Bandwidth-авторитеты простыми словами: девять мест, подписывающих консенсус Tor
Каждый час сеть Tor тихо переписывает свой адресный справочник. В центре этого ритуала — консенсус, который глоссарий Tor Metrics описывает как единый документ, составляемый и утверждаемый голосованием directory-авторитетов раз в час, чтобы все клиенты располагали одинаковой информацией об узлах сети. Он перечисляет считающиеся работающими узлы, присваивает флаги вроде Guard или Exit и задаёт вес консенсуса, определяющий, сколько трафика получит каждый узел. Создаёт его комитет, достаточно небольшой, чтобы уместиться за одним столом.
Намеренно маленький комитет
Текущий список короток, его можно привести целиком: moria1, tor26, dizum, gabelmoo, dannenberg, maatuska, longclaw, bastet и faravahar. Именно эти девять имён отслеживает в каждом раунде голосования сервис consensus-health проекта Tor, отмечая, кто из авторитетов участвовал. Исследователи, анализировавшие консенсус для ACM Internet Measurement Conference, описали устройство прямо: девять directory-авторитетов, «каждый под управлением отдельной доверенной организации или человека». Состав намеренно скучен. Места меняются редко, и тот, кто их занимает, обязан годами, а не месяцами, поддерживать хорошо защищённый сервер. Формально каждый авторитет — это специальный узел, который ведёт список работающих узлов и периодически публикует консенсус вместе с остальными, как сформулировано в глоссарии сообщества Tor. Замысел нарочно консервативен. Согласно спецификации каталогового протокола, авторитеты хранят офлайн долгосрочные ключи идентичности, которыми удостоверяют повседневные ключи подписи: захват обычного ключа не означает захват места. Спецификация напоминает и зачем нужно коллективное голосование: в старом каталоговом дизайне Tor один солгавший авторитет «мог на время внушить клиентам произвольно искажённую картину» сети. Требование согласия нескольких авторитетов с одним документом и стало исправлением.Кто на самом деле занимает места
Здесь нет анонимной инфраструктуры. moria1, один из старейших авторитетов, управляется Роджером Дингледином, сооснователем The Tor Project. tor26 держит Петер Пальфрадер, dannenberg — Chaos Computer Club e.V. из Германии, gabelmoo — F3 Netze e.V., ещё один немецкий некоммерческий союз; остальные места — у частных операторов и небольших организаций с долгой историей в проекте. OrNetStats, независимый проект мониторинга разнообразия узлов, публикует операторов bandwidth-авторитетов вместе с их контактными данными — этот угол сети необычно легко проверить снаружи.От сканера к весу в консенсусе
Консенсус не только перечисляет узлы — он их взвешивает. Документация Tor Metrics определяет вес консенсуса узла как величину, основанную на пропускной способности, которую узел заявляет, и на той, что измеряют directory-авторитеты. Измерением занимаются выделенные системы, известные как bandwidth-сканеры или bandwidth-авторитеты: они подключаются к сети как обычные клиенты, замеряют реальные передачи через каждый узел и публикуют результаты в bandwidth-файле. По спецификации bandwidth-файла, авторитеты читают этот файл и используют его значения для масштабирования весов в своих голосах. Если один узел измерили несколько сканеров, вес в консенсусе берётся как медиана измерений — так один сбойный или пристрастный сканер не может в одиночку диктовать долю узла в сети.Концентрированное доверие — намеренно
Комитет из девяти выглядит единой точкой отказа, и проект Tor никогда этого не отрицал. Аргумент за концентрацию: малый, публично известный набор профессиональных операторов легче защищать — и труднее тихо подрывать изнутри, — чем большой анонимный. Риск — зеркальное отражение: противник, скомпрометировавший большинство авторитетов, мог бы несколько часов подсовывать клиентам искажённую картину сети, например завышая веса подконтрольных ему узлов. Именно поэтому адреса авторитетов зашиты в Tor Browser, и именно поэтому проект относится к их целостности как к тому, что публика может проверить сама.«IP-адреса directory-авторитетов зашиты в tarball TBB, который (разумные) пользователи Tor перед запуском проверяют отсоединённой подписью по ключу подписи». — блог The Tor Project