Ciao, comunità!
Il 18 maggio si è svolta nel parco di Tsaritsyno a Mosca .
In questo articolo è fornita una cronaca dell'evento: abbiamo discusso i piani di sviluppo a lungo termine della rete 'Medium', la necessità di applicare HTTPS per gli eepsites utilizzando la rete 'Medium', il lancio di un social network all'interno della rete I2P e molto altro.
Tutto il più interessante è sotto il tag.
1) Questo è un longread.
2) Questa è una discussione aperta: puoi unirti alla conversazione nei commenti della pubblicazione.
3) I nomi dei partecipanti sono stati abbreviati per garantire la riservatezza e la leggibilità.
• •
M. P.: Oggi vogliamo sollevare questioni importanti riguardo all'organizzazione della rete: piani a lungo termine e simili. Ecco, abbiamo già iniziato un po', anticipando la discussione, e ci siamo fermi sul problema dei dissidenti. Alcuni erano preoccupati per le critiche negative nei commenti, dicendo che potrebbero arrivare persone poco raccomandabili e arrestarli tutti.
Per entrare in una conferenza e iniziare a provocare, i provocatori devono spingerci a impegnarci in attività illegali — e secondo gli atti giuridici esistenti, stiamo solo creando punti Wi-Fi, — innanzitutto, non siamo entità legali, e in secondo luogo, non offriamo accesso a internet — solo I2P.
Quali questioni abbiamo all'ordine del giorno: innanzitutto, c'è Yggdrasil, che non ci dà pace né di giorno né di notte, vero?
Sh.: Aspetto giuridico…
M. P.: L'aspetto giuridico — certo, sì — adesso il compagno si unisce, ne discutiamo. Inoltre — volevamo parlare anche del social network — è in uno stato tra il vivo e il morto…
Sh.: Possiamo lanciare HumHub su Yggdrasil?
M. P.: In effetti, sì. Ma perché lanciarlo — quando possiamo semplicemente fornire accesso?
Sh.: Sì, non sarebbe male.
M. P.: Quindi, la questione è molto urgente riguardo al trasporto — I2P è lento e il design della rete a livello di protocollo non prevede che sia molto veloce. Questo è normale. Per l'utente medio, ovviamente, non è ideale.
M. C.: Più di così. Comunque, a proposito dei nodi: diciamo così, posso posizionare nodi in alcuni punti specifici che funzionano costantemente — lo fate anche voi?
M. P.: Beh, in effetti sì: noi, fondamentalmente, 'Medium' rappresenta un fornitore decentralizzato, dove ogni operatore con i propri nodi è il proprio ISP, cioè fornitore di servizi Internet.
M. C.: Fornitore a sé.
M. P.: Sì: fornitore a sé. Quindi, indipendente, decentralizzato e sovrano.
M. C.: E per quelli che non saranno sempre online — che entreranno e usciranno? In fin dei conti, i nodi più vicini saranno sempre connessi e c'è una cosa chiamata public peer.
M. P.: No, il fatto è che tali nodi li contrassegniamo come semi-disponibili, e non c'è nulla di cui preoccuparsi, in realtà: semplicemente il loro stato sarà giallo invece che verde.
M. C.: No, beh, riguardo alla velocità — non tutti si preoccuperanno di una connessione costante.
M. P.: In effetti sì. Ma questo approccio è problematico perché non si può garantire l’autenticità di tutti i nodi, che agiranno tutti allo stesso modo. Qualcuno può comportarsi secondo le proprie regole.
M. C.: Questa è una specificità dell'hardware...
M. P.: Questa è la caratteristica di qualsiasi rete decentralizzata. In generale. Non è solo una questione di hardware, ma degli operatori: se qualcosa non gli piace, inizia a bloccare.
La sicurezza degli utenti dipende dall'autenticità di questi punti, ovvero che siano tutti configurati allo stesso modo. Non tutti sono geni hacker che capiscono perché non si possono inserire password nella rete I2P senza HTTPS, specialmente quando ci si connette tramite 'Medium'; di default è considerato sicuro, ma se usi 'Medium', allora...
Sh.: Vedremo le vostre password!
M. P.: Sì. Dobbiamo adottare queste misure di precauzione.
Sh.: Pertanto, per motivi di sicurezza, vi preghiamo di utilizzare password lunghe e complesse!
