Оголошені сімейства ретрансляторів: чому побудова маршрутів у Tor уникає кіл одного оператора
Протягом більшої частини історії Tor запуск понад одного ретранслятора передбачав невелику адміністративну домашню роботу: рядок MyFamily у кожному torrc, де перелічено відбитки всіх інших ретрансляторів під контролем того самого оператора. Цей механізм тепер пішов із мережі, і оператори кількох ретрансляторів мають оголошувати свої сімейства через наступника на основі ключів. Причина, з якою ця опція з'явилася, не змінилася, і варто нагадати про неї всім, хто сьогодні додає другий ретранслятор.
Для чого потрібне оголошення сімейства
Сімейство ретрансляторів — це набір ретрансляторів під єдиним адміністративним контролем: одна людина, одна організація чи один хост із кількома екземплярами tor. Оголошення існує заради побудови маршрутів. Клієнти Tor намагаються не ставити двох членів одного сімейства в одне коло, бо коло, в якому позиції входу та виходу підпорядковані одній стороні, — це рівно та конфігурація, потрібна для атаки з кореляцією кінця в кінець: вхід бачить клієнта, вихід бачить пункт призначення, а один оператор, що володіє обома картинами, може їх з'єднати.Коли два ретранслятори оголошують, що належать до одного «сімейства», клієнти Tor не використовуватимуть їх в одному колі.Документація спільноти описує опцію-наступницю так само: FamilyID, кажеться там, просто повідомляє клієнтам Tor, які ретранслятори контролює одна особа, оператор чи організація, щоб ретранслятори одного оператора не використовувалися на кількох позиціях одного кола. Без цього сигналу вибір шляху сприймає споріднені ретранслятори як чужих.
Коли оператори забувають оголосити
Старий дизайн повністю залежав від того, чи ведуть оператори цей облік на кожному ретрансляторі й тримають його в актуальному стані. Група зі спільним оператором, яка не подає оголошення, невидима для вибору шляху: мережа рахує її ретранслятори як незалежних учасників. Це спотворює статистику різноманіття, якою описують мережу, і звужує захист, який клієнти отримують насправді, адже клієнтське правило зупиняється рівно на межі оголошеного. Проєкт OrNetStats, яким керує давній дослідник ретрансляторів nusenu, відстежує це вже роки. Він об'єднує ретранслятори в ефективні сімейства — ретранслятори зі взаємно налаштованим MyFamily — і серед його постійних питань: які групи ретрансляторів мають потенційно неправильні налаштування MyFamily і які потенційно становлять загрозу для користувачів Tor через кореляцію кінця в кінець. Його спеціальний звіт перелічує операторів лише там, де поєднання реалістичне: імовірність guard і exit понад нуль, відсутність належно налаштованого сімейства та ретранслятори, розкидані понад один мережевий блок /16 — іншими словами, групи, які справді можуть тримати обидва кінця кола. Щойно сімейство налаштовано правильно, зазначає звіт, ретранслятори зникають зі сторінки за день-два. Контактна інформація належить до тієї самої історії. ContactInfo — це рядок без автентифікації, і OrNetStats зазначає, що це дозволяло зловмисникам видавати себе за інших операторів ретрансляторів, чим, як каже проєкт, зловживали на практиці. Тому проєкт показує автентифіковані ідентифікатори оператора ретранслятора (AROI) там, де вони доступні: вони прив'язують контактні дані до контролю над DNS або вебсервером, який оператор справді має.Від MyFamily до Happy Families
Старий механізм також погано масштабувався. Кожен ретранслятор мусив перелічувати всіх інших членів, і кожна зміна вимагала оновлення конфігурації всіма учасниками. Пропозиція 321, написана Ніком Метьюсоном у травні 2020 року, оцінила цю ціну числом: за вимірюваннями на лютий 2025 року оголошення сімейств становили понад 55 відсотків вмісту мікродескрипторів, а додавання або вилучення сервера вимагало зміни налаштувань torrc на всіх інших серверах. Листопадовий заклик 2021 року до відгуків про простіший спосіб оголошення сімейств зібрав відповіді від операторів, зокрема від nusenu, а дизайн, що виник, зберігає властивість безпеки, змінюючи механіку: оператор один раз генерує ключ підпису сімейства, передає його кожному ретранслятору сімейства і встановлює опцію FamilyId. Членство підтверджується сертифікатами в дескрипторах ретрансляторів, а каталогові органи публікують компактні рядки family-ids замість квадратичних списків відбитків. Довідник спільноти називає цей дизайн Happy Families; він реалізований у серії Tor 0.4.9 та в Arti 1.4.1. Перехід завершився 2026 року. Серія 0.4.8 — остання, що вимагала MyFamily поруч із новим механізмом, — досягла кінця життєвого циклу 1 червня, а 1 вересня визначено датою, після якої клієнтів 0.4.8 і старіших уже не підтримуватимуть у робочому стані на мережі, а старі рядки сімейств оголошено застарілими заради економії клієнтської пропускної здатності каталогів. Портал спільноти тепер прямо стверджує, що MyFamily вилучено, і скеровує операторів кількох ретрансляторів до FamilyID та чинного ContactInfo. Інструменти пішли слідом: роль ansible-relayor вилучила підтримку MyFamily у своїй версії за червень 2026 року, зазначивши, що всі підтримувані версії tor говорять новим дизайном.Практичні поради для операторів кількох ретрансляторів
- Запускайте підтримуваний випуск tor на кожному ретрансляторі; мережа більше не несе старих рядків сімейств.
- Згенеруйте ключ сімейства командою tor --keygen-family, скопіюйте файл ключа до KeyDir кожного ретранслятора, додайте рядок FamilyId до torrc і перезавантажте конфігурацію.
- Ротуйте ключі поетапно: розгорніть новий FamilyId поруч зі старим, зачекайте кілька днів на поширення, тоді вилучіть старий рядок.
- Вкажіть робочий ContactInfo — посібник завжди вимагав його від операторів кількох ретрансляторів — і подумайте про публікацію AROI, щоб вашу ідентичність оператора не можна було підробити.
- Перевірте, як мережа бачить вас: сторінки сімейств OrNetStats і його звіт про кореляцію кінця в кінець показують, чи правильно згруповано ваші ретранслятори.