{"id":37685,"date":"2019-10-31T22:19:05","date_gmt":"2019-10-31T19:19:05","guid":{"rendered":"https:\/\/prohoster.info\/blog\/chto-nam-stoit-mesh-postroit-kak-detsentralizovannyj-internet-provajder-medium-delaet-novyj-internet-na-baze-yggdrasil\/"},"modified":"2019-10-31T22:19:05","modified_gmt":"2019-10-31T19:19:05","slug":"chto-nam-stoit-mesh-postroit-kak-detsentralizovannyj-internet-provajder-medium-delaet-novyj-internet-na-baze-yggdrasil","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/administrirovanie\/chto-nam-stoit-mesh-postroit-kak-detsentralizovannyj-internet-provajder-medium-delaet-novyj-internet-na-baze-yggdrasil","title":{"rendered":"Wat kost het om een Mesh op te bouwen: hoe de gedecentraliseerde internetprovider 'Medium' een nieuwe internet op basis van Yggdrasil cre\u00ebert","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Hallo!<\/p>\n

Het zal u waarschijnlijk geen verrassing zijn dat de \u2018Soevereine Runet\u2019<\/a><\/noindex> om de hoek is - de wet treedt al in werking op 1 november<\/b> van dit jaar.<\/p>\n

Helaas is het niet helemaal duidelijk hoe deze wet zal werken (of het \u00fcberhaupt werkt): er zijn momenteel geen exacte instructies voor telecomoperators openbaar beschikbaar. Er zijn ook geen methoden, boetes, plannen, verantwoordelijkheden of verantwoordelijken - er is slechts een verklaring.<\/p>\n

Een vergelijkbare situatie deed zich ook voor met betrekking tot de uitvoering van de plannen van de \u2018Yarovaya-wet\u2019 - de apparatuur voor de wet was niet op tijd ontwikkeld en de toonaangevende telecomoperators van het land moesten herhaaldelijk contact opnemen met potenti\u00eble fabrikanten van gespecialiseerde apparatuur met de bijbehorende vragen. Maar ook zij kregen geen antwoorden over de apparatuur of zelfs maar monsters.<\/p>\n

Maar het belangrijkste is niet hoe snel de wet in werking treedt en welke veranderingen ons te wachten staan. Het belangrijkste is dat, dankzij de invoering van dit wetsvoorstel, de gemeenschap van enthousiastelingen is begonnen met het opzetten van een onafhankelijke telecommunicatieomgeving in ons land.<\/p>\n

Vandaag zal ik vertellen wat we al hebben bereikt, wat we van plan zijn te doen in de nabije toekomst en met welke moeilijkheden en problemen we te maken kregen bij de ontwikkeling van het project.<\/p>\n

\"Wat
\n<\/a><\/noindex><\/p>\n

Waar gaat de wet over?<\/h2>\n

\nVoordat ik aan het technische deel van ons project begin, moet ik vermelden wat de wet \u2018Over de soevereine Runet\u2019 inhoudt.<\/p>\n

Kort samengevat: de autoriteiten willen het Russische segment van het internet \u2018beveiligen\u2019 voor het geval dat zogenaamde vijanden ons willen uitschakelen. Maar \u2018de weg naar de hel is geplaveid met goede bedoelingen\u2019 - het is niet helemaal duidelijk tegen wie we beschermd moeten worden en op welke manier de \u2018vijanden\u2019 in principe de werking van het Russische segment van het internet kunnen verstoren.<\/p>\n

Voor de uitvoering van dit aanvalscenario zouden alle landen ter wereld moeten samenwerken, alle grensoverschrijdende kabels moeten doorsnijden, binnenlandse satellieten moeten uitschakelen en voortdurende radiostoringen moeten cre\u00ebren.<\/p>\n

Dat klinkt niet erg geloofwaardig.<\/p>\n

\"Wat
\n<\/p>\n

Wat is \"Medium\"?<\/h2>\n

\nMedium<\/b> (eng. Medium<\/i> - 'tussenpersoon', de originele slogan - Vraag niet om je privacy. Neem het terug<\/i>; ook in het Engels betekent het woord medium<\/i> \u2018tussenliggend\u2019) - een Russische gedecentraliseerde internetprovider die toegang biedt tot het netwerk Yggdrasil<\/a><\/noindex> op kosteloze basis.<\/p>\n

Wanneer, waar en waarom werd 'Medium' opgericht?<\/h2>\n

\nHet project was oorspronkelijk bedoeld als mesh-netwerk<\/a><\/noindex> in in de stad Kolomna<\/a><\/noindex>.<\/p>\n

\u00abMedium\u00bb werd opgericht in april 2019 als onderdeel van het cre\u00ebren van een onafhankelijke telecommunicatieomgeving door eindgebruikers toegang te bieden tot de middelen van het Yggdrasil-netwerk via draadloze datatransmissietechnologie Wi-Fi.<\/p>\n

Waar kan ik een volledige lijst van alle netwerkpunten vinden?<\/b>U kunt het vinden in repository op GitHub<\/a><\/noindex>.<\/p>\n

