{"id":37685,"date":"2019-10-31T22:19:05","date_gmt":"2019-10-31T19:19:05","guid":{"rendered":"https:\/\/prohoster.info\/blog\/chto-nam-stoit-mesh-postroit-kak-detsentralizovannyj-internet-provajder-medium-delaet-novyj-internet-na-baze-yggdrasil\/"},"modified":"2019-10-31T22:19:05","modified_gmt":"2019-10-31T19:19:05","slug":"chto-nam-stoit-mesh-postroit-kak-detsentralizovannyj-internet-provajder-medium-delaet-novyj-internet-na-baze-yggdrasil","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/chto-nam-stoit-mesh-postroit-kak-detsentralizovannyj-internet-provajder-medium-delaet-novyj-internet-na-baze-yggdrasil","title":{"rendered":"Was uns der Aufbau von Mesh kostet: Wie der dezentralisierte Internetanbieter \u201eMedium\u201c ein neues Internet auf Basis von Yggdrasil schafft","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Hallo!<\/p>\n

Es wird f\u00fcr Sie sicherlich keine gro\u00dfe Neuigkeit sein, dass \u201eSouver\u00e4ner Runet\u201c<\/a><\/noindex> nicht mehr weit entfernt ist \u2013 das Gesetz tritt bereits am 1. November<\/b> in diesem Jahr in Kraft.<\/p>\n

Leider ist nicht ganz klar, wie es funktionieren wird (oder ob es funktionieren wird?): Konkrete Anweisungen f\u00fcr die Telekommunikationsanbieter liegen bisher nicht \u00f6ffentlich vor. Au\u00dferdem gibt es keine Methoden, Strafen, Pl\u00e4ne, Verteilung von Pflichten und Verantwortlichen \u2013 es gibt einfach nur eine Deklaration.<\/p>\n

Eine \u00e4hnliche Situation gab es auch bei der Umsetzung der Pl\u00e4ne des \u201eJarowaja-Gesetzes\u201c \u2013 die Ausr\u00fcstung f\u00fcr das Gesetz konnte nicht rechtzeitig entwickelt werden und die f\u00fchrenden Telekommunikationsanbieter des Landes waren gezwungen, sich wiederholt an potenzielle Hersteller spezieller Ausr\u00fcstung mit entsprechenden Fragen zu wenden. Doch auch diese erhielten keine Antworten, weder zu den Informationen \u00fcber die Ausr\u00fcstung noch zu den Mustern selbst.<\/p>\n

Aber das Wichtigste ist nicht, wie schnell das Gesetz in Kraft tritt und welche \u00c4nderungen uns erwarten. Das Wichtigste ist, dass die Einf\u00fchrung dieses Gesetzes das Engagement der Enthusiasten aktiviert hat, eine unabh\u00e4ngige Telekommunikationsumgebung in unserem Land aufzubauen.<\/p>\n

Heute werde ich dar\u00fcber sprechen, was wir bereits erreicht haben, was wir in naher Zukunft vorhaben und mit welchen Schwierigkeiten und Problemen wir bei der Entwicklung des Projekts konfrontiert wurden.<\/p>\n

\"Was
\n<\/a><\/noindex><\/p>\n

Wor\u00fcber handelt das Gesetz?<\/h2>\n

\nBevor ich zum technischen Teil unseres Projekts \u00fcbergehe, muss ich klarstellen, was das Gesetz \u201e\u00dcber den souver\u00e4nen Runet\u201c tats\u00e4chlich bedeutet.<\/p>\n

Kurz gesagt: Die Beh\u00f6rden wollen den russischen Internet-Sektor \u201esichern\u201c f\u00fcr den Fall, dass potenzielle Feinde ihn uns abschalten wollen. Doch \u201egute Absichten pflastern den Weg zur H\u00f6lle\u201c \u2013 es ist nicht ganz klar, vor wem wir gesch\u00fctzt werden sollen und wie die \u201eFeinde\u201c \u00fcberhaupt die Funktionsweise des russischen Internet-Segments st\u00f6ren k\u00f6nnen.<\/p>\n

