La rete Tor sta esplorando una soluzione radicale per proteggere chi gestisce i nodi di instradamento. Si chiamano relay senza stato (stateless) e sono pensati per funzionare con un sistema diskless, che a ogni riavvio riparte da un’immagine fissa caricata in memoria, senza conservare lo stato operativo precedente sul disco. L’idea è ridurre i rischi in caso di sequestro, clonazione o accesso fisico all’hardware.

L’obiettivo nasce da una minaccia concreta. Nel post pubblicato sul blog del Tor Project vengono citati precedenti di sequestri, raid o accesso fisico a server Tor in Austria, Germania, Stati Uniti e Russia. In questi casi, spiegano gli autori, il server può diventare una responsabilità per l’operatore e per l’infrastruttura di anonimato che Tor cerca di proteggere.

// affiliato ▸ Webdock · VPS ultra-veloci scontate del 20% · Vedi i piani →

Il problema: dimenticare tutto senza perdere l’identità

La difficoltà tecnica è evidente: un relay Tor deve poter conservare nel tempo la propria identità crittografica, perché da quella dipendono reputazione e utilità nella rete. Se il nodo perdesse le chiavi a ogni reboot, ripartirebbe da zero. Per questo la proposta è quella di usare il TPM (Trusted Platform Module), un chip hardware capace di proteggere segreti e legarli allo stato misurato dell’avvio del sistema.

In questo modello, l’identità del relay può sopravvivere ai riavvii senza essere lasciata su disco. Tuttavia il Tor Project sottolinea che il TPM non risolve tutto: le chiavi ed25519 usate da Tor non sono supportate nativamente da questi chip, quindi la chiave viene protetta dal TPM ma resta comunque memorizzata come dato cifrato in memoria non volatile. Questo rende l’estrazione più difficile, ma non impossibile in senso assoluto.

I vantaggi di un relay stateless

Secondo l’articolo, un sistema stateless offre diversi benefici: maggiore resistenza agli attacchi fisici, configurazione dichiarativa e versionata, filesystem immutabile e maggiore verificabilità del software in esecuzione. In pratica, anche se un attaccante ottenesse accesso alla macchina, avrebbe più difficoltà a renderne persistente la compromissione dopo un riavvio.

I limiti

Il progetto è ancora in fase sperimentale e presenta diversi ostacoli pratici. Per esempio, ogni aggiornamento del sistema può complicare il meccanismo di sicurezza che protegge l’identità del server. Inoltre questi relay, proprio perché progettati per non salvare dati in modo permanente sul disco, sono più difficili da aggiornare automaticamente rispetto a un server tradizionale. C’è poi un limite importante: se la memoria RAM si riempie, il sistema può essere costretto a chiudere alcuni processi per continuare a funzionare. Infine, se il relay viene riavviato troppo spesso, può risultare meno affidabile agli occhi della rete Tor e perdere stabilità operativa.

Gli sviluppatori stanno valutando anche altre tecnologie per aumentare la sicurezza e la trasparenza della rete. L’idea è usare strumenti che permettano di verificare più facilmente che un relay funzioni nel modo previsto e che non sia stato alterato. Per ora, però, non si tratta di una soluzione definitiva: l’obiettivo del progetto è soprattutto avviare un confronto nella comunità Tor e capire quali strumenti possano essere davvero utili in futuro.