{"id":37685,"date":"2019-10-31T22:19:05","date_gmt":"2019-10-31T19:19:05","guid":{"rendered":"https:\/\/prohoster.info\/blog\/chto-nam-stoit-mesh-postroit-kak-detsentralizovannyj-internet-provajder-medium-delaet-novyj-internet-na-baze-yggdrasil\/"},"modified":"2019-10-31T22:19:05","modified_gmt":"2019-10-31T19:19:05","slug":"chto-nam-stoit-mesh-postroit-kak-detsentralizovannyj-internet-provajder-medium-delaet-novyj-internet-na-baze-yggdrasil","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/chto-nam-stoit-mesh-postroit-kak-detsentralizovannyj-internet-provajder-medium-delaet-novyj-internet-na-baze-yggdrasil","title":{"rendered":"Cosa ci costa costruire una Mesh: come il provider internet decentralizzato \"Medium\" sta creando un nuovo Internet basato su Yggdrasil","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Salve!<\/p>\n

Probabilmente non sar\u00e0 una grande novit\u00e0 per voi che il \"Runet Sovrano\"<\/a><\/noindex> \u00e8 alle porte \u2014 la legge entrer\u00e0 in vigore gi\u00e0 il 1 novembre<\/b> di quest'anno.<\/p>\n

Sfortunatamente, come funzioner\u00e0 (e se funzioner\u00e0?) non \u00e8 del tutto chiaro: al momento non ci sono istruzioni precise per gli operatori di telecomunicazioni disponibili al pubblico. Non ci sono neanche metodi, sanzioni, piani, distribuzione di responsabilit\u00e0 e responsabilit\u00e0 designate \u2014 si tratta semplicemente di una dichiarazione.<\/p>\n

Una situazione simile si \u00e8 osservata anche riguardo l'attuazione dei piani della \"legge Yarovaya\" \u2014 le attrezzature necessarie per il provvedimento non sono state sviluppate in tempo e i principali operatori di telecomunicazioni del paese hanno dovuto ripetutamente contattare potenziali produttori di attrezzature specializzate con domande pertinenti. Tuttavia, anche loro non hanno ricevuto risposte n\u00e9 sulle informazioni relative all'attrezzatura, n\u00e9 sugli stessi campioni.<\/p>\n

Ma la cosa fondamentale non \u00e8 quando entrer\u00e0 in vigore la legge e quali cambiamenti ci aspettano. L'importante \u00e8 che grazie all'introduzione di questo progetto di legge, la comunit\u00e0 di appassionati ha iniziato a sviluppare un ambiente telecomunicativo indipendente nel nostro paese.<\/p>\n

Oggi parler\u00f2 di ci\u00f2 che abbiamo gi\u00e0 realizzato, cosa stiamo pianificando di fare nel prossimo futuro e quali difficolt\u00e0 e problemi abbiamo incontrato lungo il percorso di sviluppo del progetto.<\/p>\n

\"Cosa
\n<\/a><\/noindex><\/p>\n

Di cosa tratta la legge?<\/h2>\n

\nPrima di entrare nella parte tecnica del nostro progetto, devo chiarire cosa rappresenta la legge \"Sulla sovranit\u00e0 di Runet\".<\/p>\n

In breve: le autorit\u00e0 vogliono \"mettere in sicurezza\" il segmento russo di Internet nel caso in cui presunti nemici decidano di staccarlo. Ma \"le buone intenzioni sono la strada per l'inferno\" \u2014 non \u00e8 affatto chiaro da chi ci si intenda proteggere e come i \"nemici\" possano realmente compromettere il funzionamento del segmento russo di Internet.<\/p>\n

Per realizzare questo scenario, tutti i paesi del mondo dovrebbero concordare di tagliare tutti i cavi transnazionali, abbattere i satelliti domestici e creare interferenze radio permanenti.<\/p>\n

Non suona molto credibile.<\/p>\n

\"Cosa
\n<\/p>\n

Che cos'\u00e8 \"Medium\"?<\/h2>\n

\nMedium<\/b> (inglese. Medium<\/i> \u2014 \"intermediario\", lo slogan originale \u2014 Non chiedere la tua privacy. Riprenditela<\/i>; anche in inglese la parola medium<\/i> significa \"intermedio\") \u2014 \u00e8 un fornitore di accesso a Internet decentralizzato russo che offre servizi di rete Yggdrasil<\/a><\/noindex> gratuitamente.<\/p>\n

Quando, dove e perch\u00e9 \u00e8 stato creato \"Medium\"?<\/h2>\n

\nInizialmente, il progetto \u00e8 stato concepito come Rete Mesh<\/a><\/noindex> in nel distretto urbano di Kolomna<\/a><\/noindex>.<\/p>\n

\"Medium\" \u00e8 stato fondato nell'aprile 2019 nell'ambito della creazione di un ambiente di telecomunicazioni indipendente fornendo agli utenti finali accesso alle risorse della rete Yggdrasil attraverso l'uso della tecnologia di trasmissione wireless Wi-Fi.<\/p>\n

Dove posso trovare l'elenco completo di tutti i nodi della rete?<\/b>Puoi trovarlo in repository su GitHub<\/a><\/noindex>.<\/p>\n

