حارس إساءة الاستخدام للمُرحِّل الأعمى

حارس إساءة الاستخدام للمُرحِّل الأعمى هو مجموعة الحدود التي تطبّقها عقدة AeroNyx قبل أن تمرّر حركة مرور ترحيل مشفّرة لصالح عقدة أخرى. وهو يحتوي الأقران المسيئين أو غير المستقرين باستخدام البيانات الوصفية الموقّعة للتوجيه والعدّادات المحلية فقط. ولا يحلّل أبدًا النص المشفّر، ولا يحتفظ بتواريخ المسارات، ولا يكشف من يتواصل مع من.

النطاق

قاعدة العقدة العمياء

يجوز للمُرحِّل مصادقة البيانات الوصفية للتوجيه، وتطبيق سياسة محدودة، وتمرير مظروف معتم، وإعادة إيصال موقّع. ولا يجوز له أبدًا فحص الحمولة أو كشف بيانات وصفية يمكن أن تعيد بناء مسار أو هوية مستخدم أو علاقة. وعلى وجه الخصوص، لا تسجّل المُرحِّلات ولا تكشف ما يلي:

• النص الصريح للرسائل أو الحزم أو الوسائط أو الذاكرة
• استعلامات DNS أو الوجهات أو النطاقات أو عناوين URL أو سجل التصفح
• معرّفات المسارات أو المسارات الكاملة أو عناوين URL لنقاط النهاية أو عناوين IP للعملاء
• المفاتيح العامة الكاملة أو هويات المستلمين أو معرّفات الرسائل أو روابط الرسم البياني الاجتماعي
• المفاتيح الخاصة أو أسرار القسائم أو حركة المرور على مستوى المحفظة أو مواد فك التشفير

مسار القبول

يمر كل طلب بهذه الفحوص قبل أن يتمكن من استخدام سعة التمرير. تُنفَّذ الخطوات من 1 إلى 6 بهذا الترتيب. وفي الخطوة 7، يذهب الطلب الموجّه إلى هذه العقدة إلى معالجتها الطرفية أو البصلية الخاصة، بينما يُحجز الطلب الموجّه إلى عقدة أخرى بعد تحديد قفزته التالية.

1. request gate: process-wide admission window and in-flight limit (64 requests)
2. crypto admission: a free slot for signature and onion work, or Backpressure
3. authenticate the signed previous hop and envelope
4. previous-hop rate limit and quarantine check
5. envelope metadata: size, age and future-skew limits
6. self-loop check
7. route loop, TTL and next-hop descriptor checks, plus the route replay reservation
8. forward the opaque ciphertext, or peel the terminal layer and deliver

يستخدم كل قرار البيانات الوصفية الموقّعة للتوجيه والحالة المجمّعة المحلية، ولا يستخدم أبدًا محتوى مفكوك التشفير.

حدود التشغيل

هذه هي القيم الافتراضية الحالية في مصدر العقدة. وهي قيم تشغيلية، وليست وعودًا دائمة في البروتوكول.

تحديد المعدّل للقفزة السابقة والعزل

تُربط حدود المعدّل بالهوية الموقّعة للقفزة السابقة. يؤدي تجاوز 120 طلبًا من قفزة سابقة واحدة خلال 60 ثانية إلى بدء عزل محلي لتلك القفزة مدته خمس دقائق. ويؤدي مؤشر فشل منفصل إلى بدء العزل نفسه بعد 12 فشلًا محتسبًا خلال خمس دقائق. ولا تُحتسب في المؤشر إلا الأسباب التالية:

invalid_previous_hop | invalid_signature | self_loop | route_loop | ttl_exhausted

لا تضيف مهلات النقل، وفقدان الإقرارات، وإعادة المحاولات المكررة، وتعارضات إعادة الإرسال إلى المؤشر، لذا لا يُعزل قرين سليم بسبب مشكلات الشبكة. ومخزن الدلاء محدود، وتُطرد الدلاء الخاملة، لذا لا يمكن أن يتضخم الحارس ليصبح رسمًا بيانيًا طويل الأمد للاتصالات.

