Tor создаёт серверы, которые «забывают всё» при изъятии

Почему это понадобилось

Команда Tor приступила к разработке серверов нового поколения, способных мгновенно стирать все данные в момент конфискации. Поводом для столь серьёзного обновления инфраструктуры стала волна обысков у волонтёров, поддерживающих выходные узлы сети — они прошли в США, Австрии, Германии и ряде других государств. В ходе этих операций силовики пытались извлечь из серверной памяти журналы событий, криптоключи и любые следы активности пользователей.

Как работает идея

Новая архитектура предполагает, что узлы будут функционировать полностью на RAM-дисках. Любое отключение питания или перезапуск приводит к мгновенному и необратимому уничтожению всей информации — логов, настроек и прочих цифровых следов. В результате спецслужбы, изъявшие оборудование, получают в руки лишь «пустую коробку» без полезных данных.

Справка. Что такое RAM Disk Servers? Это серверы, где роль основного накопителя выполняет оперативная память. Скорость чтения и записи у них более чем в 10 раз превосходит SSD. Такие системы обычно применяют для кэширования, работы с БД и в задачах, где критична безопасность: при каждом перезапуске содержимое обнуляется само собой.

Главная трудность — репутация узлов

Сама по себе идея не нова, но для Tor её внедрение связано с рядом нюансов. Чем дольше ретранслятор находится онлайн, тем больше «флагов доверия» и пропускной способности он получает — а значит, тем ценнее для общей скорости и устойчивости сети. Эта репутация жёстко завязана на долгосрочные криптографические ключи идентификации, которые обычно лежат на диске. Проблема очевидна: если узел работает из ОЗУ и вдруг перезагружается, ключи исчезают вместе со всем остальным, и ретранслятор вынужден начинать завоёвывать доверие с нуля.

Решение: TPM-чип как сейф для ключей

Инженеры Tor предложили «запечатывать» идентификационные ключи в аппаратном модуле доверенной платформы (TPM). Ключ привязывается к конкретному состоянию системы: он переживает перезагрузку и сохраняет репутацию узла, но при этом остаётся недоступным для тех, кто физически завладел сервером. Пока разработка идёт в экспериментальном режиме.

Прецедент с Windscribe

Актуальность подхода подтверждает недавний случай: канадский VPN-сервис Windscribe рассказал, что нидерландская полиция без ордера изъяла один из их рабочих RAM-серверов. В Нидерландах планируют провести «полный анализ» оборудования, после чего обещают вернуть его владельцу. В компании сохраняют спокойствие: «Мы используем серверы на базе RAM-дисков, так что единственное, что обнаружат власти, — обычная сборка Ubuntu».