Pomiędzy bitami

Dzisiaj w nocy Polska podpisała ACTA. Nie jest to dla mnie - i nie powinno być dla nikogo - żadnym zaskoczeniem, tym bardziej, że krok ten był zapowiadany przez rząd już wcześniej. Wielu ludzi uczestniczyło w protestach, zarówno tych w Internecie, poczynając od blokad czy podmian stron okołorządowych, przez komentarze, jak i manifestacje na ulicach (niektóre dopiero dziś...). Widziałem w komentarzach, że dużo ludzi, że jest poparcie. To wszystko prawda, poparcie protestów przeciw ACTA było spore.

Tylko, moim zdaniem, te protesty w żaden sposób nie bolały rządu, który w związku z tym przyjął strategię na przeczekanie. Po prostu wyszedł z założenia, że "pokrzyczą, pokrzyczą, a za parę dni się uspokoją", a "późniejsze konsultacje społeczne" się zrobi tak, żeby wyszło, że ACTA jest cacy. Ew. postawi się obywateli przed faktem dokonanym "miało nie rzutować, no ale, wicie-rozumicie, jednak rzutuje i Polska musi się teraz dostosować". Strona ministerstwa nie działa? I co z tego? Dwa dni niewielkiego wstydu? I okazja do poprawy zabezpieczeń. Owszem, w pierwszej fazie, jako zwrócenie uwagi na problem, atak polegający na zablokowaniu stron miał sens. Natomiast przez dłuższy czas takiego pospolitego ruszenia utrzymać się nie da, a z obiektów ataków, że "och jak długo usuwali skutki" można się śmiać, ale oni też się uczą...

Wczorajsze wieczorne demonstracje w miastach były IMO zupełnie nierzutujące na cokolwiek (poza poprawą nastroju protestujących i okazją do wrzucenia stosownej fotki na sieć). Ktoś się śmiał, czy w budynkach poza dozorcą ktoś był. To prawda. Godziny popołudniowe oznaczają, że nawet ruch w miastach nie jest blokowany, politycy mogą spokojnie zignorować, media mają temat do wiadomości, który mogą - ale nie muszą - pokazać. Co innego, gdyby wszyscy ci ludzie przyszli w dzień pod Sejm, jak górnicy. Albo zapowiedzieli codzienne, eskalowane protesty do skutku. Albo zapowiedzieli zablokowanie Euro, w skuteczny i realny do wykonania sposób. Wtedy może coś by to dało.

Z innych rzeczy - Dziennik Internautów opublikował listę podmiotów, z którymi rząd konsultował podpisanie ACTA. Ciekaw jestem, ilu z protestujących zrezygnowało i zrezygnuje (czytaj: rozwiąże umowy) z wszystkich usług oferowanych przez podmioty z listy (szczególnie TVN i Polsat) i podmioty powiązane z nimi finansowo. Nie, nie tylko telewizji. Dane o spółkach są jawne, każdy może poczytać, czym jest TVN, a czym Polsat. I co? Jaki procent Polaków zagłosuje w sposób odczuwalny dla ww. firm finansowo? Tj. przestanie korzystać z usług tych podmiotów...

A tymczasem skutek protestów jest taki, że - zirytowany niezgodnym z przeznaczeniem wykorzystaniem Tora - wyłączyłem dwa wolniejsze relay node Tora, a trzeci, szybszy, drastycznie ograniczyłem, jeśli chodzi o prędkość. Za to wraca temat Freenetu (szybki test kiedyś robiłem) - rozmawiałem ze znajomymi w sieci, jest spore (procentowo, bo rozmawiałem z paroma osobami) zainteresowanie. Znaczy, chyba powoli nadchodzi pora na zejście do piwnicy i osobną, izolowaną sieć.

PS. Mimo, że jestem przekonany o nieskuteczności protestów w obecnej formie, wybieram się na dzisiejszy protest w Poznaniu, jeśli tylko czas pozwoli.

Jeśli chodzi o protesty związane z działaniami Anonymous przeciw wprowadzeniu ACTA, to jestem po obu stronach. Albo, raczej, jestem - jak większość administratorów sieci czy hostingu - pomiędzy młotem a kowadłem. Z jednej strony jak najbardziej jestem - podobnie jak większość administratorów, z którymi rozmawiałem na ten temat - przeciwny wprowadzeniu ACTA, z drugiej - protesty w formie DDoSów uderzają nie tyle w instytucje decyzyjne, co w ISP różnej maści. Często zupełnie przypadkowych. Politycy nawet ich nie zauważą, no może tyle, że w TV coś powiedzą. Dla administratorów jest to zupełnie realna awaria, którą muszą - z racji wykonywanych obowiązków - usunąć.

