{"id":37685,"date":"2019-10-31T22:19:05","date_gmt":"2019-10-31T19:19:05","guid":{"rendered":"https:\/\/prohoster.info\/blog\/chto-nam-stoit-mesh-postroit-kak-detsentralizovannyj-internet-provajder-medium-delaet-novyj-internet-na-baze-yggdrasil\/"},"modified":"2019-10-31T22:19:05","modified_gmt":"2019-10-31T19:19:05","slug":"chto-nam-stoit-mesh-postroit-kak-detsentralizovannyj-internet-provajder-medium-delaet-novyj-internet-na-baze-yggdrasil","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/administrirovanie\/chto-nam-stoit-mesh-postroit-kak-detsentralizovannyj-internet-provajder-medium-delaet-novyj-internet-na-baze-yggdrasil","title":{"rendered":"Quel est le co\u00fbt de la construction d'un r\u00e9seau Mesh : comment le fournisseur d'acc\u00e8s Internet d\u00e9centralis\u00e9 \u00ab Medium \u00bb cr\u00e9e un nouvel Internet bas\u00e9 sur Yggdrasil","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Bonjour !<\/p>\n

Il ne sera sans doute pas tr\u00e8s surprenant pour vous que le \u00abRunet souverain\u00bb<\/a><\/noindex> n'est pas loin \u2014 la loi entrera en vigueur le 1er novembre<\/b> de cette ann\u00e9e.<\/p>\n

Malheureusement, il n'est pas tout \u00e0 fait clair comment cela fonctionnera (et fonctionnera-t-il ?) : il n'y a pas encore d'instructions pr\u00e9cises pour les op\u00e9rateurs de t\u00e9l\u00e9communications disponibles publiquement. Il n'y a \u00e9galement pas de m\u00e9thodes, de sanctions, de plans, de r\u00e9partition des responsabilit\u00e9s et de responsables \u2014 il ne s'agit que de d\u00e9clarations.<\/p>\n

Une situation similaire a \u00e9t\u00e9 observ\u00e9e concernant la mise en \u0153uvre des plans de la \u00abloi Yarovaya\u00bb \u2014 l'\u00e9quipement pour la loi n'a pas pu \u00eatre d\u00e9velopp\u00e9 \u00e0 temps et les principaux op\u00e9rateurs de t\u00e9l\u00e9communications du pays ont d\u00fb \u00e0 plusieurs reprises contacter des fabricants potentiels d'\u00e9quipement sp\u00e9cialis\u00e9 avec des questions correspondantes. Cependant, ceux-ci n'ont pas non plus re\u00e7u de r\u00e9ponses concernant les sp\u00e9cifications de l'\u00e9quipement ni des \u00e9chantillons eux-m\u00eames.<\/p>\n

Mais ce qui est essentiel, ce n'est pas combien de temps il faudra avant que la loi entre en vigueur et quels changements nous attendent. L'essentiel est que, gr\u00e2ce \u00e0 l'introduction de ce projet de loi, la communaut\u00e9 des passionn\u00e9s a commenc\u00e9 \u00e0 d\u00e9ployer un environnement de t\u00e9l\u00e9communication ind\u00e9pendant dans notre pays.<\/p>\n

Aujourd'hui, je vais vous parler de ce que nous avons d\u00e9j\u00e0 r\u00e9ussi \u00e0 faire, de ce que nous pr\u00e9voyons de faire dans un avenir proche et des difficult\u00e9s et probl\u00e8mes que nous avons rencontr\u00e9s dans le d\u00e9veloppement du projet.<\/p>\n

\"Quel
\n<\/a><\/noindex><\/p>\n

De quoi parle la loi ?<\/h2>\n

\nAvant de passer \u00e0 la partie technique de notre projet, je dois clarifier ce qu'est la loi \u00absur le Runet souverain\u00bb.<\/p>\n

En bref : les autorit\u00e9s veulent \u00abs\u00e9curiser\u00bb le segment russe d'Internet au cas o\u00f9 des ennemis conditionnels souhaiteraient le d\u00e9connecter. Mais \u00abc'est avec de bonnes intentions que l'on pave le chemin de l'enfer\u00bb \u2014 il n'est pas tout \u00e0 fait clair contre qui nous voulons nous prot\u00e9ger et comment les \u00abennemis\u00bb pourraient en principe perturber le fonctionnement du segment russe d'Internet.<\/p>\n

