{"id":37685,"date":"2019-10-31T22:19:05","date_gmt":"2019-10-31T19:19:05","guid":{"rendered":"https:\/\/prohoster.info\/blog\/chto-nam-stoit-mesh-postroit-kak-detsentralizovannyj-internet-provajder-medium-delaet-novyj-internet-na-baze-yggdrasil\/"},"modified":"2019-10-31T22:19:05","modified_gmt":"2019-10-31T19:19:05","slug":"chto-nam-stoit-mesh-postroit-kak-detsentralizovannyj-internet-provajder-medium-delaet-novyj-internet-na-baze-yggdrasil","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/chto-nam-stoit-mesh-postroit-kak-detsentralizovannyj-internet-provajder-medium-delaet-novyj-internet-na-baze-yggdrasil","title":{"rendered":"Cosa ci costa costruire Mesh: come il provider internet decentralizzato 'Medium' crea un nuovo Internet basato su Yggdrasil.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Salve!<\/p>\n

Sicuramente non sar\u00e0 una grande novit\u00e0 per voi che \u00abRunet Sovrano\u00bb<\/a><\/noindex> \u00e8 alle porte \u2014 la legge entrer\u00e0 in vigore gi\u00e0 il 1 novembre<\/b> di quest'anno.<\/p>\n

Sfortunatamente, non \u00e8 chiaro come funzioner\u00e0 (e se funzioner\u00e0?) \u2014 al momento non ci sono istruzioni precise per gli operatori di telecomunicazioni disponibili pubblicamente. Mancano anche metodi, sanzioni, piani, distribuzione dei compiti e responsabili \u2014 c'\u00e8 solo una semplice dichiarazione.<\/p>\n

Una situazione simile si \u00e8 osservata anche riguardo all'attuazione dei piani della \u00ablegge Yarovaya\u00bb \u2014 l'attrezzatura necessaria per la legge non \u00e8 stata sviluppata in tempo e i principali operatori di telecomunicazioni del paese sono stati costretti a contattare pi\u00f9 volte potenziali produttori di attrezzature specializzate con domande pertinenti. Tuttavia, anche quelli non hanno ricevuto risposte riguardo alle informazioni sull'attrezzatura n\u00e9 campioni.<\/p>\n

Ma la cosa principale non \u00e8 quanto presto entrer\u00e0 in vigore la legge e quali cambiamenti ci aspettano. La cosa principale \u00e8 che grazie all'introduzione di questa proposta di legge, la comunit\u00e0 di appassionati ha avviato lo sviluppo di un ambiente di telecomunicazione indipendente nel nostro paese.<\/p>\n

Oggi parler\u00f2 di cosa siamo gi\u00e0 riusciti a fare, cosa intendiamo fare nel prossimo futuro e quali difficolt\u00e0 e problemi abbiamo dovuto affrontare nel percorso di sviluppo del progetto.<\/p>\n

\"Cosa
\n<\/a><\/noindex><\/p>\n

Di cosa tratta la legge?<\/h2>\n

\nPrima di passare alla parte tecnica del nostro progetto, devo chiarire cosa rappresenta la legge \u00abSul Runet Sovrano\u00bb.<\/p>\n

In breve: le autorit\u00e0 vogliono \u00abmettere in sicurezza\u00bb il segmento russo di Internet nel caso in cui i nemici ipotetici decidano di disconnetterci. Ma \u00able buone intenzioni sono il pavimento dell'inferno\u00bb \u2014 non \u00e8 del tutto chiaro da chi saremo difesi e in che modo i \u00abnemici\u00bb possano, in linea di principio, interrompere il funzionamento del segmento russo di Internet.<\/p>\n

Per attuare questo scenario, tutti i paesi del mondo dovrebbero unirsi, tagliare tutti i cavi transfrontalieri, abbattere i satelliti nazionali e creare interferenze radio costanti.<\/p>\n

Sembra poco plausibile.<\/p>\n

\"Cosa
\n<\/p>\n

Cos'\u00e8 \"Medium\"?<\/h2>\n

\nMedium<\/b> (inglese. Medium<\/i> \u2014 \u00abintermediario\u00bb, slogan originale \u2014 Non chiedere la tua privacy. Riprendila<\/i>; inoltre in inglese la parola medium<\/i> significa \u00abintermedio\u00bb) \u2014 fornitore di internet decentralizzato russo che offre servizi di accesso alla rete Yggdrasil<\/a><\/noindex> su base gratuita.<\/p>\n

Quando, dove e perch\u00e9 \u00e8 stato creato \u00abMedium\u00bb?<\/h2>\n

\nInizialmente il progetto era pensato come rete Mesh<\/a><\/noindex> in nel distretto urbano di Kolomna<\/a><\/noindex>.<\/p>\n

\u00abMedium\u00bb \u00e8 stato formato nell'aprile del 2019 nell'ambito della creazione di un ambiente di telecomunicazioni indipendente fornendo agli utenti finali accesso alle risorse della rete Yggdrasil attraverso l'uso della tecnologia di trasmissione wireless Wi-Fi.<\/p>\n

Dove posso trovare un elenco completo di tutti i punti di rete?<\/b>Puoi trovarlo in repository su GitHub<\/a><\/noindex>.<\/p>\n

\"Cosa
\n<\/p>\n

Cos'\u00e8 Yggdrasil e perch\u00e9 \u00abMedium\u00bb lo utilizza come principale trasporto?<\/h2>\n