Oczywiście reakcję, która gdzieś była sugerowana, że to cyberatak i prezydent powinien wprowadzić stan wyjątkowy uważam za totalne nieporozumienie. To tak, jakby stan wyjątkowy wprowadzać z powodu manifestacji przeciwko polityce rządu kilku lub kilkunastu tysięcy ludzi na ulicach. Więcej, uważam, że w dobie powszechnego dostępu Internetu zachowanie typu "często odwiedzam dane witryny, korzystając z domowego łącza w ramach protestu" powinno być absolutnie legalne. Oczywiście jeśli następuje z domowego łącza i przy zachowaniu zasady 1 człowiek - 1 urządzenie. I standardowe programy typu przeglądarka, nie specjalizowane narzędzia do DDoS, nie przejęte/wynajęte systemy itd. Taki fair play. Poza tym, tylko wtedy ilość protestujących jest odczuwalna i zauważalna.

I - podkreślam - z domowego łącza. Chcesz protestować, to miej odwagę robić to ze swojego łącza. Ew. kup sobie starter GSM i rób to za swoje pieniądze, bez wykorzystywania narzędzi, które przeznaczone są do czegoś innego i udostępnione w innym celu za darmo. Piszę o tym, bo widzę dziś w nocy sporo wejść na ten blog z haseł wyszukiwarki typu: jak uruchomic loic w sieci tor, atak przez tor, loic jak zachować anonimowość, atak przez tor, tor a dos, loic sieć tor, czy tor zabezpieczy połączenie loic online, jak atakować torem. Wcześniej nic takiego nie było, owszem, zdarzały się pojedyncze wejścia dotyczące Tora, ale nigdy w połączeniu z LOIC. Jako prowadzący kilka węzłów Tora nie życzę sobie, by były one wykorzystywane do ataków. Niestety, z racji typu węzła (relay node), niewiele mogę - poza (tymczasowym) wyłączeniem węzłów - zrobić.

Zresztą słabo się do tego nadają - sieć Tor jest mało wydajna. Prędzej atak prowadzony w taki sposób stanie się uciążliwy dla jej użytkowników, niż dla serwisów będących celem ataku. Dodatkowo, zapewne szybko spowoduje blokadę Tora (która trudna nie jest - lista węzłów, w tym exit nodes jest publiczna). A skoro raz i drugi były z powodu Tora problemy, to czemu ISP (hosting) nie ma zablokować dostępu trwale? Proste. Wykonalne. Narzędzia do takich automatycznych blokad (na różnych warstwach sieci) są równie trywialne do napisania, co program do DDoSu do uruchomienia. Gotowce celowo pomijam.

Gdyby ktoś z atakujących miał złudzenia - druga strona nie jest totalnie nieświadoma. Widziałem dziś jakieś "wyciekłe" instrukcje dotyczące blokad open proxy i Tora, oraz minimalnych zabezpieczeń, które powinni podjąć administratorzy platform narażonych na atak. Cudzysłów na miejscu, bo nie są one tajne, zresztą żadnego rocket science tam nie ma - wszystko w zakresie wiedzy przeciętnie ogarniętego sysadmina od hostingu i powinno być dawno wdrożone (no może poza blokadą open proxy i Tor), ale widać różni ludzie adminują. Ew. mają co innego na głowie. Nie wnikam.

Myśl przewodnia jest taka: protest jak najbardziej tak, tchórzliwy wandalizm przy użyciu cudzych środków - nie.

UPDATE: Miałem napisać i zapomniałem - ludzie mają prawo być niezadowoleni i mają prawo protestować. Mają prawo czuć się przez rządzących oszukani, a nawet zdradzeni. Władza schowała ten akt prawny przed obywatelami w sposób, który przypomina ukrywanie jednostek wojskowych czy miast na mapach w poprzednim systemie. Żeby oszukać wroga. W tym przypadku: własnych podda^Wobywateli.

Nie trzeba być prorokiem, żeby przewidzieć wynik nadchodzących "konsultacji społecznych". Już teraz można napisać, że okaże się ACTA jest nieistotna, nie stanowi zagrożenia ani powodu do zmian prawa polskiego (więc po co jest podpisywana?). Potem okaże się, że nie do końca, a obywateli znowu postawi się przed faktem dokonanym.

Robi się przydługie, więc polecam ten wpis na temat ACTA - ciekawy i sporo dobrych odnośników.

Każdy medal ma dwie strony. To, że popieram prawo do anonimowości i wolności wypowiedzi nie znaczy, że nie rozumiem osób, które z różnych względów chciałyby ograniczyć dostępu do swojej sieci czy swojego serwisu użytkownikom sieci Tor. Poza tym, w znacznej mierze bawię się Torem, żeby lepiej poznać z czym wiążą się różne, zwłaszcza administracyjne aspekty sieci na sieci.

Sieć Tor z założenia ma sprzyjać anonimowości i omijaniu cenzury, a jak to wygląda w praktyce? Moim zdaniem, ma wiele słabości, chwilami sprawia po prostu broken by design. Ostatnio słychać było, o skompromitowaniu sieci Tor. Na blogu projektu Tor pojawiło się sprostowanie, wytykające błędy ale nie znaczy to, że różne słabości zupełnie nie istnieją.

