Autoridades de banda explicadas: as nove cadeiras que assinam o consenso do Tor
A cada hora, a rede Tor reescreve silenciosamente a sua lista de endereços. No centro desse ritual está o consenso, que o glossário do Tor Metrics descreve como um documento único compilado e votado pelas autoridades de diretório uma vez por hora, para que todos os clientes tenham a mesma informação sobre os relés que formam a rede. Ele lista os relés considerados ativos, atribui flags como Guard ou Exit e define um peso de consenso que molda quanto tráfego cada relé recebe. Produzi-lo é tarefa de um comitê pequeno o bastante para caber em uma única mesa.
Um comitê deliberadamente pequeno
A lista atual é curta o bastante para ser citada por completo: moria1, tor26, dizum, gabelmoo, dannenberg, maatuska, longclaw, bastet e faravahar. Esses nove nomes são os que o serviço consensus-health do Tor acompanha em cada rodada de votação, anotando quais autoridades participaram. Pesquisadores que analisaram o consenso para a ACM Internet Measurement Conference resumiram o arranjo sem rodeios: nove autoridades de diretório, "cada uma mantida por uma organização ou indivíduo de confiança diferente". A composição é feita para ser monótona. As cadeiras mudam raramente, e quem ocupa uma deve manter um servidor bem protegido por anos, não meses. Formalmente, cada autoridade é um relé especial que mantém uma lista dos relés em execução e publica periodicamente um consenso junto com os demais, na redação do glossário da comunidade Tor. O desenho é conservador de propósito. Segundo a especificação do protocolo de diretório, as autoridades mantêm offline chaves de identidade de longo prazo que certificam as chaves de assinatura do dia a dia: capturar uma chave comum não captura a cadeira. A especificação também lembra por que existe a votação coletiva: no desenho de diretório mais antigo do Tor, uma única autoridade que mentisse "podia fazer os clientes acreditarem, por um tempo, numa visão arbitrariamente distorcida" da rede. Exigir que várias autoridades concordassem com um mesmo documento foi a correção.Quem realmente opera as cadeiras
Nada disso é infraestrutura anônima. A moria1, uma das autoridades mais antigas, é operada por Roger Dingledine, cofundador do Tor Project. A tor26 fica com Peter Palfrader, a dannenberg com o Chaos Computer Club e.V. na Alemanha e a gabelmoo com a F3 Netze e.V., outra associação sem fins lucrativos alemã; as demais cadeiras estão com operadores individuais e pequenas organizações com longa história no projeto. O OrNetStats, projeto independente de monitoramento da diversidade de relés, publica os operadores das autoridades de banda com suas informações de contato declaradas, o que torna este canto da rede incomummente fácil de auditar de fora.Do scanner ao peso de consenso
O consenso não apenas lista relés; ele os pesa. A documentação de métricas do Tor define o peso de consenso de um relé como um valor baseado na banda que o relé reporta e na que as autoridades de diretório medem. A medição cabe a sistemas dedicados, conhecidos como scanners de banda ou autoridades de banda: eles se conectam à rede como clientes comuns, medem transferências reais por cada relé e publicam os resultados em um arquivo de banda. Conforme a especificação do arquivo de banda, as autoridades leem esse arquivo e usam seus valores para dimensionar os pesos que atribuem em seus votos. Quando vários scanners mediram o mesmo relé, o peso de consenso sai da mediana das medições — assim, um scanner defeituoso ou enviesado não dita sozinho a fatia de um relé na rede.Confiança concentrada, de propósito
Um comitê de nove parece um ponto único de falha, e o projeto Tor nunca fingiu o contrário. O argumento a favor da concentração: um conjunto pequeno, publicamente conhecido, de operadores profissionais é mais fácil de defender — e mais difícil de infiltrar silenciosamente — que um conjunto grande e anônimo. O risco é o espelho: um adversário que comprometesse a maioria das autoridades poderia, por uma janela de poucas horas, entregar aos clientes uma visão distorcida da rede, por exemplo inflando os pesos dos relés que controla. É por isso que os endereços das autoridades vêm gravados dentro do Tor Browser, e por isso o projeto trata a integridade deles como algo que o público pode verificar por si."Os IPs das autoridades de diretório vêm embutidos no tarball do TBB, que usuários de Tor (os prudentes) verificam com a assinatura destacada contra a chave de assinatura." — o blog do Tor Project