🥇Какво ни струва да изградим Mesh: как децентрализираният интернет доставчик „Medium“ създава нов интернет на базата на Yggdrasil

Здравейте!

Сигурно за вас не е голяма новина, че «Суверенен Рунет» е на хоризонта — законът влиза в сила на 1 ноември тази година.

За съжаление, как ще работи (или ще работи ли?) — не е съвсем ясно: точни инструкции за операторите на свързване все още не са на разположение. Няма и методи, глоби, планове, разпределение на задължения и отговорни — просто се декларира.

Подобна ситуация се наблюдаваше и по отношение на реализацията на плановете на «закона Яровая» — оборудването за закона не беше разработено навреме и водещите оператори на свързване в страната бяха принуждавани многократно да се обръщат към потенциални производители на специализирано оборудване с съответните въпроси. Но и те не получиха отговор нито за информацията за оборудването, нито за самите样样样samples.

Но най-важното не е кога законът ще влезе в сила и какви промени ни очакват. Най-важното е, че благодарение на въвеждането на този законопроект, общността на ентусиастите започна разгръщането на независима телекомуникационна среда в нашата страна.

Днес ще ви разкажа какво вече успяхме да направим, какво планираме да направим в най-близко бъдеще и с какви трудности и проблеми се сблъскахме по пътя на развитието на проекта.

За какво е законът?

Преди да премина към техническата част на нашия проект, трябва да уточня какво представлява законът «За суверенния Рунет».

Накратко: властите искат да "осигурят" руския сегмент на Интернет, в случай че условните врагове решат да ни го изключат. Но "с добри намерения е осеяна пътя към ада" — не е съвсем ясно от какви точно нужди ще ни защитават и по какъв начин "враговете" изобщо могат да нарушат работата на руския сегмент на Интернет.

За реализирането на този сценарий атака трябва да се сговорят всички държави по света, да прерязват всички трансгранични кабели, да свалят местни спътници и да създадат постоянни радиосмущения.

Звучи не особено правдоподобно.

Какво е «Medium»?

Средно (англ. Средно — „посредник“, оригиналният слоган — Не искайте своята конфиденциалност. Вземете я обратно; също така на английски думата medium означава „междинен“) — руски децентрализирания интернет доставчик, предоставящ услуги за достъп до мрежата Yggdrasil безплатно.

Кога, къде и защо беше създадено „Medium“?

Изначално проектът беше замислен като Mesh-мрежа в в Коломенския градски окръг.

„Medium“ беше създадено през април 2019 г. с цел създаване на независима телекомуникационна среда, предоставяйки на крайните потребители достъп до ресурсите на мрежата Yggdrasil чрез технологията за безжично предаване на данни Wi-Fi.

Къде мога да намеря пълен списък на всички точки в мрежата?Можете да го намерите в репозитории в GitHub.

Какво е Yggdrasil и защо „Medium“ го използва като основен транспорт?

Yggdrasil — това е самоорганизираща се Mesh-мрежа, която има възможност за свързване на рутери както в режим на.overlay (нагоре в интернет мрежата), така и директно помежду си чрез кабелна или безжична връзка.

Yggdrasil е продължение на проекта CjDNS. Основната разлика между Yggdrasil и CjDNS е използването на протокола STP (протокол на разширяващото се дърво).

По подразбиране всички рутери в мрежата използват постоянно криптиране за предаване на данни между другите участници.

Изборът на мрежата Yggdrasil като основен транспорт беше продиктуван от нуждата от увеличаване на скоростта на свързване (до август 2019 г. „Medium“ използваше I2P).

Преминаването към Yggdrasil също предостави на участниците в проекта възможността да започнат разгръщането на Mesh-мрежа с топология Full-Mesh. Такава организация на мрежата е най-ефективният антидот срещу цензурата.

Разбор на полетите: на какви капани вече успяхме да стъпим

„Опитът е син на трудните грешки“. По време на разработката на „Medium“ успяхме да разрешим множество проблеми, възникнали на нашия път.

Грешка №1: инфраструктура на отворените ключове

Една от основните проблеми по време на проектирането на мрежата беше възможността за провеждане MITM атака. Трафикът между маршрутизатора на оператора и устройството на клиента не беше по никакъв начин криптиран, тъй като дешифрирането на основния трафик се извършваше директно на маршрутизатора на оператора.

Проблемът беше, че зад маршрутизатора може да има всеки — и ние наистина не искахме този „някой“ да може да подслушва всичко, което получават клиентите.