Podstawową, znaną i opisaną w FAQ, słabością projektu, wynikającą z założeń projektowych jest, moim zdaniem, fakt, że publicznie dostępna, a przynajmniej trywialna do uzyskania jest lista wszystkich węzłów wyjściowych (exit node) i pośredniczących (relay node) Tora. Znacznie trudniej uzyskać listę bridge nodes, czyli węzłów służących wyłącznie do przyjęcia pierwszego połączenia od użytkownika, ale nie jest ona tak naprawdę potrzebna, by któryś duży gracz przeciwko Torowi mógł zaszkodzić sieci.

Niejawność bridge nodes wynikała z założeń projektu i z założenia miała służyć do tego, aby żaden ISP/kraj nie mógł w prosty sposób pozbawić swoich użytkowników możliwości połączenia z siecią Tor. I to zadanie spełnia przyzwoicie. Użytkownicy nadal mają możliwość uzyskania częściowych danych o bridge nodes z listy i podania ich ręcznie w swoim kliencie Tor, co w połączeniu ze zmiennymi IP bridge nodes bardzo utrudnia (o ile nie eliminuje) możliwości całkowitego zablokowania łączności z siecią Tor. Przynajmniej zablokowania opartego tylko o blokadę IP, nie analizę ruchu, ale to jakby zupełnie inny temat i skala trudności.

Natomiast mając listę węzłów końcowych, można je zablokować na wejściu do sieci czy dostępie do serwisu. Istnieją nawet serwisy, które zapewniają - mniej lub bardziej aktualne - gotowce. Ten serwis na przykład udostępnia aktualizowaną co godzinę blacklistę opartą na DNS z podziałem na węzły wychodzące i zwykłe.

Ale nie jest to jedyna metoda walki serwisów czy ISP z Torem. W praktyce mało kto, przynajmniej w naszym kraju, udostępnia węzeł wychodzący. Przyczyna jest prosta - dość szybko może skończyć się to (i kończy, nie mówię z własnego doświadczenia, ale słyszałem z pierwszej ręki o takich przypadkach) wizytą policji z powodu nadużyć z danego IP. Węzeł pośredniczący, o ile nie ma uruchomionej tzw. ukrytej usługi (hidden service) nie przechowuje ani nie udostępnia żadnych danych, więc jego uruchomienie w domu nie pociąga za sobą żadnych problemów (poza zużyciem części pasma).

Przynajmniej teoretycznie. W praktyce bowiem serwery serwisów nie lubiących Tora mogą sprawdzać nie tylko, czy użytkownik nie łączy się z IP na którym uruchomiony jest węzeł wychodzący, ale także czy połączenie nie jest z IP na którym uruchomiony jest węzeł pośredniczący i... także odmawiać dostępu. Przykładem jest choćby powyższy serwis z listami. Łącząc się z IP, na którym uruchomiony jest relay node zobaczymy:

Forbidden - TOR Node / Anonymous Proxy I'm sorry, but I really don't see why anyone would need to use a TOR node or Anonymous Proxy server to look at my site. So i'm afraid you can't look. Stop running TOR / using an anonymous proxy and you can view my site.

Przy względnie częstej aktualizacji listy węzłów (choćby wspomniana godzina), rozwiązanie takie praktycznie nie generuje skutków ubocznych dla serwisu, który ją wykorzystuje i minimalizuje ryzyko false positives, nawet przy zmiennym IP węzłów. Zakładając oczywiście, że lista jest prawidłowa i kompletna.

Zresztą, sami twórcy projektu Tor dają o to, żeby administratorzy którzy muszą blokować węzły wyjściowe Tora, mogli robić to w prosty sposób. Banowanie użytkowników sieci Tor także ma swój wpis w FAQ. Uprzykrzanie życia właścicielom relay nodes to już raczej otwarta wojna, której chcą uniknąć.

Skoro o otwartej wojnie mowa, gdyby jakieś państwo chciało unieruchomić sieć Tor, to obok blokowania bridge nodes może sięgnąć po (D)DoS (w sumie wystarczy zwykły flood) na - niekoniecznie szybkie - węzły pośredniczące. Węzły wyjściowe często są na dedykowanych maszynach i łączach, pośredniczące (tylko pośredniczące, każdy wyjściowy jest jednocześnie pośredniczącym) - niekoniecznie. Zresztą ponownie - istnieje strona podająca status sieci Tor, a na niej szczegółowe informacje o węzłach - rola, tzw. flagi, system, ilość przesyłanego ruchu... Zapewne można na jej podstawie szacować, jakie zasoby potrzebne są do przeprowadzenia ataku.

Przy okazji takie spostrzeżenie - ludzie z projektu Tor naprawdę wydają się skupieni na etyczny zastosowaniach i zapewnieniu anonimowości i wolności ludziom, którzy naprawdę tego potrzebują. I mocno liczą, że administratorzy serwisów to zrozumieją i nie będą w Torze widzieć wyłącznie narzędzia abuserów. W ciągu kilkudziesięciominutowej rozmowy, która się wywiązała na IRC przy okazji wspomnienia na temat tworzenia tego wpisu zostałem odesłany do paru prac naukowych (nie czytałem jeszcze, bo niezupełnie ten temat, podlinkowane poniżej). Atak totalny na tak szczytne przedsięwzięcie chyba nie bardzo mieści im się w głowie, natomiast zaprzątnięci są zapewnieniem anonimowości użytkownikom i pracują nad ulepszeniem możliwości łatwego i pewnego rozdzielenia węzłów wyjściowych od pośredniczących dla tych, którzy muszą blokować dostęp z sieci Tor.