\nYggdrasil<\/a><\/noindex> \u2014 \u00e8 un sistema auto-organizzante rete Mesh<\/a><\/noindex>, capace di connettere router sia in modalit\u00e0 overlay (sopra la rete Internet), sia direttamente tra loro tramite una connessione cablata o wireless.<\/p>\n

Yggdrasil \u00e8 un'estensione del progetto CjDNS<\/a><\/noindex>. La principale differenza tra Yggdrasil e CjDNS \u00e8 l'uso del protocollo STP<\/a><\/noindex> (spanning tree protocol).<\/p>\n

\"Cosa
\n
\nPer impostazione predefinita, tutti i router della rete utilizzano criptazione end-to-end<\/a><\/noindex> per il trasferimento dei dati tra gli altri partecipanti.<\/p>\n

La scelta della rete Yggdrasil come principale trasporto \u00e8 stata motivata dalla necessit\u00e0 di aumentare la velocit\u00e0 di connessione (fino ad agosto 2019 \u00abMedium\u00bb utilizzava I2P<\/a><\/noindex>).<\/p>\n

La transizione a Yggdrasil ha anche fornito ai partecipanti al progetto la possibilit\u00e0 di avviare lo sviluppo di una rete Mesh con topologia Full-Mesh. Questa organizzazione della rete \u00e8 l'antidoto pi\u00f9 efficace contro la censura.<\/p>\n

\"Cosa
\n<\/p>\n

Analisi: su quali ostacoli siamo gi\u00e0 riusciti a inciampare<\/h2>\n

\n\u00abL'esperienza \u00e8 figlia di errori difficili\u00bb. Durante lo sviluppo di \u00abMedium\u00bb abbiamo risolto molti problemi che si presentavano lungo il nostro cammino.<\/p>\n

Errore n.1: infrastruttura a chiave pubblica<\/h3>\n

\nUna delle principali problematiche al momento della progettazione della rete era la possibilit\u00e0 di eseguire attacchi MITM<\/a><\/noindex>. Il traffico tra il router dell'operatore e il dispositivo del cliente non veniva crittografato in alcun modo, poich\u00e9 la decifratura del traffico principale avveniva direttamente sul router dell'operatore.<\/p>\n

Il problema era che dietro il router poteva esserci chiunque \u2014 e ci dispiaceva molto che questo \u00abqualcuno\u00bb potesse ascoltare tutto ci\u00f2 che ricevevano i clienti.<\/p>\n

Il nostro primo errore \u00e8 stato l'introduzione di infrastrutture di chiavi pubbliche<\/a><\/noindex> (PKI).<\/p>\n

Grazie all'uso del livello 7 modello di rete OSI <\/a><\/noindex> siamo riusciti a sbarazzarci degli attacchi MITM, ma ci siamo trovati di fronte a un nuovo problema: la necessit\u00e0 di installare certificati delle autorit\u00e0 di certificazione radice. E le autorit\u00e0 di certificazione rappresentano un'ulteriore complicazione. La parola chiave qui \u00e8 \u00abfiducia\u00bb.<\/p>\n

Bisogna di nuovo fidarsi di qualcuno! E se il centro di certificazione fosse compromesso? Come ci suggerisce l'amico Murphy, prima o poi il centro di certificazione verr\u00e0 davvero compromesso. E questa \u00e8 una cruda verit\u00e0.<\/p>\n

Abbiamo riflettuto a lungo su come risolvere anche questo problema e alla fine siamo giunti alla conclusione che non c'era bisogno di utilizzare la PKI \u2014 era sufficiente usare la crittografia nativa Yggdrasil.<\/a><\/noindex>.<\/p>\n

Dopo aver apportato le dovute correzioni, la topologia della rete \u00abMedium\u00bb ha assunto il seguente aspetto:<\/p>\n

\"Cosa<\/p>\n

Errore n.2: DNS centralizzato<\/h3>\n

\nIl sistema dei nomi di dominio ci era necessario fin dall'inizio, poich\u00e9 i voluminosi indirizzi IPv6 non solo non erano facili da leggere \u2014 era anche scomodo usarli nei collegamenti ipertestuali, e l'assenza di un elemento semantico si \u00e8 rivelata un grande inconveniente.<\/p>\n

Abbiamo creato diversi server DNS radice, che contenevano una copia dell'elenco di record AAAA<\/a><\/noindex>, ubicato in repository su GitHub<\/a><\/noindex>.<\/p>\n

\"Cosa
\nTuttavia, il problema della fiducia non era svanito \u2014 l'operatore del server DNS poteva sostituire l'indirizzo IPv6 in un attimo. Con una certa astuzia \u2014 anche quasi inosservato dagli altri.<\/p>\n

Poich\u00e9 non utilizziamo HTTPS e, in particolare, la tecnologia HSTS<\/a><\/noindex>, la sostituzione dell'indirizzo nel DNS consentiva di eseguire un attacco di sostituzione dell'indirizzo IPv6 del server finale senza alcun problema.<\/p>\n

La decisione non si \u00e8 fatta attendere: abbiamo deciso di ricorrere all'uso della tecnologia EmerDNS<\/a><\/noindex> \u2014 DNS decentralizzato.<\/p>\n

In un certo senso, EmerDNS \u00e8 simile a un file hosts, che contiene record di tutti i siti noti. Ma a differenza dei file hosts:<\/p>\n