{"id":37685,"date":"2019-10-31T22:19:05","date_gmt":"2019-10-31T19:19:05","guid":{"rendered":"https:\/\/prohoster.info\/blog\/chto-nam-stoit-mesh-postroit-kak-detsentralizovannyj-internet-provajder-medium-delaet-novyj-internet-na-baze-yggdrasil\/"},"modified":"2019-10-31T22:19:05","modified_gmt":"2019-10-31T19:19:05","slug":"chto-nam-stoit-mesh-postroit-kak-detsentralizovannyj-internet-provajder-medium-delaet-novyj-internet-na-baze-yggdrasil","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/chto-nam-stoit-mesh-postroit-kak-detsentralizovannyj-internet-provajder-medium-delaet-novyj-internet-na-baze-yggdrasil","title":{"rendered":"Was es kostet, ein Mesh-Netzwerk aufzubauen: Wie der dezentrale Internetanbieter \u201eMedium\u201c das neue Internet auf Basis von Yggdrasil entwickelt.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Hallo!<\/p>\n

Es ist sicher keine gro\u00dfe Neuigkeit f\u00fcr Sie, dass der \u00absuver\u00e4ne Runet\u00bb<\/a><\/noindex> nicht mehr fern ist \u2013 das Gesetz tritt bereits am 1. November<\/b> dieses Jahres in Kraft.<\/p>\n

Leider ist unklar, wie es funktionieren wird (und ob \u00fcberhaupt) \u2013 genaue Anweisungen f\u00fcr die Telekommunikationsanbieter sind derzeit nicht \u00f6ffentlich zug\u00e4nglich. Es existieren auch keine Methoden, Strafen, Pl\u00e4ne, Verteilung von Pflichten oder Verantwortlichkeiten \u2013 es gibt lediglich eine Deklaration.<\/p>\n

Eine \u00e4hnliche Situation trat auch bei der Umsetzung der Pl\u00e4ne des \u00abJarowa-Gesetzes\u00bb auf \u2013 die erforderliche Ausr\u00fcstung wurde nicht rechtzeitig entwickelt, und f\u00fchrende Telekommunikationsanbieter des Landes mussten sich wiederholt an potenzielle Hersteller von spezialisierten Ger\u00e4ten wenden, um entsprechende Informationen zu erhalten. Aber auch sie bekamen keine R\u00fcckmeldung zu den Ger\u00e4tespezifikationen oder Musterteilen.<\/p>\n

Die wichtigste Frage ist jedoch nicht, wie schnell das Gesetz in Kraft tritt und welche Ver\u00e4nderungen uns erwarten. Wichtiger ist, dass mit der Einf\u00fchrung dieses Gesetzes die Gemeinschaft der Enthusiasten begonnen hat, eine unabh\u00e4ngige Telekommunikationsumgebung in unserem Land aufzubauen.<\/p>\n

Heute m\u00f6chte ich Ihnen erz\u00e4hlen, was wir bereits umgesetzt haben, was wir in naher Zukunft vorhaben und mit welchen Schwierigkeiten und Herausforderungen wir bei der Entwicklung des Projekts konfrontiert waren.<\/p>\n

\"Was
\n<\/a><\/noindex><\/p>\n

Wor\u00fcber geht das Gesetz?<\/h2>\n

\nBevor ich in die technischen Details unseres Projekts eintauche, m\u00f6chte ich darauf hinweisen, was das Gesetz \u00fcber das 'souver\u00e4ne Runet' beinhaltet.<\/p>\n

Kurz gesagt: Die Beh\u00f6rden m\u00f6chten das russische Segment des Internets 'sichern', falls m\u00f6gliche Feinde es abschalten wollen. Doch 'Gute Absichten pflastern den Weg zur H\u00f6lle' \u2013 es ist nicht ganz klar, vor wem wir gesch\u00fctzt werden sollen und wie diese 'Feinde' \u00fcberhaupt die Funktionsf\u00e4higkeit des russischen Internetsegments st\u00f6ren k\u00f6nnten.<\/p>\n