Stąd moje wrażenie o broken by design może być przesadzone lub zwyczajnie mylne - zwyczajnie nie do tego i nie przy takich zastosowaniach było to projektowane... Generalnie Tor ma warstwy - z pozoru wygląda na bardzo prosty twór, ale im dalej się wgłębiać, tym ciekawsze nowe rzeczy się pojawiają. Przyznam, że sam nie grokuję Tora w pełni, stąd ten wpis, będący poniekąd próbą uporządkowania paru faktów.

Linki (które kiedyś mam nadzieję przeczytam, niekoniecznie o Torze):

• Ogólny zbiór prac nt. anonimowości: Selected Papers in Anonimity
• http://isis.poly.edu/~csaw_research/Eugene%20Vasserman.pdf
• http://hatswitch.org/~nikita/papers/phd-thesis.pdf
• http://petsymposium.org/2006/preproc/preproc_11.pdf
• http://research.microsoft.com/en-us/um/people/gdane/papers/bridge.pdf
• Prezentacja nt. ataku na sieć Tor http://www.flickr.com/photos/35149312@N05/6304649995/in/photostream/

Trochę note for myself (ale tej kategorii tu nie ma), bo pewnie znowu będę się zastanawiał za parę miesięcy czy lat, kiedy dokładnie włączyłem maszynkę, albo coś w tym stylu - geekowy grzejnik znowu działa. W tym roku wystartował 13 października późnym wieczorem.

W tej chwili działa na nim - tradycyjnie już - mprime, węzeł Tora (lekkie zmiany konfiguracji i dodany monitoring - widać, że ładnie przerzuca dane) i... radio internetowe oczywiście przez MPD. Apt-p2p poległ, jak pisałem wcześniej, widzę, że nowych wersji nie ma.

Oczywiście przeszło mi przez głowę uruchomienie minera bitcoin zamiast mprime, ale opłacalność "kopania" bitcoinów spadła, poza tym już dobre pół roku temu nie było sensu robić tego na CPU... Chociaż w pewnym momencie wyglądało, że opłaca się kupić sprzęt do tego - po paru miesiącach wychodziło się na zero (wliczając prąd). O ile nie walnąłem się w obliczeniach.

Jak wiadomo m.in. z poprzedniego wpisu, prowadzę węzeł Tora. Bez połączeń wychodzących, czyli robię tylko za żuczka dokładającego jeden hop w ścieżce w celu zwiększenia anonimowości korzystających z tego programu. Od pewnego czasu miałem wrażenie, że jedyne, co robi mój Tor, to zajmuje pamięć (ponad 30% na biednym Dockstarze). Nie robiłem żadnych dokładnych statystyk, po prostu obserwowałem ilość ruchu na interfejsach, ale wyglądało, że jest mniej, niż kiedyś.

Postanowiłem sprawdzić, co się dzieje w rzeczywistości. Już kiedyś widziałem, że jest projekt arm czyli anonymizing relay monitor, ale wtedy nie było pakietów w Debianie, więc nie instalowałem, a pozwala on na znacznie więcej, niż tylko obejrzenie ilości ruchu, więc postanowiłem zainstalować arm.

W tej chwili paczka tor-arm jest dostępna w Debianie unstable (na stable instaluje się czysto), więc doinstalowałem ją (wajig install tor-arm). Samo uruchomienie (wpisanie arm) nic nie dało (używa domyślnej konfiguracji), więc po pierwsze, skopiowałem domyślną konfigurację (położenie w Debianie nieco inne niż podawane w manualu):

zcat /usr/share/doc/tor-arm/armrc.sample.gz > .arm/armrc

Nadal nic. Kolejna sprawa, to uruchomienie portu do kontroli w samym Torze, czyli dodanie w configu opcji:

ControlPort 9051

Po ponownym uruchomieniu arm jak najbardziej się połączył, ale ostrzega, że port do kontroli jest otwarty. Co prawda maszynka jest firewallowana, ale wypadałoby dodać hasło do zarządzania. Nie jest to trywialne i znalezienie zajęło mi dłuższą chwilę (chociaż jest w dokumentacji), więc opiszę. Najpierw generujemy hash hasła:

tor --hash-password jakieshaslo 

Otrzymujemy coś w stylu ciągu

16:2CCAAB2DEEB082CD60610B3BE6A0FF2A90EEFC92AD434C9C8CBFA42B0B

Następnie w konfiguracji Tora dodajemy linię

HashedControlPassword 16:2CCAAB2DEEB082CD60610B3BE6A0FF2A90EEFC92AD434C9C8CBFA42B0B

i restartujemy Tora (/etc/init.d/tor restart). Na koniec edytujemy ~.arm/armrc i uzupełniamy linię z startup.controlPassword, by miała postać:

startup.controlPassword jakieshaslo

Po zmianach okazało się, że miałem nosa i faktycznie niewiele się dzieje. Nawet bardzo niewiele. Praktycznie nic. Ponieważ kiedyś ruchu było więcej, postanowiłem sprawdzić, czy winnym nie jest ustawienie węzła jako bridge node. Bingo! Po zmianie od razu jest więcej ruchu. Zatem w chwili obecnej mój konfig Tora wygląda następująco:

