekadę później ogólny problem pozostaje nierozwiązany; odpowiedź rdsys jest pragmatyczna, a nie matematyczna: wiele małych kanałów, każdy z własnymi heurystykami, żeby żaden pojedynczy scraping czy zalew nie opróżnił puli. Praktycznym uzupełnieniem tego tekstu jest nasz przewodnik po mostkach w regionach objętych cenzurą - o tym, jak dziś o nie prosić i jak je konfigurować. Wnioski
Dystrybucja mostków to balansowanie między dostępnością a niedoborem. Publikacja zbyt swobodna pozwala cenzorom zebrać listę; filtrowanie zbyt ostre zostawia na zewnątrz legalnych użytkowników. Przejście od BridgeDB do rdsys nie zakończyło tego kompromisu, ale uczyniło system na tyle modularnym, by wypróbowywać kolejne kanały - od Telegrama i Loxa po ustawienia domyślne zależne od lokalizacji - w miarę erozji starych. Dla użytkowników za cenzurą rada się nie zmieniła: poproś o kilka mostków, przetestuj je i bądź gotów poprosić o więcej.