F\u00fcr die Umsetzung dieses Angriffszenarios m\u00fcssten sich alle L\u00e4nder der Welt zusammenschlie\u00dfen, alle grenz\u00fcberschreitenden Kabel durchtrennen, einheimische Satelliten abschie\u00dfen und st\u00e4ndige St\u00f6rsignale erzeugen.<\/p>\n

Das klingt nicht sehr glaubw\u00fcrdig.<\/p>\n

\"Was
\n<\/p>\n

Was ist \u201eMedium\u201c?<\/h2>\n

\nMittel<\/b> (engl. Mittel<\/i> \u2014 \u201eVermittler\u201c, der urspr\u00fcngliche Slogan \u2014 Fordern Sie nicht Ihre Privatsph\u00e4re an. Nehmen Sie sie zur\u00fcck.<\/i>; auch im Englischen bedeutet das Wort medium<\/i> \u201ezwischen\u201c) \u2014 ein russischer dezentraler Internetanbieter, der die Bereitstellung von Zugang zum Netzwerk Yggdrasil<\/a><\/noindex> kostenlos anbietet.<\/p>\n

Wann, wo und warum wurde \u201eMedium\u201c gegr\u00fcndet?<\/h2>\n

\nUrspr\u00fcnglich wurde das Projekt als Mesh-Netzwerk<\/a><\/noindex> in im Kolomensky-Stadtbezirk<\/a><\/noindex>.<\/p>\n

\u201eMedium\u201c wurde im April 2019 gegr\u00fcndet, um eine unabh\u00e4ngige Telekommunikationsumgebung zu schaffen, indem den Endbenutzern der Zugang zu den Ressourcen des Yggdrasil-Netzwerks durch die Nutzung von Wi-Fi-Drahtlos\u00fcbertragungstechnologie bereitgestellt wird.<\/p>\n

Wo kann ich eine vollst\u00e4ndige Liste aller Zugangspunkte im Netzwerk finden?<\/b>Sie k\u00f6nnen sie finden unter dem Repository auf GitHub<\/a><\/noindex>.<\/p>\n

\"Was
\n<\/p>\n

Was ist Yggdrasil und warum verwendet \u201eMedium\u201c es als Haupttransportmittel?<\/h2>\n

\nYggdrasil<\/a><\/noindex> \u2014 es ist ein selbstorganisierendes Mesh-Netzwerk<\/a><\/noindex>, das die M\u00f6glichkeit bietet, Router sowohl im Overlay-Modus (\u00fcber das Internet) als auch direkt miteinander \u00fcber drahtgebundene oder drahtlose Verbindungen zu verbinden.<\/p>\n

Yggdrasil ist die Fortsetzung des Projekts CjDNS<\/a><\/noindex>. Der Hauptunterschied zwischen Yggdrasil und CjDNS ist die Verwendung des Protokolls STP<\/a><\/noindex> (Spanning Tree Protocol).<\/p>\n

\"Was
\n
\nStandardm\u00e4\u00dfig verwenden alle Router im Netzwerk Ende-zu-Ende-Verschl\u00fcsselung<\/a><\/noindex> zum Datenaustausch zwischen anderen Teilnehmern.<\/p>\n

Die Wahl des Yggdrasil-Netzwerks als Haupttransportmittel wurde durch die Notwendigkeit bedingt, die Verbindungsgeschwindigkeit zu erh\u00f6hen (bis August 2019 verwendete \u201eMedium\u201c I2P<\/a><\/noindex>).<\/p>\n

Der Wechsel zu Yggdrasil hat den Projektteilnehmern auch die M\u00f6glichkeit gegeben, mit dem Aufbau eines Mesh-Netzwerks in einer Full-Mesh-Topologie zu beginnen. Eine solche Netzwerkorganisation ist das effektivste Gegenmittel gegen Zensur.<\/p>\n

\"Was
\n<\/p>\n

Fluganalyse: Auf welche Mistgabeln sind wir bereits getreten<\/h2>\n

\n\u201eErfahrung ist der Sohn harter Fehler\u201c. W\u00e4hrend der Entwicklung von \u201eMedium\u201c haben wir viele Probleme gel\u00f6st, die uns auf unserem Weg begegnet sind.<\/p>\n