\"Cosa
\n<\/p>\n

Che cos'\u00e8 Yggdrasil e perch\u00e9 \"Medium\" lo utilizza come principale mezzo di trasporto?<\/h2>\n

\nYggdrasil<\/a><\/noindex> \u2014 \u00e8 una rete auto-organizzante Rete Mesh<\/a><\/noindex>, che consente di collegare i router sia in modalit\u00e0 overlay (sopra la rete Internet) sia direttamente tra di loro tramite connessione cablata o wireless.<\/p>\n

Yggdrasil \u00e8 una continuazione del progetto CjDNS<\/a><\/noindex>. La principale differenza tra Yggdrasil e CjDNS \u00e8 l'uso del protocollo STP<\/a><\/noindex> (spanning tree protocol).<\/p>\n

\"Cosa
\n
\nDi default, tutti i router della rete utilizzano la crittografia end-to-end<\/a><\/noindex> per trasmettere dati tra gli altri partecipanti.<\/p>\n

La scelta della rete Yggdrasil come principale mezzo di trasporto \u00e8 stata determinata dalla necessit\u00e0 di aumentare la velocit\u00e0 di connessione (fino ad agosto 2019, \"Medium\" utilizzava I2P<\/a><\/noindex>).<\/p>\n

Il passaggio a Yggdrasil ha anche fornito ai partecipanti del progetto la possibilit\u00e0 di iniziare l'implementazione di una rete Mesh con topologia Full-Mesh. Questa organizzazione della rete \u00e8 l'antidoto pi\u00f9 efficace contro la censura.<\/p>\n

\"Cosa
\n<\/p>\n

Analisi dei fallimenti: su quali trappole siamo gi\u00e0 caduti<\/h2>\n

\n\"L'esperienza \u00e8 il figlio degli errori difficili\". Nel corso dello sviluppo di \"Medium\" abbiamo risolto numerosi problemi che si sono presentati.<\/p>\n

Errore n. 1: infrastruttura della chiave pubblica<\/h3>\n

\nUna delle principali problematiche al momento della progettazione della rete era la possibilit\u00e0 di eseguire un attacco MITM<\/a><\/noindex>. Il traffico tra il router dell'operatore e il dispositivo del cliente non era crittografato in nessun modo, poich\u00e9 la decrittazione del traffico principale avveniva direttamente sul router dell'operatore.<\/p>\n

Il problema era che dietro il router poteva esserci chiunque, e non volevamo affatto che questo 'qualcuno' potesse ascoltare tutto ci\u00f2 che ricevevano i clienti.<\/p>\n

Il nostro primo errore \u00e8 stato mettere in funzione l'infrastruttura a chiave pubblica<\/a><\/noindex> (PKI).<\/p>\n

Grazie all'uso del settimo livello del modello OSI <\/a><\/noindex> ci siamo liberati dagli attacchi di tipo MITM, ma ci siamo trovati di fronte a un nuovo problema: la necessit\u00e0 di installare certificati di autorit\u00e0 certificatrici radiali. E le autorit\u00e0 di certificazione sono un ulteriore problema. La parola chiave qui \u00e8 'fiducia'.<\/p>\n

Ancora una volta, dobbiamo fidarci di qualcuno! E se il centro di certificazione si rivelasse compromesso? Come ci suggerisce il buon amico Murphy, prima o poi un'autorit\u00e0 di certificazione sar\u00e0 effettivamente compromessa. Ed \u00e8 una verit\u00e0 amara.<\/p>\n

Abbiamo pensato a lungo su come risolvere questo problema e alla fine siamo giunti alla conclusione che non c'\u00e8 bisogno di usare il PKI: \u00e8 sufficiente utilizzare la crittografia nativa Yggdrasil.<\/a><\/noindex>.<\/p>\n

Dopo aver apportato le opportune modifiche, la topologia della rete 'Medium' ha assunto il seguente aspetto:<\/p>\n

\"Cosa<\/p>\n

Errore n. 2: DNS centralizzato<\/h3>\n

\nIl sistema dei nomi di dominio era essenziale fin dall'inizio, poich\u00e9 gli ingombranti indirizzi IPv6 erano difficili da utilizzare nei collegamenti ipertestuali, e la loro mancanza di una componente semantica rappresentava un grande svantaggio.<\/p>\n

Abbiamo creato alcuni server DNS radice che conservavano una copia dell'elenco dei record AAAA<\/a><\/noindex>, situato in repository su GitHub<\/a><\/noindex>.<\/p>\n

\"Cosa
\nTuttavia, il problema della fiducia rimaneva \u2014 un operatore DNS poteva sostituire un indirizzo IPv6 in un attimo. Con una certa abilit\u00e0, anche quasi senza essere notato dagli altri.<\/p>\n

Poich\u00e9 non utilizziamo HTTPS e, in particolare, la tecnologia HSTS<\/a><\/noindex>, era possibile effettuare un attacco di sostituzione dell'indirizzo IPv6 del server finale senza alcun problema.<\/p>\n

La soluzione non si \u00e8 fatta attendere: abbiamo deciso di utilizzare la tecnologia EmerDNS<\/a><\/noindex> \u2014 un DNS decentralizzato.<\/p>\n

In un certo senso, EmerDNS \u00e8 simile a un file hosts, che contiene record di tutti i siti conosciuti. Ma a differenza del file hosts:<\/p>\n