I2P: Mạng ẩn danh khác

I2P là gì

I2P là mạng lớp phủ ẩn danh ngang hàng phi tập trung. Giống như Tor, nó mã hóa lưu lượng truy cập và định tuyến nó qua nhiều trung gian để không một nút nào có thể liên kết người dùng với đích của họ. Không giống như Tor, nó không có các nút thoát — theo mặc định, bạn chỉ có thể truy cập các dịch vụ I2P khác từ trong mạng chứ không phải web Clearnet.

Được phát hành vào năm 2003 dưới dạng một nhánh của biến thể Freenet trước đó, I2P đã phát triển thành một mạng ẩn danh ổn định, được thiết kế tốt với khoảng 55.000 bộ định tuyến đang hoạt động trên toàn thế giới. Bản phát hành chính hiện tại là 2.6.0+ (từ giữa năm 2024 trở đi), với các bản phát hành hoạt động hàng tháng và hồ sơ theo dõi bảo trì lâu dài.

Trong đó Tor được thiết kế chủ yếu để truy cập ẩn danh vào Internet thông thường, I2P được thiết kế để truy cập ẩn danh vào các dịch vụ được lưu trữ bên trong chính I2P. Hai mạng giải quyết các vấn đề chồng chéo nhưng khác biệt.

Định tuyến tỏi so với định tuyến củ hành

Tor sử dụng định tuyến onion: mỗi tin nhắn được mã hóa theo lớp, được tách bằng các rơle liên tiếp trong một mạch có độ dài cố định. I2P sử dụng định tuyến garlic: nhiều tin nhắn được nhóm lại với nhau (phép ẩn dụ "củ tỏi": nhiều tép trong một gói) và được định tuyến cùng nhau. Gói này được mã hóa theo từng bước nhảy liên tiếp và được tách nhóm tại đích.

Ưu điểm thực tế của định tuyến tỏi: nó làm gián đoạn phân tích tương quan lưu lượng truy cập. Người quan sát đang cố gắng so sánh thời gian "người dùng X đã gửi gói lúc 10:42:01 → máy chủ Y nhận được gói lúc 10:42:02" gặp phải vấn đề khó khăn hơn nhiều vì các gói chứa số lượng thông báo không thể đoán trước có kích thước khác nhau dành cho các điểm cuối khác nhau.

Đường hầm một chiều

Đây là một bước ngoặt kiến ​​trúc khác của I2P. Mỗi bộ định tuyến I2P xây dựng hai bộ đường hầm hoàn toàn riêng biệt: outbound (dành cho tin nhắn nó gửi) và inbound (dành cho tin nhắn nó nhận được). Các đường hầm độc lập — thư trả lời của bạn cho tin nhắn có đường dẫn khác với tin nhắn bạn đã gửi.

Tor sử dụng mạch hai chiều: một đường dẫn ba bước duy nhất mang lưu lượng truy cập cả hai chiều. Điều đó hiệu quả hơn nhưng tạo ra một nhóm rơle nhỏ hơn mà đối thủ cần phải thỏa hiệp. Các đường dẫn riêng biệt của I2P nhân lên số lượng rơle liên quan trong mỗi phiên và làm cho mối tương quan từ đầu đến cuối trở nên khó khăn hơn.

Tunnel cũng có thời gian tồn tại ngắn. Cứ sau 10 phút, bộ định tuyến của bạn sẽ xây dựng các đường hầm mới và luân chuyển lưu lượng truy cập vào chúng. Việc xoay liên tục có nghĩa là một phiên chạy dài sử dụng nhiều rơle khác nhau, nâng cao hơn nữa tiêu chuẩn cho các cuộc tấn công tương quan.

Eepsites và .i2p TLD

Services được lưu trữ trên I2P sử dụng miền cấp cao nhất .i2p. Chúng được gọi là eepsites ("eep" đến từ EepProxy, proxy cục bộ phân giải địa chỉ I2P). TLD không phải là một phần của hệ thống DNS công cộng — bộ định tuyến I2P của bạn phân giải tên .i2p dựa trên bảng băm phân phối nội bộ của I2P.