ControlPort 9051
RelayBandwidthRate 20 KBytes
RelayBandwidthBurst 30 KBytes
ExitPolicy reject *:* # no exits allowed
ORPort 443
HashedControlPassword 16:2CCAAB2DEEB082CD60610B3BE6A0FF2A90EEFC92AD434C9C8CBFA42B0B

UPDATE: Przy okazji wygląda, że wyłączając tryb bridge node upiekłem dwie pieczenie na jednym ogniu. Po 16 godzinach zużycie pamięci RAM przez Tor wynosi ledwie 9%, zamiast wspomnianych 30%. Czyżby jakiś bug związany z trybem bridge? W każdym razie średni ruch upload i download teraz to po 50 Kbps, zużycie pamięci, które mnie trochę bolało mniejsze. Jednym słowem: lubię to! ;-)

Dawno temu pisałem o pomyśle na dystrybucję anonimizującą. Miało to działać na zasadzie liveCD uruchamianego - głównie dla wygody - z maszyny wirtualnej, wyposażonego w domyślne ustawienia utrudniające identyfikację użytkownika i domyślnie wysyłającego wszystkie dane WWW za pośrednictwem sieci TOR. Już samo użycie liveCD w znacznym stopniu utrudnia identyfikację - po uruchomieniu gubione są wszelkie informacje zawarte w ciasteczkach, LSO, historii odwiedzanych stron, cache, jak również cechy charakterystyczne systemu/przeglądarki są wspólne dla wszystkich instancji systemów bootowanych z jednego obrazu.

Projekt Anonymix nie wyszedł poza fazę planów (żaden build nie był w pełni działający i nie został opublikowany), ale znalazłem coś, co nie tylko jest praktycznie dokładnym odpowiednikiem tego, co chciałem realizować, ale bardzo ładnie rozwija tę ideę. Mowa o T(A)ILS, czyli The (Amnestic) Incognito Live System.

T(A)ILS to dystrybucja rozpowszechniania w postaci liveCD i liveUSB skonfigurowana tak, by cała komunikacja odbywała się przez sieć TOR i aby nie zostawiać żadnych śladów użycia danego systemu i przeprowadzanych operacji na dyskach (dopóki wyraźnie o to nie poprosimy). Oczywiście w przypadku uruchomienia z poziomu maszyny wirtualnej tak dobrze nie będzie - przykładowo dane mogą zostać - i zapewne zostaną - przekazane do hosta gospodarza i mogą zostać zapisane na dysku np. w pliku swap, ale dokładnie taką samą wadą obarczony był Anonymix. Warto podkreślić, że tak naprawdę nie wpływa to na anonimowość - jeśli chodzi o identyfikację zdalną jest to bez znaczenia. Klasyczne bezpieczeństwo vs. wygoda - bootowanie fizycznej maszyny z liveCD jest mniej wygodne, ale bezpieczniejsze.

Warto zauważyć, że T(A)IlS nie tylko pomaga zachować anonimowość, ale pomaga zabezpieczyć przed przechwyceniem danych na różne sposoby - od zabezpieczenia przed keyloggerami za sprawą wirtualnej klawiatury, przez zapewnia komunikację Jabberem z użyciem OTR i szerokie wsparcie dla GPG. Do tego T(A)ILS wyposażony jest narzędzia do obróbki dźwięku, skanerów obróbki obrazów, wspólnej edycji tekstów i wykonywania tłumaczeń... Wygląda na niezłe zaplecze dla Wikileaks czy Anonimowych.

Projekt wygląda na aktywnie rozwijany, więc nie pozostało mi nic innego, jak definitywne pogrzebanie Anonymiksa, przekazanie pomysłów (o ile już nie są wdrożone; patrząc na listę błędów - większość jest) i ew. pomoc przy rozwoju T(A)IlS. Na tę chwilę dostępna jest wersja 0.6.2 oparta na Debianie Lenny, więc z testem poczekam raczej na coś opartego o Squeeze, bo sporo się pozmieniało.

Nie będę pisał o (dramatycznej) sytuacji politycznej Egiptu (celowo mirror, źródło oryginalne działa, ale...), skupię się tylko na aspekcie technicznym i przekazywaniu informacji. Po pierwsze, jak wiadomo, został odcięty cały dostęp Egiptu do Internetu. Z tego co wiadomo, na poziomie sesji BGP, bez wpływu na linie tranzytowe. Wygaszanie wygląda na zaplanowane, z upewnianiem się co do braku wpływu na zagranicznych operatorów. Wygląda, że dążą do tego, aby ukryć to, co dzieje się wewnątrz kraju, bez dawania powodów krajom zewnętrznym do angażowania się.