M. P.: Ah, no, il problema è che questo non proteggerà da un certo ufficiale — intendo dire che consideriamo ogni punto 'Medium' di default compromesso e sorvegliato.
Non si dovrebbe accedere alla rete I2P senza HTTPS perché tutti i dati tra il nodo di comunicazione, ossia il router, e l'abbonato vengono già trasmessi in chiaro, il che non è sicuro. Quindi, da questo punto di vista, è necessario evitare qualsiasi uso di questo tipo.
M. S. Ancora riguardo ai punti, che potrebbero non essere direttamente a casa o in giardino; punti che potrebbero essere collegati a una certa fonte di alimentazione e posizionati in un'area verde, perché al momento abbiamo bisogno comunque di una copertura...
Sh.: Mettere volontariamente e forzatamente da amici e parenti.
M. C.: Avete mai disegnato un piano approssimativo su carta, su come dovrebbe apparire tutto? Oppure è tutto ancora solo discusso in questo modo?
M. P.: In teoria, non ci siamo mai posti il problema di prendere un foglio e disegnare. Cosa dovremmo disegnare? È tutto abbastanza prosaico e chiaro.
M. P.: Beh, in effetti, «Medium» sarebbe corretto paragonarlo a un tumore benigno, cioè, finché è piccolo, non si vede e non interessa a nessuno. Quando è abbondante, cosa si può fare?
M. C.: Riguardo alle preoccupazioni sul controllo della comunicazione, capiamo tutti che ci sono persone che vogliono controllare assolutamente tutto.
M. P.: Sorge una sorta di dissonanza: in uno stato centralizzato ci sono reti decentralizzate.
M. C.: E riguardo al fatto che inizialmente internet fosse promosso da privati, quindi non abbiamo la stessa confusione che si riscontra in Cina.
M. P.: Beh, non si può paragonare alla Cina per un motivo: la percentuale di persone che parlano inglese là è molto bassa. Perché avrebbero bisogno di un altro internet? Non è un loro problema.
Ho parlato con un cinese, tutto procede senza problemi.
M. C.: No, bisogna capire in quali luoghi le persone sono disposte a…
M. P.: In qualche modo determinare il confine di questi momenti sfumati…
M. C.: Posizionare un punto vicino al FSB è una provocazione diretta, non è il caso di farlo.
Se, per semplificare, hai messo un router da qualche parte in un campo che distribuisce qualcosa, beh, va bene.
Non bisogna creare provocazioni. Questo è tutto.
M. P.: Riguardo alla provocazione sono completamente d'accordo.
Sh.: Attualmente ci sono molte situazioni simili.
M. P.: Cioè, la nostra posizione è quella di mantenere neutralità, tranquillità… e non superare i confini, per così dire. È tutto.
Non stiamo organizzando alcuna ONG – tutto si basa su iniziative volontarie. Di fatto, 'Medium' è semplicemente il nome del punto. SSID. Nulla è monetizzato.
Se lo stato inizia a perseguitare gli utenti, questa è una questione per le autorità, non per gli utenti.
Sh.: Abbiamo una grande paranoia riguardo al fatto che le autorità possano interessarsi.
M. C.: Continuiamo a scaricare da torrent, guardiamo film e serie pirata — non importa. Non ci preoccupiamo. Ma non appena qualcuno pensa di creare un social network decentralizzato, all'improvviso inizia a sentirsi parlare di un'improvvisa pericolosità.
M. P.: I rischi sono molto esagerati.
M. C.: Quindi, non so quanto sia realmente sensato preoccuparsi… Nessuno si strapperà i capelli per contattare qualche entusiasta che sta semplicemente facendo qualcosa per divertimento.
M. P.: Se non scriviamo il numero dell'appartamento — allora certo!
M. C.: No, ma perché? La domanda è — perché?
M. P.: E noi non lo faremo.
M. C.: Attualmente, su «ВКонтакте» esistono un gran numero di gruppi piuttosto radicali. La domanda è: quanti di essi vengono chiusi ogni giorno?
Sh.: Tutte queste questioni attuali — alimentano la paranoia, — le persone vengono segnalate per i repost — vengono fatte su denunce.