Първата ни грешка беше въвеждането в действие инфраструктури за открит ключ (PKI).

Благодарение на използването на 7-мо ниво сетевата модел OSI съумяхме да се избавим от MITM атаки, но получихме нов проблем — необходимостта от инсталиране на сертификати на коректни удостоверяващи центрове. А удостоверяващите центрове — това е още един излишен проблем. Ключовата дума тук е „доверие“.

Отново трябва да се доверим на някого! А какво, ако удостоверяващият център се окаже компрометиран? Както ни подсказва другарят Мърфи, — рано или късно удостоверяващият център действително ще бъде компрометиран. И това е горчивата истина.

Дълго мислехме над разрешаването и на този проблем и в крайна сметка стигнахме до извода, че не е необходима употребата на PKI — достатъчно е да се използва нативно криптиране Yggdrasil.

След внесените корекции, топологията на мрежата „Medium“ прие следния вид:

Грешка №2: централизирана DNS

Системата за домейн имена ни беше необходима от самото начало, тъй като обемистите IPv6 адреси не изглеждаха добре — неудобно беше да се използват в хипервръзки, а отсъствието на семантична съставка беше голямо неудобство.

Създадохме няколко коренови DNS сървъра, които съхраняваха копие на списъка AAAA записа, разположен в репозитории в GitHub.

Но проблемът с доверието не изчезна — подмяната на IPv6 адреса на DNS сървъра можеше да бъде извършена моментално от неговия оператор. При наличие на определени умения — дори почти незабелязано за другите.

Тъй като не използваме HTTPS и по-специално технологията HSTS, при подмяна на адреса в DNS, можеше да бъде осъществена атака чрез подмяна на IPv6 адреса на крайния сървър без никакви проблеми.

Решението не закъсня: решихме да прибегнем до използването на технология EmerDNS — децентрализиран DNS.

По някакъв начин EmerDNS наподобява файла hosts, където присъстват записи за всички известни сайтове. Но за разлика от hosts:

Всяка редица в EmerDNS може да бъде модифицирана само от нейния собственик, и никой друг
Невъзможността за „вмешателство на бога (супер-администратора)“ се осигурява от консенсуса на миньорите
Този файл е един и същ за всички, което се осигурява от механизма на репликация в блокчейна
Към файла е приложен бърз търсач

Източник: «EmerDNS — алтернатива на DNSSEC»

Грешка №3: централизирането на всичко

Първоначално думата „Интернет“ подразбираше нещо повече от interconnected networks или мрежа от мрежи.

С времето Интернет спря да се асоциира с нещо академично и стана по-обикновено понятие, тъй като влиянието му широко се разпространи в живота на обикновените хора.

Т.е. първоначално Интернет беше децентрализиран. Сега вече е трудно да се нарече децентрализация, въпреки че концепцията е запазена и до днешни дни — просто най-големите възли за обмен на трафик са контролирани от големи компании. А големите компании, от своя страна, се контролират от държавата.

Но да се върнем на проблема ни — тенденцията към централизация се задава от операторите на отделни услуги като социални мрежи, сървъри за електронна поща, месинджъри и така нататък.

„Medium“ в това отношение практически не се различаваше от голямото Интернет до настоящия момент — повечето услуги бяха централизирани и контролирани от отделни оператори.

Сега обаче решихме да предприемем курс за пълна децентрализация — за да могат жизненоважните услуги да продължат да работят, независимо от това дали е възникнал проблем на централния сървър на оператора или не.

Като система за мигновен обмен на съобщения използваме Matrix. Като социални мрежи — Mastodon и Hubzilla. За видеохостинг — PeerTube.

Разбира се, повечето услуги все още са централизирани и продължават да се контролират от отделни оператори, но важното е, че движението към пълна децентрализация съществува и е усетено от всички участници в общността.

Свободният интернет в Русия започва с вас

Вие можете да помогнете в създаването на свободен интернет в Русия още днес. Подготвихме изчерпателен списък с дейности, с които можете да подпомогнете мрежата:

       Разкажете на приятелите и колегите си за мрежата „Medium“
       Споделете линка към тази статия в социалните мрежи или вашия личен блог
       Участвайте в дискусиите по техническите въпроси на мрежата „Medium“ на GitHub
       Създайте своя уеб-сервис в мрежата Yggdrasil
       Повдигнете своята точка за достъп към мрежата „Medium“