Dodatkowo, wyłączone zostały najpierw SMSy, a potem sieci komórkowe. W takiej sytuacji wszelkie tunelowania są bezużyteczne. Odcięcie na poziomie BGP oznacza, że TOR nic nie pomoże. Przez chwilę, nie znając dokładnie sytuacji, liczyłem, że wewnętrznie Internet działa z jakimś proxy dla zapytań DNS, co umożliwiłoby tunelowanie w zapytaniach DNS, ale nie.

Okazało się, że z działających rzeczy zostały tylko stare technologie: modemy dial-up (linie analogowe i wyjścia za granicę nie zostały odcięte, przynajmniej nie wszystkie) i ham radio. Pojawiły się oczywiście problemy z retransmisją odebranych sygnałów - poczynając od tego, że ktoś nie bardzo ma możliwość, bo jest w pracy, przez brak sprzętu lub możliwości (internet domowy w USA to jakaś pocięta parodia). Część transmisji była odbieranych alfabetem Morse'a, część głosowo. W przypadku odbieranych Morsem pojawiał się problem dekodowania (mało kto zna, jeszcze mniej zna płynnie). Istnieją automaty do tego, ale płatne i podobno słabo radzące sobie z zaszumionym sygnałem.

Większość ww. rzeczy robią ochotnicy, czasami z pomocą ISP, którzy zapewniają dostęp wdzwaniany. Z kolei TV, które są masowo dostępne, pokazują informacje tendencyjnie, często przeinaczając.

Podsumowując: mimo obecnej techniki (a może właśnie przez nią), szanse na wolne, nieocenzurowane przekazywanie informacji są niewielkie, jeśli rząd zechce coś wyciszyć. Na organizowanie niezależnej łączności jest za późno, gdy jest ona potrzebna - możliwości są niewielkie.

Tak naprawdę ciężko w tej chwili ocenić, co się dokładnie stało i kto stał za poszczególnymi działaniami. Na pewno przeciek zwany Cabelgate namieszał w światku dyplomatycznym i medialnym. Można interpretować na różne sposoby skutki i to, co rzeczywiście się działo. Być może miało miejsce cyberstarcie (albo raczej cyberdemonstracja), na pewno była to próba wolności w Internecie. Zatem po kolei...

Fakty:

Wikileaks w ramach akcji Cabelgate postanawia opublikować treść niejawnych/tajnych depesz dyplomatycznych, pozyskanych z ambasad USA. Ich strona pada ofiarą DDoS (na razie będę korzystał z tej nazwy), trudno jednoznacznie określić przez kogo generowanego, także zwykli ludzie pomagali w DDoSie strony Wikileaks (artykuł jest po ostrej edycji, pierwotnie nawoływanie do opowiedzenia się po jednej ze stron przy pomocy wget wyglądało na opinię redakcji).

Dodatkowo, bez wyroku sądu, wprowadza się cenzurę różnego rodzaju (zlikwidowana domena), kolejne firmy likwidują konta bankowe organizacji Wikileaks i ich usługi. Założyciel Wikileaks zostaje aresztowany.

Z drugiej strony ludzie - niekoniecznie związani z serwisem Wikileaks - pomagają tworzyć mirrory strony, inne domeny przekierowujące na stronę Wikileaks. Zaczynają się odwołania do strony nie po domenie, tylko po adresie IP. Firmy, które wystąpiły przeciw Wikileaks (PayPal, Visa, Mastercard, Amazon) stają się celem Anonymous - niezorganizowanej, ochotniczej grupy (bardziej: masy, tłumu) internautów - w ramach Op Payback. Ostatecznie strony Wikileaks nie udaje się zablokować/zlikwidować.

Anonymous mają mało finezyjną metodę działania - uruchamiają LOIC i przeprowadzają DDoS na wybrane witryny. Mało finezyjne, ale skuteczne. Pytanie, czy określenie DDoS jest trafne, jeśli mamy do czynienia ze zwykłymi ludźmi korzystającymi ze swoich prywatnych łącz. IMHO jest to bardziej internetowy odpowiednik zgromadzenia się pod siedzibą firmy. Taka cyberdemonstracja. Bo tak naprawdę Anonymous wcale nie są anonimowi. Więcej o Anonymous i Op Payback.

Minimum dwa duże portale pomagały/nie utrudniały działania Wikileaks - Facebook, który nie zlikwidował WL konta i Google, które linkowało z wyszukiwarki do IP strony po likwidacji domeny, pytanie czy było to przypadkowe, czy celowe działanie.