F\u00fcr die Durchf\u00fchrung dieses Angriffsszenarios m\u00fcssten sich alle L\u00e4nder der Welt zusammenschlie\u00dfen, alle grenz\u00fcberschreitenden Kabel durchtrennen, nationale Satelliten abschie\u00dfen und dauerhafte Funkst\u00f6rungen erzeugen.<\/p>\n

Das klingt nicht sehr glaubw\u00fcrdig.<\/p>\n

\"Was
\n<\/p>\n

Was ist \u00abMedium\u00bb?<\/h2>\n

\nMedium<\/b> (engl. Medium<\/i> \u2014 'Vermittler', der urspr\u00fcngliche Slogan \u2014 Fordern Sie Ihre Privatsph\u00e4re nicht einfach an. Nehmen Sie sie zur\u00fcck.<\/i>; auch im Englischen bedeutet das Wort medium<\/i> es 'zwischenliegend') \u2014 ein russischer dezentraler Internetanbieter, der Zugangsdienste zum Netz anbietet Yggdrasil<\/a><\/noindex> kostenlos.<\/p>\n

Wann, wo und warum wurde \u201eMedium\u201c gegr\u00fcndet?<\/h2>\n

\nUrspr\u00fcnglich wurde das Projekt als Mesh-Netzwerk<\/a><\/noindex> in im Stadtkreis Kolomna konzipiert,<\/a><\/noindex>.<\/p>\n

\u201eMedium\u201c wurde im April 2019 gegr\u00fcndet, um eine unabh\u00e4ngige Telekommunikationsumgebung zu schaffen, die es Endbenutzern erm\u00f6glicht, \u00fcber die Wi-Fi-Technologie auf die Ressourcen des Yggdrasil-Netzwerks zuzugreifen.<\/p>\n

Wo kann ich eine vollst\u00e4ndige Liste aller Knoten im Netzwerk finden?<\/b>Sie k\u00f6nnen diese finden in im Repository auf GitHub<\/a><\/noindex>.<\/p>\n

\"Was
\n<\/p>\n

Was ist Yggdrasil und warum verwendet \u201eMedium\u201c es als prim\u00e4ren Transport?<\/h2>\n

\nYggdrasil<\/a><\/noindex> \u2014 es ist ein selbstorganisierendes Mesh-Netzwerk<\/a><\/noindex>, das die Verbindung von Routern sowohl im Overlay-Modus (\u00fcber das Internet) als auch direkt zueinander \u00fcber kabelgebundene oder drahtlose Verbindungen erm\u00f6glicht.<\/p>\n

Yggdrasil ist eine Weiterentwicklung des Projekts CjDNS<\/a><\/noindex>. Der Hauptunterschied zwischen Yggdrasil und CjDNS besteht in der Verwendung des Protokolls STP<\/a><\/noindex> (spanning tree protocol).<\/p>\n

\"Was
\n
\nStandardm\u00e4\u00dfig verwenden alle Router im Netzwerk Ende-zu-Ende-Verschl\u00fcsselung<\/a><\/noindex> zum Datenaustausch zwischen den Teilnehmern.<\/p>\n

Die Wahl des Yggdrasil-Netzwerks als prim\u00e4ren Transport wurde durch den Bedarf an einer h\u00f6heren Verbindungsgeschwindigkeit bedingt (bis August 2019 verwendete \u201eMedium\u201c) I2P<\/a><\/noindex>).<\/p>\n

Der Wechsel zu Yggdrasil hat den Teilnehmern des Projekts auch die M\u00f6glichkeit gegeben, mit dem Aufbau eines Mesh-Netzwerks in einer Full-Mesh-Topologie zu beginnen. Diese Netzwerkorganisation ist das effektivste Gegenmittel gegen Zensur.<\/p>\n

\"Was
\n<\/p>\n

Nachbesprechung: Auf welche Stolpersteine sind wir bereits gesto\u00dfen?<\/h2>\n

\n\u201eErfahrung ist der Sohn schwieriger Fehler\u201c. W\u00e4hrend der Entwicklung von \u201eMedium\u201c konnten wir zahlreiche Probleme l\u00f6sen, die auf unserem Weg auftraten.<\/p>\n