منع إعادة إرسال المسارات وإعادة المحاولات

يحمل كل طلب ترحيل معرّف مسار. عندما يكون مخزن مُرحِّل الدردشة في العقدة مفعّلًا ([memchain.chat_relay] enabled = true)، تُحفظ حجوزات المسارات والاستجابات المكتملة في قاعدة بيانات SQLite الخاصة به، لذا تصمد الحماية من إعادة الإرسال أمام إعادة التشغيل. وإلا تستخدم العقدة سجلًا في الذاكرة بالسعة والنافذة نفسيهما. وإذا كانت جميع الخانات الـ 8192 تحتوي مسارات حية، تُرفض المسارات الجديدة مع replay_capacity إلى أن تنتهي صلاحية الخانات.

لمعرّف المسار المكرر إحدى أربع نتائج:

تنطبق النتيجة الأخيرة على المخزن الدائم. فالإيصالات الموقّعة لا تصلح إلا بوصفها أدلة حديثة، لذا لا تعيد العقدة إرسال إيصال بعد 120 ثانية.

عندما يفشل التمرير إلى القفزة التالية بسبب مهلة أو خطأ في الاتصال أو خطأ في الطلب، تعيد العقدة المحاولة حتى ثلاث محاولات إجمالًا. ويُشتق التأخير القصير قبل كل إعادة محاولة من معرّف المسار والقفزة التالية ورقم المحاولة. ولا تُعاد المحاولة في حالات الفشل التي تُبلغ عنها العقدة اللاحقة بوصفها رفضًا قاطعًا.

قبول العمليات التشفيرية (ملاحظة حول سعة المشغّل)

فحوص التوقيعات، ونزع الطبقات البصلية، وتوقيع الإيصالات عمليات مقيّدة بالمعالج، لذا تحدّها كل عملية من عمليات العقدة:

• إجمالي الخانات: نصف خيوط المعالج التي يُبلغ عنها المضيف، مقرّبًا إلى الأعلى، وبحد أدنى 4 وحد أقصى 8، فحتى المضيف ذو الخيط الواحد أو الخيطين يحصل على 4 خانات.
• الطلبات الواردة: خانة واحدة أقل من الإجمالي، لكي يتمكن إنشاء المسارات الصادرة وإكمال الإيصالات دائمًا من التقدم. وعلى أصغر المضيفات تحصل الطلبات الواردة إذن على 3 خانات.
• عندما تكون جميع الخانات مشغولة: يُرفض الطلب فورًا مع HTTP 429 والسبب backpressure. ولا ينتظر في قائمة انتظار.

لذا على المضيف الصغير، يتخلص المُرحِّل من الحمل مبكرًا عند الاندفاعات. ويعني ارتفاع العدّاد backpressure_dropped أن العقدة تحتاج إلى مزيد من المعالج أو إلى قدر أقل من حركة الترحيل.

عدّادات التشغيل المجمّعة

تُبلغ العُقد عن عدّادات تراكمية تقريبية وطوابع زمنية للحداثة في نبضاتها (heartbeat) ضمن:

system_stats.discovery_status.peer_store.runtime.blind_relay
system_stats.discovery_status.peer_store.blind_relay_quality
system_stats.discovery_status.peer_store.peer_health_summary

تصف هذه العدّادات تشغيل العقدة. وهي ليست سجلات رسائل ولا بيانات فوترة، ولا تثبت أن أي محادثة بعينها قد جرت.