Ostatni istotny fakt: Wikileaks nie udało się skutecznie "zatopić", czyli "zniknąć", nawet z "oficjalnego" Internetu. Bo skuteczna cenzura w "oficjalnym" Internecie spowodowałaby najwyżej przeniesienie się treści Wikileaks do "podziemnego" Internetu w stylu opisanego przeze mnie Freenet, GNUnetu czy - najpopularniejszego chyba - Tora. Ale nawet tego nie udało się osiągnąć. Nie została też ujawniona treść ubezpieczenia Wikileaks.

Co zostało osiągnięte?

Opublikowano dane dyplomatyczne, nie tylko USA, ale wielu innych krajów. Ale to głównie USA jest wściekłe. Ludzie mogli zobaczyć, co robią politycy, politycy - co robią ich odpowiednicy w innych krajach. Z jednej strony trudne do oszacowania (zostawiam politologom), z drugiej - taka sytuacja trochę (z punktu widzenia polityków) miała miejsce od zawsze, tylko to wyłącznie politycy decydowali, które informacje zebrane przez wywiad i kontrwywiad podać do publicznej wiadomości. Zwykli obywatele do tej pory nie mieli niezależnego dostępu do takich danych.

Obnażona została słabość istniejącego systemu DNS i jego podatność na manipulację (szczególnie ze strony USA). Obnażona została słabość, uległość i tendencja do politycznej poprawności(? - może chodziło o zwykłą pogoń za zyskiem, albo o powiązania/zależność od rządu?) firm (PayPal, Visa, Mastercard, Amazon). Oraz ignorowanie przez nie podstawowych wolności organizacji i obywateli. Bo zamknięcie kont bankowych i usług było samowolne, bez wyroku sądu (BTW ciekawe jak się to skończy - z dobrym prawnikiem w USA pewnie można sporo kasy wygrać po czymś takim). Co więcej, wszystko wskazuje na to, że aresztowany założyciel Wikileaks, Julian Assange, nie złamał żadnego z praw USA...

Dodatkowo, wrócił temat wolności słowa w Internecie, sposobów zabezpieczania neutralności sieci (słychać o rozproszonych, niezależnych DNS). Może wpłynie to na sposób prowadzenia polityki i rządzenia? Szczerze mówiąc, uczciwy rząd i politycy nie ma się czego bać i może działać w sposób jawny dla obywateli, prawda? ;->

Z ciekawostek - na skutek rozłamu wewnętrznego w Wikileaks, powstała konkurencja dla portalu - Openleaks.

Powoli robi się szaro i zimno i trzeba było pomyśleć o uruchomieniu ogrzewania w mieszkaniu. Grzeję prądem, niestety (drogo), ale nie zmienię tego, bo ani mieszkanie moje, ani pewnie warunków technicznych na co innego nie ma. A skoro już ogrzewanie elektryczne, to równie dobrze może być komputer zamiast grzejnika, tym bardziej, że mam jeden nieużywany. W sumie miałem go oddać, ale jakoś nie doszło do tego, bo i daleko był, i nie byłem pewien, czy całkiem sprawny jest. Okazuje się, że jest sprawny.

Zawsze to ciekawiej grzać komputerem, niż grzejnikiem, no i można różne ciekawe rzeczy sobie potestować, na które do tej pory, bez komputera nieprodukcyjnego, pod ręką, ale włączonego 24/7 nie było warunków (ot choćby dn24). Poza tym w końcu chyba pobawię się poważniej apt-p2p. No i żeby się nie nudziła maszynka, to jakieś dociążenie się przyda w stylu obliczenia rozproszone.

W środku nic specjalnego:

$ cat /proc/cpuinfo
processor       : 0
vendor_id       : AuthenticAMD
cpu family      : 6
model           : 8
model name      : AMD Sempron(tm) 2300+
stepping        : 1
cpu MHz         : 1588.825
cache size      : 256 KB

Do tego 512 MB RAM.

Jako system oczywiście GNU/Linux Debian, tym razem Squeeze (czyli jeszcze testing). I w miarę nowy soft, i stabilnie jest. Hostname? Oczywiście grzejnik. ;-)

Po krótkim namyśle jako utylizator cykli procesora został wybrany GIMPS, którym - jeśli chodzi o obliczenia rozproszone - bawiłem się chyba najdłużej. Odpowiedni poziom nieużyteczności posiada, nie jest całkiem bezsensowny (w przeciwieństwie do szukania kosmitów), są statystyki i teamy, jeśli kogoś to bawi (mnie odpowiednio: tak, nie). Przy okazji zrobiłem mały research i wychodzi, że minimum 4 lata nie bawiłem się GIMPS. No i 2 lata minęły od znalezienia liczb pierwszych odpowiednich do przyznania nagrody. Tak w ogóle, to z obliczeń rozproszonych do tej pory kolejno bawiłem się SETI@Home, GIMPS, M4 project, no i teraz powraca GIMPS.

Programy, które są/będą uruchomione na grzejniku:

• mprime (klient GIMPS),
• węzeł pośredniczący tor (TODO),
• apt-p2p (TODO).

Myślę, co by tu jeszcze wrzucić...?