M. P.: E vengono fatte anche non in modo selettivo — solo casualmente: hop! E tutto: per rispettare il piano.
M. C.: Chi dovrebbe occuparsi di un piccolo progetto decentralizzato affinché risulti interessante per persone con una mentalità molto conservatrice? Potrebbe essere di interesse per alcuni specialisti, ma quanti progetti simili esistono ancora?
M. P.: Certo, prendiamo ad esempio Yggdrasil, Hyperboria…
Sh.: Da noi non installano neanche Linux correttamente.
M. C.: E ancora una volta: la ricompensa per catturare tali persone, che sono abbastanza inutili nel loro lavoro, è nulla. Cosa guadagneranno da questo?
M. P.: E se, per esempio, prendiamo la storia di Bogatov, il matematico?
M. C.: La storia di Bogatov è quella di un compagno, diciamo così, sì: ha messo in piedi un nodo, da cui qualcun altro minacciava qualcuno...
M. P.: Beh, qui è tutto chiaro: si è assunto tutti questi rischi...
M. C.: Sì. Innanzitutto, si è assunto i rischi, e in secondo luogo, scusate, c'era davvero qualcosa di molto risonante. Ancora una volta: chi qui e ora utilizzerà questa rete per fare qualcosa?
Ora ci entreranno esclusivamente persone interessate a questo progetto come tale: non per realizzare qualcosa o per accordarsi su forniture di droga, o per uccidere qualcuno...
Il punto è che se mai dovesse diventare importante per qualcuno, ciò accadrà quando si raggiungerà una massa critica. E non è nemmeno sicuro che verrà raggiunta.
M. P.: Anche se potrebbe interessare i politici, che, ammettiamolo, non hanno una grande comprensione dei principi di funzionamento della rete globale…
M. C.: Oh, e questo è già un tema a parte… Cosa sono le chiavi di cifratura? Le chiavi di cifratura sono, prima di tutto, fiducia. È il livello di persone che discutono delle chiavi di cifratura. Si avvicinano a una persona che ha parlato su un palco riguardo alla necessità delle chiavi di cifratura — tipo un esperto — e gli chiedono: cosa sono le chiavi di cifratura? Lui risponde che bisognerebbe chiedere agli esperti, anche se, in realtà, lui è considerato un esperto.
M. P.: Cioè, per loro la cosa più importante è che l'obiettivo giustifichi i mezzi. Ma qui si possono fare molti esempi: alcuni nemmeno riescono a rispondere a cosa sia un IP — Internet Protocol.
M. P.: Ora propongo di discutere del trasporto. Cioè, avevamo I2P e ora abbiamo Yggdrasil. C'è la possibilità di sostituire I2P con Yggdrasil.
Sh.: È una buona opzione.
M. P.: Serve commenti. Perché? Deve esserci un motivo valido.
Sh.: Yggdrasil sarà più veloce.
M. P.: E solo per questo? Ma calcolare i partecipanti è molto più semplice. La crittografia c'è, ovviamente, direttamente out-of-the-box — questo è sicuramente positivo, ma non come in I2P.
I2P ha un difetto: è lento. Ma! In ogni libro di crittografia che apri, fin dalle prime pagine ti diranno – scegli: o veloce, o sicuro. Da questo punto di vista, I2P eccelle, nonostante le voci di chi dice: "No, non lo useremo, lì non c'è proprio nulla". Ma come, non c'è? Ecco, abbiamo lanciato HumHub.
Quindi, qui bisogna di nuovo scegliere: cosa preferiamo – Yggdrasil è buono quando ci sono molti nodi e il traffico non passa attraverso Internet, ma tra i nodi stessi.
M. P.: Il nostro punto critico riguarda la velocità e la sicurezza. Cosa desideriamo? C'è un problema, capite: il canale di connessione tra l'abbonato "Medium" e il punto I2P non è sicuro. Quindi, abbiamo bisogno che le risorse che offriamo siano già protette da HTTPS, ossia, un livello di sicurezza del trasporto. Poiché il traffico viene decrittografato sul router I2P dall'operatore di rete e viene trasmesso su un canale non protetto fino a noi.
Si pone quindi la questione su come garantire la sicurezza per i potenziali utenti: la soluzione radicale più semplice sarebbe quella di aumentare il parco risorse - un forum, un imageboard, un social network e collegarli tutti a HTTPS.