Fehler Nr. 1: Infrastruktur der \u00f6ffentlichen Schl\u00fcssel<\/h3>\n

\nEines der Hauptprobleme zum Zeitpunkt der Netzwerkkonzeption war die M\u00f6glichkeit eines MITM-Angriffs.<\/a><\/noindex>Der Datenverkehr zwischen dem Router des Betreibers und dem Endger\u00e4t des Kunden wurde in keiner Weise verschl\u00fcsselt, da die Entschl\u00fcsselung des Hauptverkehrs direkt auf dem Router des Betreibers stattfand.<\/p>\n

Das Problem war, dass hinter dem Router potenziell jeder sein konnte \u2013 und wir wollten auf keinen Fall, dass dieser \u201ejemand\u201c alles abh\u00f6ren konnte, was die Kunden erhielten.<\/p>\n

Unser erster Fehler war die Einf\u00fchrung von Infrastrukturen \u00f6ffentlicher Schl\u00fcssel<\/a><\/noindex> der PKI.<\/p>\n

Dank der Nutzung der 7. Schicht des OSI-Netzwerkmodells. <\/a><\/noindex> Wir haben uns von MITM-Angriffen befreit, aber jetzt haben wir ein neues Problem \u2013 die Notwendigkeit, Zertifikate von Root-Zertifizierungsstellen zu installieren. Und diese Zertifizierungsstellen sind ein weiteres Hindernis. Das Schl\u00fcsselwort hier ist 'Vertrauen'.<\/p>\n

Wieder muss man jemandem vertrauen! Was, wenn die Zertifizierungsstelle kompromittiert wird? Wie uns Freund Murphy lehrt, wird eine Zertifizierungsstelle fr\u00fcher oder sp\u00e4ter tats\u00e4chlich kompromittiert. Und das ist die bittere Wahrheit.<\/p>\n

Wir haben lange \u00fcber die L\u00f6sung dieses Problems nachgedacht und schlie\u00dflich sind wir zu dem Schluss gekommen, dass die Verwendung von PKI nicht erforderlich ist \u2013 es reicht aus, die native Yggdrasil-Verschl\u00fcsselung zu verwenden.<\/a><\/noindex>.<\/p>\n

Nach den entsprechenden Anpassungen nahm die Netzwerk-Topologie 'Medium' folgende Form an:<\/p>\n

\"Was<\/p>\n

Fehler Nr. 2: zentralisierter DNS<\/h3>\n

\nEin Domain-Name-System war von Anfang an notwendig, da die sperrigen IPv6-Adressen nicht nur unansehnlich waren \u2013 es war unpraktisch, sie in Hyperlinks zu verwenden, und das Fehlen einer semantischen Komponente stellte ein gro\u00dfes Problem dar.<\/p>\n

Wir haben mehrere Root-DNS-Server erstellt, die eine Kopie der Liste von AAAA-Eintr\u00e4gen gespeichert haben.<\/a><\/noindex>, das sich in im Repository auf GitHub<\/a><\/noindex>.<\/p>\n

\"Was
\nDas Vertrauensproblem bleibt jedoch bestehen \u2013 der Betreiber konnte die IPv6-Adresse auf dem DNS-Server im Handumdrehen ersetzen. Mit ein wenig Geschick \u2013 sogar fast unbemerkt von anderen.<\/p>\n

Da wir kein HTTPS verwenden und insbesondere die Technologie HSTS<\/a><\/noindex>nicht implementiert haben, konnte bei einer Adress\u00e4nderung im DNS problemlos ein Angriff durch Austausch der IPv6-Adresse des Zielservers durchgef\u00fchrt werden.<\/p>\n

Die L\u00f6sung lie\u00df nicht lange auf sich warten: Wir haben uns entschieden, die Technologie EmerDNS<\/a><\/noindex> zu nutzen \u2013 ein dezentralisiertes DNS.<\/p>\n

In gewisser Weise \u00e4hnelt EmerDNS einer hosts-Datei, in der alle bekannten Websites verzeichnet sind. Im Gegensatz zu hosts:<\/p>\n