Jakoś tak się złożyło, że wpis Zala przypomniał, że zarzuciłem zabawę z Gnunetem (którego po prostu nie udało mi się w 5 minut na czuja uruchomić). Postanowiłem przyjrzeć się Freenetowi, który powinien być prostszy i popularniejszy. I którego do tej pory skreślałem ze względu na Javę.

Z prototą bym nie przesadzał - nie wiadomo, który plik wybrać (a w Debianie nie ma tego pakietu). Na stronie projektu plików do pobrania jest wiele, nie wiadomo, która wersja jest stabilna. Ostatecznie podążam dosłownie za wytycznymi z przykładu, tym bardziej, że liczba pobrań też jest największa.

Instalator brzydki, ale instaluje bez problemu. Z niefajnych rzeczy - bez pytania dodaje usługę Freenet do uruchomienia po reboocie.

@reboot   "/home/rozie/programs/Freenet/run.sh" start 2>&1 >/dev/null #FREENET AUTOSTART - 8888

Irytujące, szczególnie, że może warto wyrzucić na osobnego usera. Oczywiście, przeniesienie nie jest problemem, ale IMHO powinien zapytać, czy może dodać wpis. Na zakończenie drobny fail - pisze An uninstaller program has been created in: (tak, potem pustka). Brak informacji o tym, czy demon zostaje automatycznie włączony (tak, zostaje). Niezły wizard.

Prywatność. Widać, że twórcy dbają o prywatność w sieci - użytkownik proszony jest o korzystanie z oddzielnej przeglądarki do łączenia z demonem Freenetu. Jak najbardziej zasadne, bo w przypadku wspólnej przeglądarki nie będzie żadnego problemu z wywołaniem zwykłego URLa ze strony freenetowej, co w połączeniu z dostępem do ciasteczek itd. jest oczywistą metodą pozbawienia anonimowości. Tylko zwiedzam, więc olewam i poprzestaję na wywaleniu ciasteczek (w tym flashowych), ale jak najbardziej zasadne.

Następnie określa, na ile zależy mu na ochronie przed rządem, ISP oraz (wybieram opennet i normal)... osobami określonymi jako przyjaciele. Domyślnie mają oni (lub malware na ich komputerach) sporą możliwość naruszenia prywatności (wybieram high). Kolejne pytanie jest o pliki tymczasowe i pobrane. Do wyboru 4 poziomy zabezpieczenia, w tym takie, które wyglądają na bezpieczne (oczywiście jeśli nie ma błędów w implementacji/backdoorów) nawet bez szyfrowanego systemu plików/katalogu. Najbardziej paranoidalny tryb oznacza trzymanie klucza tylko w pamięci (do testu wystarczy normal), czyli dane tracone są bezpowrotnie chwilę po wyłączeniu maszyny (modulo wejście na swap, modulo bruteforce). Na koniec testu wybieram 5GB przestrzeni dyskowej do wykorzystania.

No i tu zaczyna się jazda. Zużycie procesora (PIII 1 GHz) utrzymuje się od tego momentu na ok. 40-50%, a pamięci RAM na 8,7% (z 1GB) i rośnie (maksymalnie widziałem 20%). Program pozwala ustawić limit RAM - domyślny limit RAM to u mnie 192 MB. W praktyce oznacza to, że procesor nie ma wytchnienia i będzie się włączał wiatrak. Do not like. Wychodzi, że łącze 32 KB powinienem wybrać, co czynię.

Szybkość działania jest tragiczna. Nawet prostą wiki otwierał długo. Kolejna rzecz, którą sprawdzam (i która otwiera się nieco szybciej, ale skojarzenia z modemem i wczesnym dzwonieniem na 0202122 silnie wskazane) to Freenet TEXTlink Index. Tu zdziwienie. Nawet sporo linków jest po polsku. Nie wiem na ile to zbieg okoliczności, a na ile odwzorowanie stanu faktycznego. Tematycznie dominuje metatematyka (tu: wolność, libertarianizm, linki freenetowe) oraz polityka i... chrześcijaństwo (zwł. polskie strony), które często pod politykę podpada. Bliższe przyjrzenie się treści i okazuje się, że śmierdzi trupem - większość stron aktualizowana w 2008, 2010 to święto. Do testowania pobierania plików nie dotarłem - skoro wolniejsze, niż wbudowane strony, to nie chcę nawet sobie tego wyobrażać.

W sumie nie wypada to za ciekawie. Bawiłem się około godziny - możliwe, że potem zużycie procesora spadnie (pobierał do lokalnego cache dane cały czas i szyfrował je), a prędkość wzrośnie, ale IMHO cały projekt dla hobbystów. W zwykłym użytkowaniu Tor znacznie szybszy, bardziej użyteczny (dostęp do wszystkich treści, nie tylko wydzielonego, osobnego skrawka Internetu), choć mniej bezpieczny i trochę inne zastosowanie, jednak.

Deinstalacja: katalog Uninstaller w głównym katalogu programu Freenet i java -jar uninstaller.jar Działa ładnie, usuwa wpis z crona i cały katalog. I w sumie to jedyny element programu, do którego nie mam zastrzeżeń.