جودة الأدلة

يُبقي ملخص الجودة أربعة أنواع من الأدلة منفصلة: أعمال الترحيل المعتمة المقبولة، ومسابير الوصول الاصطناعية، ومسابير القفزتين الاصطناعية، والإيصالات الموقّعة من العقدة الطرفية لعمليات التسليم الصادرة عن العملاء. يتطلب real_relay_ready إيصال تسليم حديثًا ومصادَقًا من عميل. ولا يُبلَّغ أبدًا عن الأدلة الاصطناعية بوصفها حركة مرور للمستخدمين.

يسمّي proof_scope أقوى دليل مرصود: client_message_delivery أو relay_acceptance أو message_delivery أو control_plane أو single_hop_control_plane أو attempted أو none.

سلامة الأقران دون علاقات حركة المرور

يتيح peer_health_summary للمشغّلين العثور على قرين متعطّل أو معزول دون رؤية من يتواصل مع من.

ما يتضمنه: بادئة مختصرة لمعرّف العقدة، وحالة تقريبية للسلامة والواصف، وحداثة تبادل المعلومات ونجاح المسارات، وأعداد مجمّعة لنجاح المسارات وفشلها، وحالة العزل، والوقت المتبقي، وفئات تقريبية للأسباب.

ما لا يتضمنه أبدًا: المفاتيح العامة الكاملة للعُقد، أو معرّفات المسارات، أو قوائم نقاط النهاية، أو الكتل المشفّرة أو تجزئات الحمولات، أو معرّفات الرسائل، أو هويات المستلمين، أو عناوين IP للعملاء، أو الوجهات، أو بيانات DNS، أو روابط الرسم البياني الاجتماعي.

خريطة المصدر

برنامج العُقد مفتوح المصدر بموجب AGPL-3.0 على github.com/AeroNyxNetwork/AeroNyx. راجع اكتشاف العُقد والترحيل المشفّر متعدد القفزات لمعرفة كيفية بناء المسارات.

الأسئلة الشائعة

هل تستطيع عقدة الترحيل قراءة حركة المرور التي تمرّرها أو تسجيلها؟

لا. يتحقق المُرحِّل من البيانات الوصفية الموقّعة للتوجيه ويمرّر مظروفًا معتمًا. ولا يحتفظ إلا بعدّادات مجمّعة، ولا يحتفظ أبدًا بالحمولات أو تواريخ المسارات أو هويات المستلمين.

ماذا يحدث عندما تعيد عقدة محاولة المسار نفسه؟

إذا كانت المحاولة الأولى قد انتهت، تعيد العقدة استجابتها المخزّنة ولا تسلّم أي شيء مرة ثانية. وإذا كانت المحاولة الأولى لا تزال قيد التنفيذ، تعيد العقدة route_in_flight القابل لإعادة المحاولة. ويُرفض الطلب المختلف بمعرّف المسار نفسه بوصفه replay_conflict.

هل تصمد الحماية من إعادة الإرسال أمام إعادة تشغيل العقدة؟

نعم، عندما يكون مخزن مُرحِّل الدردشة في العقدة مفعّلًا. فعندئذ تُحفظ حجوزات المسارات والاستجابات المكتملة في SQLite. ودون ذلك المخزن، تستخدم العقدة سجلًا في الذاكرة يُمسح عند إعادة التشغيل.

لماذا يُعزل قرين ما؟

يُعزل القرين لمدة خمس دقائق بعد إرسال أكثر من 120 طلبًا خلال 60 ثانية، أو بعد 12 فشلًا محتسبًا في التحقق خلال خمس دقائق. ولا تُحتسب المهلات وفقدان الإقرارات وإعادة المحاولات المكررة حالات فشل.

لماذا تعيد عقدتي backpressure تحت الحمل؟

كانت جميع خانات العمليات التشفيرية للترحيل فيها مشغولة. تسمح العقدة بنحو نصف خيوط المعالج لديها (4 كحد أدنى و8 كحد أقصى) لأعمال التوقيع والطبقات البصلية، وترفض الطلبات الزائدة فورًا بدلًا من وضعها في قائمة انتظار.