Fehler Nr. 1: Infrastruktur \u00f6ffentlicher Schl\u00fcssel<\/h3>\n

\nEines der Hauptprobleme beim Design des Netzwerks war die M\u00f6glichkeit, durchzuf\u00fchren MITM-Angriffen<\/a><\/noindex>. Der Datenverkehr zwischen dem Router des Anbieters und dem Endger\u00e4t des Kunden wurde auf keinerlei Weise verschl\u00fcsselt, da die Entschl\u00fcsselung des Hauptdatenverkehrs direkt am Router des Anbieters erfolgte.<\/p>\n

Das Problem bestand darin, dass hinter dem Router jeder sein konnte \u2013 und wir wollten auf keinen Fall, dass jemand alles abh\u00f6ren konnte, was die Kunden erhielten.<\/p>\n

Unser erster Fehler war die Einf\u00fchrung von Infrastrukturen \u00f6ffentlicher Schl\u00fcssel<\/a><\/noindex> (PKI).<\/p>\n

Durch die Verwendung der 7. Schicht des OSI-Schichtenmodells <\/a><\/noindex> konnten wir MITM-Angriffe vermeiden, hatten aber ein neues Problem \u2013 die Notwendigkeit, Zertifikate von Root-Zertifizierungsstellen zu installieren. Und Zertifizierungsstellen \u2013 das ist ein weiteres zus\u00e4tzliches Problem. Das Schl\u00fcsselwort hier ist \u201eVertrauen\u201c.<\/p>\n

Wieder muss man jemandem vertrauen! Was, wenn die Zertifizierungsstelle kompromittiert ist? Wie uns Freund Murphy r\u00e4t \u2013 irgendwann wird die Zertifizierungsstelle tats\u00e4chlich kompromittiert. Und das ist die bittere Wahrheit.<\/p>\n

Wir haben lange \u00fcber die L\u00f6sung dieses Problems nachgedacht und sind schlie\u00dflich zu dem Schluss gekommen, dass es nicht notwendig ist, PKI zu verwenden \u2013 es reicht, um native Verschl\u00fcsselung Yggdrasil<\/a><\/noindex>.<\/p>\n

zu nutzen. Nach den entsprechenden Anpassungen nahm die Topologie des Netzwerks \u201eMedium\u201c folgende Form an:<\/p>\n

\"Was<\/p>\n

Fehler Nr. 2: zentralisierter DNS<\/h3>\n

\nDas Domain-System war von Anfang an notwendig, da unhandliche IPv6-Adressen nicht nur schlecht aussahen \u2013 ihre Verwendung in Hyperlinks war unpraktisch, und das Fehlen einer semantischen Komponente war ein gro\u00dfes Unannehmlichkeit.<\/p>\n

Wir haben mehrere Root-DNS-Server erstellt, die eine Kopie der Liste AAAA-Records<\/a><\/noindex>, die sich in dem Repository auf GitHub<\/a><\/noindex>.<\/p>\n

\"Was
\nbefand. Das Problem des Vertrauens war jedoch nicht verschwunden \u2013 ein Anfeuchten der IPv6-Adresse auf dem DNS-Server konnte der Betreiber im Handumdrehen durchf\u00fchren. Bei entsprechender Geschicklichkeit \u2013 sogar nahezu unbemerkt f\u00fcr andere.<\/p>\n

Da wir kein HTTPS und insbesondere die Technologie HSTS verwenden<\/a><\/noindex>, bei der Adress\u00e4nderung im DNS konnte ohne Probleme eine IPv6-Adressen-Spoofing-Attacke auf den Endserver durchgef\u00fchrt werden.<\/p>\n

Die L\u00f6sung lie\u00df nicht lange auf sich warten: Wir beschlossen, die Technologie EmerDNS<\/a><\/noindex> \u2014 ein dezentralisiertes DNS, zu nutzen.<\/p>\n

In gewisser Weise \u00e4hnelt EmerDNS einer Hosts-Datei, die Eintr\u00e4ge \u00fcber alle bekannten Seiten enth\u00e4lt. Im Gegensatz zu Hosts jedoch:<\/p>\n