\"Wat
\n<\/p>\n

Wat is Yggdrasil en waarom gebruikt \u00abMedium\u00bb het als primaire transportmiddel?<\/h2>\n

\nYggdrasil<\/a><\/noindex> \u2014 is een zelforganiserend mesh-netwerk<\/a><\/noindex>, dat de mogelijkheid heeft om routers zowel in overlay-modus (bovenop het Internet) als direct met elkaar via een bedrade of draadloze verbinding aan te sluiten.<\/p>\n

Yggdrasil is een voortzetting van het project CjDNS<\/a><\/noindex>. Het belangrijkste verschil tussen Yggdrasil en CjDNS is het gebruik van het protocol STP<\/a><\/noindex> (spanning tree protocol).<\/p>\n

\"Wat
\n
\nStandaard gebruiken alle routers in het netwerk end-to-end encryptie<\/a><\/noindex> voor het verzenden van gegevens tussen andere deelnemers.<\/p>\n

De keuze voor het Yggdrasil-netwerk als primaire transportmiddel was gebaseerd op de behoefte aan een verhoogde snelheid van de verbinding (tot augustus 2019 gebruikte \u00abMedium\u00bb I2P<\/a><\/noindex>).<\/p>\n

De overstap naar Yggdrasil bood ook de deelnemers aan het project de mogelijkheid om te beginnen met het opzetten van een Mesh-netwerk met een Full-Mesh topologie. Deze organisatie van het netwerk is het meest effectieve tegengif tegen censuur.<\/p>\n

\"Wat
\n<\/p>\n

Nalatenschappen: op welke flaws zijn we al gestoten<\/h2>\n

\n\u00abErvaring is de zoon van moeilijke fouten\u00bb. Tijdens de ontwikkeling van \u00abMedium\u00bb hebben we talloze problemen opgelost die op ons pad kwamen.<\/p>\n

Fout nr. 1: infrastructuur van openbare sleutels<\/h3>\n

\nEen van de grootste problemen op het moment van het ontwerpen van het netwerk was de mogelijkheid van een MITM-aanval<\/a><\/noindex>. Verkeer tussen de router van de provider en het klantapparaat werd op geen enkele manier versleuteld, omdat de decodering van het hoofverkeer direct op de router van de provider plaatsvond.<\/p>\n

Het probleem was dat er achter de router iedereen kon zijn \u2014 en we wilden absoluut niet dat deze \u00abiemand\u00bb alles kon afluisteren wat de klanten ontvingen.<\/p>\n

Onze eerste fout was de invoering van openbare sleutel infrastructuren<\/a><\/noindex> (PKI).<\/p>\n

Door gebruik te maken van niveau 7 het OSI-netwerkmodel <\/a><\/noindex> kwamen we af van MITM-aanvallen, maar kregen we een nieuw probleem \u2014 de noodzaak om certificaten van rootcertificeringsinstanties te installeren. En certificeringsinstanties zijn weer een extra probleem. Het sleutelwoord hier is \u00abvertrouwen\u00bb.<\/p>\n

Je moet weer iemand vertrouwen! Wat als het certificeringscentrum gecompromitteerd blijkt te zijn? Zoals onze vriend Murphy ons laat zien, zal het certificeringscentrum vroeg of laat daadwerkelijk worden gecompromitteerd. En dat is een bittere waarheid.<\/p>\n

We hebben lang nagedacht over de oplossing voor dit probleem en uiteindelijk besloten dat er geen noodzaak is voor het gebruik van PKI - het is voldoende om de native Yggdrasil-encryptie<\/a><\/noindex>.<\/p>\n

Na de nodige aanpassingen werd de netwerktopologie 'Medium' als volgt:<\/p>\n

\"Wat<\/p>\n

Fout #2: gecentraliseerde DNS<\/h3>\n

\nWe hadden vanaf het begin een systeem van domeinnamen nodig, omdat de omvangrijke IPv6-adressen niet alleen niet mooi eruitzagen - het was ongemakkelijk om ze te gebruiken in hyperlinks, en het gebrek aan semantische component was ook een groot ongemak.<\/p>\n

We hebben verschillende root DNS-servers opgezet die een kopie van de lijst bevatten AAAA-records<\/a><\/noindex>, gelegen in repository op GitHub<\/a><\/noindex>.<\/p>\n

\"Wat
\nMaar het probleem van vertrouwen is er nog steeds - een wijziging van het IPv6-adres op de DNS-server kon door de operator in een oogwenk worden uitgevoerd. Met de juiste vaardigheid - zelfs bijna onopgemerkt door anderen.<\/p>\n

Omdat we geen HTTPS gebruiken en, in het bijzonder, de technologie HSTS<\/a><\/noindex>, kon bij het wijzigen van het adres in DNS een aanval met vervanging van het IPv6-adres van de eindserver probleemloos worden uitgevoerd.<\/p>\n

De oplossing liet niet lang op zich wachten: we besloten gebruik te maken van de technologie EmerDNS<\/a><\/noindex> \u2014 een gedecentraliseerde DNS.<\/p>\n

In zekere zin is EmerDNS vergelijkbaar met een hosts-bestand, waarin gegevens van alle bekende websites staan. Maar in tegenstelling tot hosts:<\/p>\n