Bandwidth-авторитети просто: дев'ять місць, що підписують консенсус Tor
Щогодини мережа Tor тихо переписує свою адресну книгу. У центрі цього ритуалу — консенсус, який словник Tor Metrics описує як єдиний документ, що складається та затверджується голосуванням directory authorities раз на годину, щоб усі клієнти мали однакові відомості про вузли, з яких складається мережа. Він перелічує вузли, які вважаються чинними, призначає прапорці на кшталт Guard чи Exit і визначає вагу консенсусу, що формує те, скільки трафіку отримає кожен вузол. Створює його комітет, достатньо малий, щоб поміститися за одним столом.
Навмисно малий комітет
Поточний список короткий настільки, що його можна навести повністю: moria1, tor26, dizum, gabelmoo, dannenberg, maatuska, longclaw, bastet і faravahar. Саме ці дев'ять імен відстежує в кожному туру голосування сервіс consensus-health проєкту Tor, фіксуючи, які authorities взяли участь. Дослідники, що аналізували консенсус для ACM Internet Measurement Conference, підсумували цей устрій прямо: дев'ять directory authorities, «кожна утримується іншою довіреною організацією або особою». Склад має бути нудним. Місця змінюються рідко, а хто їх посідає, той має роками — не місяцями — утримувати добре захищений сервер. Формально кожна authority — це спеціалізований вузол, який веде список поточних вузлів і періодично разом з іншими публікує консенсус; таке формулювання дає словник спільноти Tor. Конструкція є консервативною навмисно. Згідно зі специфікацією каталогового протоколу, authorities тримають офлайн довгострокові ключі ідентичності, які засвідчують щоденні ключі підпису: здобути звичайний ключ не означає здобути місце. Специфікація також нагадує, навіщо взагалі існує колективне голосування: у старішому каталозному проєкті Tor один authority, що брехав, «міг певний час нав'язати клієнтам довільно перекручене уявлення» про мережу. Вимога згоди кількох authorities на один документ і була виправленням.Хто насправді займає ці місця
Нічого з цього не є анонімною інфраструктурою. moria1, одна з найдовше чинних authorities, працює під керівництвом Роджера Дінгледайна, співзасновника Tor Project. tor26 належить Пітеру Пальфрадеру, dannenberg — німецькому Chaos Computer Club e.V., gabelmoo — F3 Netze e.V., ще одній німецькій некомерційній організації; решту місць тримають індивідуальні оператори та малі організації з довгою історією в проєкті. OrNetStats, незалежний проєкт моніторингу різноманіття вузлів, публікує операторів bandwidth authorities разом із поданими ними контактами — цей закуток мережі надзвичайно легко перевіряти ззовні.Від сканера до ваги консенсусу
Консенсус не лише перелічує вузли — він їх зважує. Документація метрик Tor визначає вагу консенсусу вузла як значення, що спирається на пропускну здатність, яку вузол звітує, і на ту, яку вимірюють directory authorities. Вимірювання виконують виділені системи, відомі як сканери пропускної здатності або bandwidth authorities: вони під'єднуються до мережі як звичайні клієнти, міряють реальні передачі через кожен вузол і публікують результати у файлі пропускної здатності. Відповідно до специфікації файла пропускної здатності, authorities читають цей файл і використовують його значення, щоб масштабувати ваги у своїх голосах. Коли той самий вузол виміряло кілька сканерів, вага консенсусу виходить із медіани вимірів — один зламаний чи упереджений сканер не може сам наодинці диктувати частку вузла в мережі.Концентрована довіра — навмисно
Комітет із дев'яти виглядає як одна точка відмови, і проєкт Tor ніколи не вдавав іншого. Аргумент на користь концентрації: малий, публічно відомий колектив професійних операторів легше обороняти — і важче непомітно підкопувати — ніж великий і анонімний. Ризик — його дзеркальне відображення: супротивник, який скомпрометував би більшість authorities, мігби протягом вікна у кілька годин підсовувати клієнтам перекручене уявлення про мережу — скажімо, роздуваючи ваги власних вузлів. Саме тому мережеві адреси authorities вшиті в Tor Browser і саме тому проєкт ставиться до їхньої цілісності як до чогось, що публіка може перевірити сама.«IP-адреси directory authorities вшиті в tarball TBB, який (розсудливі) користувачі Tor перед запуском перевіряють від'єднаним підписом проти ключа підпису». — блог Tor Project