Tor 无盘节点：防止物理扣押

Tor如何保护节点免受物理扣押：新型无盘服务器架构

Tor网络正在部署一项技术，使服务器在物理扣押时对攻击者毫无用处。核心思想是仅将节点运行在RAM中，不在磁盘上存储数据。重启后，所有信息（包括日志和加密密钥）都会被擦除。这降低了运营者和用户的风险，但也带来了新的技术挑战。

物理节点扣押的问题

Tor节点运营者面临来自执法部门和攻击者的压力。在奥地利、德国、美国和俄罗斯，服务器曾被扣押。如果设备落入不法之手，其上的数据可能被用于去匿名化用户。即使采用没有单个节点知道完整连接链的架构，日志或密钥的存在也会造成漏洞。

无盘系统的工作原理

无盘服务器从不可变镜像启动，完全在RAM中运行。断电后，所有数据消失。这种方法类似于Tails系统，但针对Tor节点进行了适配。Tor-ramdisk项目早在2015年就已存在，但该技术目前正在改进中。

优势：

• 扣押后无数据可供分析。
• 每次启动配置不可变。
• 恶意软件无法在重启后持久化。

保留节点声誉的问题

Tor节点积累的声誉与加密密钥绑定。丢失密钥意味着从头开始。解决方案是使用TPM（可信平台模块），它存储密钥但不将其传递给操作系统。TPM将密钥绑定到特定的系统状态，如果发生更改则阻止访问。

TPM的局限性：

• 某些Tor密钥不直接支持，需加密存储。
• 更新需要重新绑定密钥，难以自动化。

技术和实践挑战

在RAM中运行需要谨慎的内存管理。资源不足会导致进程终止。开发者已设法减少内存消耗，但问题尚未完全解决。频繁重启会降低节点声誉并减少吞吐量。

现有方法：

• 启动时手动传输密钥。
• 使用独立主密钥存储的无盘虚拟机。
• 将带密钥的验证镜像加载到TPM中。

未来方向

未解决的任务包括无状态丢失的自动更新和远程软件完整性验证。计划实施用于节点操作验证的开放日志。目标是创建一个不依赖服务器物理安全性的信任基础设施。

关键要点

• 无盘Tor节点在重启时销毁数据，防止物理扣押。
• TPM保存加密密钥，确保声誉连续性。
• 该技术降低了运营者风险，但需要解决内存和更新问题。
• 开发旨在提高记者和活动家对Tor网络的信任。

— Editorial Team