Sh.: Si potrebbe anche collegare un qualsiasi tipo di messaggero.
M. P.: E si potrebbe, ovviamente, pensare a un messaggero che funzioni in modalità overlay sopra I2P.
M. C.: In ogni caso, se parliamo di messaggeri, si tratta soprattutto di testo… Per quanto riguarda la velocità, va bene.
M. P.: In effetti, c'è una questione - vorrei portarla alla discussione - è possibile utilizzare un'unica istanza "Medium" non solo come proxy web trasparente per i servizi web, ma anche come servizio per lo scambio di file, insomma, qualcosa di simile.
Sto esagerando per rendere il concetto chiaro. Alcuni porti devono essere attivati per il trasferimento di file, altri per il web proxy. E il chat o un qualche tipo di messaggistica. Attivare certi porti per la messaggistica e tutto andrà bene.
M. P.: Dobbiamo discutere le regole di comportamento online. Igiene digitale. Introdurre le persone comuni ai motivi per cui, ad esempio, non si possono inviare le proprie password tramite «Medium» se si accede a un sito senza HTTPS.
M. C.: La questione è che le persone che non capiscono che non si possono inviare le password, per esempio, attraverso VK, non devono trasmettere via chat e simili...
M. P.: No, in realtà stavo parlando di un'altra cosa: non si tratta di inviare password a qualcuno, non affatto: sto parlando d'altro. In «Medium» la situazione è un po' diversa: è la stessa ragione per cui in Tor non si devono inserire password su siti non protetti.
Di solito gli utenti non si rendono conto che se si connette tramite il proprio router I2P senza accedere a «Medium», non ci sono problemi: il tuo traffico è crittografato e non devi preoccuparti dei tuoi dati. Ma quando usi «Medium», devi prima di tutto supporre che quel punto sia già compromesso dal compagno maggiore. Là c'è un compagno maggiore che ascolta tutto ciò che dici.
Quando inserisci la password, cosa succede: la tua password viene trasmessa su un canale non protetto dal tuo dispositivo al router del compagno maggiore, e solo dopo si connette alla rete I2P. Il compagno maggiore può ascoltare. Tutti gli altri nodi — nodi di transito — no. Ecco qual è il problema.
Posso semplicemente spiegare brevemente con un esempio molto semplice e accessibile come funziona la crittografia asimmetrica e perché «Medium» come mezzo di trasporto sia più che adatto.
Immagina che abbiamo un compagno da Mosca e uno dall'Australia. Uno di loro deve inviare un pacco con un milione di dollari in Australia. Non vuole farlo tramite Sberbank, poiché le commissioni sarebbero elevate.
M. C.: Quindi lo manda tramite un corriere.
M. P.: Sì: perciò spedisce la valigia con i soldi direttamente tramite corriere. Io prendo e metto un lucchetto sulla valigia. Concordiamo che non possiamo aprire il lucchetto.
Consegnamo la valigia al corriere. Il corriere porta la valigia al nostro amico dall'Australia. L'amico dall'Australia è confuso: «Come aprirò la valigia? Non ho la chiave!»
Gli chiedo di mettere il suo lucchetto sulla valigia e rispedirmela. Il corriere è perplesso, ma rimanda indietro la valigia. Tolgo il mio lucchetto. Sulla valigia rimane il lucchetto dell'amico. Invia la valigia in Australia. L'amico toglie il suo lucchetto.
Abilità delle mani e niente inganno.
M. C.: Insomma, l’impostazione di quanto ci chiudiamo con i lucchetti deve essere equilibrata. Non deve essere complicata.
M. P.: Avere dei confini definiti.
M. C.: La più grande falla nella sicurezza sarà sempre colui che sta davanti al monitor, dietro la tastiera... Finché non verrà elevato il livello delle persone che siedono al computer, non saremo in grado di garantire completamente la sicurezza nell'uso di questa rete.
M. P.: Fondamentalmente, dobbiamo solo cominciare a far crescere un numero maggiore di siti I2P che supportano HTTPS. Sono favorevole a rendere HTTPS in I2P per garantire la sicurezza a livello di trasporto.
• • •
Canale su Telegram:
Fonte: habr.com
