Хто вирішує, що таке мережа Tor: консенсус, авторитети каталогу та поділ мостів
Кожне з'єднання Tor починається з акта згоди. Перш ніж браузер побудує свій перший ланцюжок, йому потрібна актуальна відповідь на оманливо просте запитання: які релеї існують і яким із них можна довіряти просто зараз? У мережі Tor нічого не вирішує єдиний сервер. Натомість невеликий фіксований набір машин, званих авторитетами каталогу, вирішує це питання спільно, за розкладом і публічно.
Один документ — одна мережа
Документ, який вони створюють, — це консенсус: за глосарієм Tor Project, єдиний документ, який раз на годину складають і затверджують голосуванням авторитети каталогу. Кожен консенсус перераховує відомі релеї як записи статусу маршрутизаторів із псевдонімом, ключовим матеріалом і адресами та постачає кожен запис прапорцями й вагами пропускної спроможності. Формат, зокрема повний словник прапорців, задокументовано у специфікації каталогу. Клієнти ніколи не дізнаються цих відомостей від мережі в цілому. Адреси та довгострокові ключі ідентичності авторитетів зашиті в самий вихідний код Tor, а специфікація вимагає, щоб кожен авторитет тримав ключ ідентичності офлайн і використовував його лише для сертифікації короткоживучих ключів підпису. Корінь довіри цієї мережі навмисно малий, перевірний і повільно змінний.Годинне голосування, крок за кроком
Механіку викладено у графіку голосування специфікації. Кожен авторитет періодично публікує свій голос: стан мережі, який він вважає істинним. Обмежене часом вікно збирає голоси всіх авторитетів, потім друге вікно збирає підписи під підсумковим документом, і специфікація вимагає, щоб кожне з цих вікон тривало щонайменше двадцять секунд. Готовий консенсус несе три позначки часу у фіксованому порядку: valid-after, fresh-until і valid-until, причому повний строк життя має бути щонайменше вдвічі більшим за «свіжий» період. У будь-який момент чинними мають бути щонайменше три консенсуси. Каталожні кеші завантажують кожен новий документ між valid-after і fresh-until, звичайні клієнти забирають його в наступному, довшому вікні, а консенсус, прострочений понад добу, відкидають цілком."Щогодини ці авторитети каталогу, що працюють на волонтерських засадах, голосують і досягають консенсусу щодо релеїв, з яких складається мережа Tor."Цей рядок узято з допису Tor Project від листопада 2017 року, де представляли Bastet — новий авторитет, доданий, щоб підсилити те, що проєкт назвав різноманіттям і стабільністю системи авторитетів каталогу. Він же, без пафосу, описує всю конструкцію: авторитети працюють на волонтерських засадах, вони голосують, і їхня згода перетворює тисячі окремих релеїв на єдину мережу.
Прапорці, пропускна спроможність і мікродескриптори
Голосують авторитети не лише за саме існування. Релей може нести прапорці на кшталт Authority, Exit, Fast, Guard, Running, Stable чи V2Dir, кожен із яких твердить перевірену властивість, а кожен голос фіксує виміряну пропускну спроможність релея, з якої консенсус вилучає ваги, якими клієнти керуються при виборі шляхів. Сучасні клієнти здебільшого забирають консенсус у варіанті мікродескрипторів, де рядки статусу поєднано з хешами компактних фрагментів дескрипторів, потрібних клієнтам, замість повних серверних дескрипторів.- Guard позначає релей як придатний на вхідну позицію ланцюжка.
- Exit позначає релей як готовий нести трафік до решти інтернету через поширені порти.
- Stable позначає релей як придатний для довготривалих з'єднань.
- HSDir допускає релей до кільця, де зберігаються представлення onion-сервісів.
- V2Dir позначає релей як спроможний роздавати документи каталогу.