Zadeklarowane rodziny przekaźników: dlaczego Tor unika łańcuchów z dwóch węzłów jednego operatora
Przez większą część historii prowadzenie więcej niż jednego przekaźnika w Torze oznaczało drobny obowiązek administracyjny: linię MyFamily w każdym pliku torrc, z odciskami wszystkich pozostałych przekaźników tego samego operatora. Ten mechanizm opuścił już sieć, a operatorzy wielu przekaźników deklarują swoje rodziny jego następcą opartym na kluczach. Powód istnienia tej opcji się nie zmienił i warto go przypomnieć każdemu, kto dziś dodaje drugi przekaźnik.
Do czego służy deklaracja rodziny
Rodzina przekaźników to zestaw przekaźników pod wspólną kontrolą administracyjną: jedna osoba, jedna organizacja albo jeden host z kilkoma instancjami tora. Deklaracja istnieje dla budowania tras. Klienty Tora starają się nie umieszczać dwóch członków tej samej rodziny w jednym łańcuchu, bo łańcuch, którego wejście i wyjście podlegają tej samej stronie, to dokładnie scenariusz ataku korelacyjnego od końca do końca: wejście widzi klienta, wyjście widzi cel, a operator mający oba widoki może je zestawić.Gdy dwa przekaźniki zadeklarują, że należą do tej samej 'rodziny', klienty Tora nie użyją ich w jednym łańcuchu.Obecna dokumentacja społecznościowa opisuje opcję-następcę tak samo: FamilyID, jak czytamy, mówi klientom Tora po prostu, które przekaźniki kontroluje jedna jednostka, operator lub organizacja, aby przekaźniki jednego operatora nie zajmowały kilku pozycji w jednym łańcuchu. Bez tego sygnału wybór trasy traktuje powiązane przekaźniki jak obcych.
Kiedy operatorzy zapominają o deklaracji
Stary schemat zależał wyłącznie od tego, czy operatorzy prowadzą ewidencję na każdym przekaźniku i utrzymują ją w zgodzie. Grupa ze wspólnym operatorem, ale bez deklaracji, jest niewidzialna dla wyboru trasy: sieć liczy jej przekaźniki jako niezależnych uczestników. To zniekształca statystyki różnorodności, opisujące sieć, i zawęża ochronę, którą realnie dostają klienci - reguła po stronie klienta kończy się dokładnie na granicy tego, co zadeklarowano. Projekt OrNetStats wieloletniego badacza relayów nusenu śledzi to od lat. Łączy przekaźniki w efektywne rodziny - przekaźniki ze wzajemnie skonfigurowaną opcją MyFamily - a wśród jego stałych pytań są: które grupy mają potencjalne błędy konfiguracji MyFamily i które stwarzają dla użytkowników Tora ryzyko korelacji od końca do końca. Dedykowany raport wymienia operatorów tylko tam, gdzie kombinacja jest realistyczna: prawdopodobieństwo guard i exit powyżej zera, źle skonfigurowana rodzina i przekaźniki rozrzucone na więcej niż jeden blok sieci /16 - inaczej mówiąc, grupy, które faktycznie mogłyby trzymać oba końce łańcucha. Gdy rodzina jest poprawnie skonfigurowana, relacjonuje raport, przekaźniki znikają ze strony w ciągu dnia czy dwóch. Do tej samej historii należy informacja kontaktowa. ContactInfo to nieuwierzytelniony ciąg znaków, a OrNetStats zauważa, że pozwalało to podszywać się pod innych operatorów - według projektu wykorzystywano to już w praktyce. Dlatego pokazuje, gdzie to możliwe, uwierzytelnione identyfikatory operatorów (AROI), które wiążą dane kontaktowe z kontrolą nad DNS-em lub serwerem WWW, jaką operator musi naprawdę posiadać.Od MyFamily do Happy Families
Stary mechanizm słabo się też skalował. Każdy przekaźnik musiał wyliczać wszystkich pozostałych członków, a każda zmiana wymagała aktualizacji konfiguracji u wszystkich. Propozycja 321, napisana przez Nicka Mathewsona w maju 2020 roku, przeliczyła koszt: według jej pomiaru z lutego 2025 roku deklaracje rodzin stanowiły ponad 55 procent zawartości mikrodeskryptorów, a dodanie lub usunięcie serwera wymagało zmiany torrc na wszystkich pozostałych. Wezwanie do dyskusji z listopada 2021 roku o łatwiejszy sposób deklarowania rodzin zebrało odpowiedzi operatorów, w tym nusenu, a powstały projekt zachowuje właściwość bezpieczeństwa, zmieniając mechanikę: operator generuje raz klucz podpisujący rodzinę, przekazuje go każdemu przekaźnikowi rodziny i ustawia opcję FamilyId. Przynależność potwierdzają certyfikaty w deskryptorach, a autorytety katalogowe publikują zwięzłe linie family-ids zamiast kwadratowych list odcisków. Przewodnik społecznościowy nazywa ten projekt Happy Families; jest zaimplementowany w serii Tor 0.4.9 i w Arti 1.4.1. Przejście domknęło się w 2026 roku. Seria 0.4.8 - ostatnia wymagająca MyFamily obok nowego mechanizmu - osiągnęła koniec życia 1 czerwca, a 1 września wyznaczono jako datę, po której klientów 0.4.8 i starszych nie będzie się już utrzymywać w sieci; stare linie rodzin uznano za przestarzałe, by oszczędzać pasm katalogowych. Portal społecznościowy mówi dziś wprost, że MyFamily został usunięty, a operatorów wielu przekaźników odsyła do FamilyID i działającej ContactInfo. Narzędzia poszły w ślad: rola ansible-relayor usunęła obsługę MyFamily w wydaniu z czerwca 2026 roku, zauważając, że wszystkie wspierane wersje tora mówią nowym mechanizmem.Praktyczne wskazówki dla operatorów wielu przekaźników
- Uruchamiaj na każdym przekaźniku wspieraną wersję tora; sieć nie przenosi już starych linii rodzin.
- Wygeneruj klucz rodziny poleceniem tor --keygen-family, skopiuj plik klucza do KeyDir każdego przekaźnika, dodaj linię FamilyId do torrc i przeładuj.
- Rotuj klucze etapami: wdróż nową FamilyId obok starej, poczekaj kilka dni na rozpropagowanie, potem usuń starą linię.
- Ustaw działającą ContactInfo - zawsze wymaganą od operatorów wielu przekaźników - i rozważ publikację AROI, by tożsamości operatora nie dało się podrobić.
- Sprawdź, jak widzi cię sieć: strony rodzin w OrNetStats i raport korelacji od końca do końca pokazują, czy twoje przekaźniki są poprawnie pogrupowane.