Pour r\u00e9aliser ce sc\u00e9nario, tous les pays du monde devraient conspirer, couper tous les c\u00e2bles transfrontaliers, abattre des satellites nationaux et cr\u00e9er des interf\u00e9rences radio constantes.<\/p>\n

Cela ne semble pas tr\u00e8s cr\u00e9dible.<\/p>\n

\"Quel
\n<\/p>\n

Qu'est-ce que \u00abMedium\u00bb ?<\/h2>\n

\n\u00c9lev\u00e9<\/b> (en anglais. \u00c9lev\u00e9<\/i> \u2014 \u00abinterm\u00e9diaire\u00bb, le slogan original \u2014 Ne demandez pas votre vie priv\u00e9e. Prenez-la en main.<\/i>; en anglais, le mot medium<\/i> signifie \u00abinterm\u00e9diaire\u00bb) \u2014 un fournisseur d'acc\u00e8s \u00e0 Internet d\u00e9centralis\u00e9 russe, offrant des services d'acc\u00e8s au r\u00e9seau Yggdrasil<\/a><\/noindex> sans frais.<\/p>\n

Quand, o\u00f9 et pourquoi \u00abMedium\u00bb a-t-il \u00e9t\u00e9 cr\u00e9\u00e9 ?<\/h2>\n

\n\u00c0 l'origine, le projet \u00e9tait con\u00e7u comme un r\u00e9seau maill\u00e9<\/a><\/noindex> dans dans le district urbain de Kolomna<\/a><\/noindex>.<\/p>\n

\u00abMedium\u00bb a \u00e9t\u00e9 fond\u00e9 en avril 2019 dans le but de cr\u00e9er un environnement de t\u00e9l\u00e9communications ind\u00e9pendant en permettant aux utilisateurs finaux d'acc\u00e9der aux ressources du r\u00e9seau Yggdrasil gr\u00e2ce \u00e0 la technologie de transmission sans fil Wi-Fi.<\/p>\n

O\u00f9 puis-je trouver la liste compl\u00e8te de tous les points du r\u00e9seau ?<\/b>Vous pouvez la trouver dans r\u00e9pertoire sur GitHub<\/a><\/noindex>.<\/p>\n

\"Quel
\n<\/p>\n

Qu'est-ce qu'Yggdrasil et pourquoi \u00abMedium\u00bb l'utilise-t-il comme principal moyen de transport ?<\/h2>\n

\nYggdrasil<\/a><\/noindex> \u2014 c'est un r\u00e9seau auto-organis\u00e9 un r\u00e9seau maill\u00e9<\/a><\/noindex>, capable de connecter des routeurs tant en mode superposition (au-dessus d'Internet) qu'entre eux directement par des connexions filaires ou sans fil.<\/p>\n

Yggdrasil est la continuit\u00e9 du projet CjDNS<\/a><\/noindex>. La principale diff\u00e9rence entre Yggdrasil et CjDNS est l'utilisation du protocole des conditions STP<\/a><\/noindex> (protocole d'arbre couvrant).<\/p>\n

\"Quel
\n
\nPar d\u00e9faut, tous les routeurs du r\u00e9seau utilisent le chiffrement de bout en bout<\/a><\/noindex> pour transmettre des donn\u00e9es entre les autres participants.<\/p>\n

Le choix du r\u00e9seau Yggdrasil comme principal moyen de transport a \u00e9t\u00e9 motiv\u00e9 par le besoin d'augmenter la vitesse de connexion (jusqu'en ao\u00fbt 2019, \u00abMedium\u00bb utilisait I2P<\/a><\/noindex>).<\/p>\n

Le passage \u00e0 Yggdrasil a \u00e9galement offert aux participants du projet la possibilit\u00e9 de commencer \u00e0 d\u00e9ployer un r\u00e9seau maill\u00e9 avec une topologie Full-Mesh. Cette organisation du r\u00e9seau est le meilleur antidote contre la censure.<\/p>\n

\"Quel
\n<\/p>\n

Analyse des erreurs : sur quels \u00e9cueils nous sommes d\u00e9j\u00e0 tomb\u00e9s<\/h2>\n

\n\u00abL'exp\u00e9rience est le fils des difficiles erreurs\u00bb. Pendant le d\u00e9veloppement de \u00abMedium\u00bb, nous avons r\u00e9ussi \u00e0 r\u00e9soudre de nombreux probl\u00e8mes rencontr\u00e9s en cours de route.<\/p>\n

Erreur n\u00b01 : l'infrastructure \u00e0 cl\u00e9s publiques<\/h3>\n

\nL'un des principaux probl\u00e8mes au moment de la conception du r\u00e9seau \u00e9tait la possibilit\u00e9 de mener une attaque MITM<\/a><\/noindex>. Le trafic entre le routeur de l'op\u00e9rateur et l'appareil client n'\u00e9tait pas chiffr\u00e9, car le d\u00e9chiffrement du trafic principal se faisait directement sur le routeur de l'op\u00e9rateur.<\/p>\n

Le probl\u00e8me \u00e9tait que derri\u00e8re le routeur, il pouvait y avoir n'importe qui - et nous ne voulions vraiment pas que ce \u00ab quelqu'un \u00bb puisse \u00e9couter tout ce que recevaient les clients.<\/p>\n

Notre premi\u00e8re erreur a \u00e9t\u00e9 la mise en place de l'infrastructure \u00e0 cl\u00e9s publiques<\/a><\/noindex> (PKI).<\/p>\n

Gr\u00e2ce \u00e0 l'utilisation du 7\u00e8me niveau du mod\u00e8le de r\u00e9seau OSI <\/a><\/noindex> Nous nous sommes d\u00e9barrass\u00e9s des attaques de type MITM, mais nous avons acquis un nouveau probl\u00e8me : la n\u00e9cessit\u00e9 d'installer des certificats des autorit\u00e9s de certification racines. Et les autorit\u00e9s de certification repr\u00e9sentent un autre probl\u00e8me suppl\u00e9mentaire. Le mot cl\u00e9 ici est \u00ab confiance \u00bb.<\/p>\n

Il faut encore faire confiance \u00e0 quelqu'un ! Et si le centre de certification \u00e9tait compromis ? Comme nous le rappelle notre ami Murphy, t\u00f4t ou tard, le centre de certification sera effectivement compromis. Et c'est une dure r\u00e9alit\u00e9.<\/p>\n

Nous avons longuement r\u00e9fl\u00e9chi \u00e0 cette probl\u00e9matique et avons finalement conclu qu'il n'\u00e9tait pas n\u00e9cessaire d'utiliser la PKI \u2014 il suffit d'utiliser le chiffrement natif Yggdrasil<\/a><\/noindex>.<\/p>\n

Apr\u00e8s avoir apport\u00e9 les correctifs n\u00e9cessaires, la topologie du r\u00e9seau \u00ab Medium \u00bb a pris la forme suivante :<\/p>\n

\"Quel<\/p>\n

Erreur n\u00b02 : DNS centralis\u00e9<\/h3>\n

\nLe syst\u00e8me de noms de domaine \u00e9tait n\u00e9cessaire d\u00e8s le d\u00e9part, car les adresses IPv6 encombrantes n'\u00e9taient pas seulement peu esth\u00e9tiques \u2014 il \u00e9tait \u00e9galement peu pratique de les utiliser dans des hyperliens, et l'absence d'une composante s\u00e9mantique \u00e9tait tr\u00e8s g\u00eanante.<\/p>\n

Nous avons cr\u00e9\u00e9 plusieurs serveurs DNS racines qui contenaient une copie de la liste des enregistrements AAAA<\/a><\/noindex>, situ\u00e9 dans r\u00e9pertoire sur GitHub<\/a><\/noindex>.<\/p>\n

\"Quel
\nCependant, le probl\u00e8me de la confiance n'a pas disparu \u2014 l'op\u00e9rateur du serveur DNS pouvait remplacer l'adresse IPv6 en un clin d'\u0153il. Avec un certain niveau de comp\u00e9tence \u2014 m\u00eame de fa\u00e7on presque imperceptible pour les autres.<\/p>\n

\u00c9tant donn\u00e9 que nous n'utilisons pas HTTPS et, en particulier, la technologie HSTS<\/a><\/noindex>, le remplacement d'une adresse dans le DNS permettait de mener une attaque par substitution de l'adresse IPv6 du serveur final sans aucun probl\u00e8me.<\/p>\n

La solution ne s'est pas faite attendre : nous avons d\u00e9cid\u00e9 d'utiliser la technologie EmerDNS<\/a><\/noindex> \u2014 un DNS d\u00e9centralis\u00e9.<\/p>\n

Dans un certain sens, EmerDNS est similaire \u00e0 un fichier hosts, o\u00f9 se trouvent des enregistrements de tous les sites connus. Mais contrairement au fichier hosts :<\/p>\n