Địa chỉ trang web điện tử trông giống như example.i2p dưới dạng tên mà con người có thể đọc được, được hỗ trợ bởi đích mã hóa Base64 gồm 391 ký tự. Mã định danh mật mã là địa chỉ chuẩn; Tên .i2p là một lớp tiện lợi được ánh xạ thông qua cơ chế kiểu Host.txt. Đăng ký địa chỉ cập nhật các ánh xạ đó theo định kỳ — có khái niệm tương tự như khám phá dịch vụ hành tây của Tor.

Eepsites hoạt động cho các trang web tĩnh, ứng dụng web động, máy chủ IRC, trình theo dõi BitTorrent, bất kỳ thứ gì chạy trên TCP/UDP tiêu chuẩn. Rào cản để chạy một dịch vụ này thấp hơn nhiều so với các dịch vụ Tor Onion — theo nghĩa đen, bạn chỉ cần trỏ máy chủ web cục bộ của mình tới cổng do I2P cung cấp.

NetDB và bộ định tuyến tràn ngập Hệ thống thư mục của

I2P là NetDB — một bảng băm phân tán dựa trên Kademlia, được phân chia trên các bộ định tuyến floodfill chuyên dụng. Khi bạn khởi động bộ định tuyến I2P, nó sẽ khởi động bằng cách kết nối với một số nút lấp đầy, sau đó tìm hiểu phần còn lại của mạng từ chúng. Để tra cứu địa chỉ eepsite, bộ định tuyến của bạn truy vấn NetDB.

So với chín cơ quan quản lý thư mục được mã hóa cứng của Tor, NetDB của I2P được phân quyền nhiều hơn — không có bộ máy chủ có thẩm quyền cố định — nhưng cũng dễ bị tấn công tràn ngập hơn khi kẻ thù dựng lên nhiều bộ định tuyến tràn ngập để giành ảnh hưởng đối với việc tra cứu thư mục. Cả hai thiết kế đều có sự đánh đổi.

Thực tế có gì trên I2P

• Eepsites — các trang web tĩnh và động ẩn danh. Hàng trăm hoạt động tại bất kỳ thời điểm nào.
• I2PSnark — Ứng dụng khách BitTorrent đi kèm với I2P. Chia sẻ tập tin ẩn danh trong mạng. Nhanh hơn tải torrent qua Tor (điều này rõ ràng không được khuyến khích) vì I2P được thiết kế để xử lý các phiên có thông lượng cao kéo dài.
• I2P-Bote — email lưu trữ và chuyển tiếp hoàn toàn phi tập trung với tính năng bảo vệ siêu dữ liệu. Độ trễ ngẫu nhiên tùy chọn khiến cho việc phân tích lưu lượng truy cập dựa trên thời gian trở nên rất khó khăn.
• SusiMail — email giả danh qua ứng dụng khách IMAP/SMTP truyền thống.
• I2P IRC — mạng IRC ẩn danh, ứng dụng sát thủ ban đầu và vẫn hoạt động.
• XMPP — ẩn danh nhắn tin tức thì qua máy chủ I2P XMPP dựa trên Prosody.

I2P vs Tor — khi nào nên chọn

Đối với hầu hết mọi người, Tor là câu trả lời đúng vì hầu hết mọi người đều muốn truy cập clearnet ẩn danh. Đối với người dùng lưu trữ dịch vụ hoặc chia sẻ tệp trong mạng ẩn danh, I2P tốt hơn một cách có ý nghĩa.

Xem trình giải thích Tor của chúng tôi để tìm hiểu sâu hơn.

I2P điểm yếu đã biết

• Bộ ẩn danh nhỏ hơn. ~55.000 bộ định tuyến hoạt động so với ~7.000 rơle của Tor phục vụ hàng triệu người dùng. Cơ sở người dùng nhỏ hơn đồng nghĩa với việc sẽ có ít đám đông hơn để hòa nhập. Nghiên cứu học thuật
• 2018 nhận thấy rằng kẻ thù đặt 10 bộ định tuyến tràn ngập được lựa chọn một cách chiến lược có thể chặn hơn 95% quyền truy cập vào các thiết bị ngang hàng đã biết. Rủi ro tập trung thực sự bất chấp thiết kế phi tập trung.
• 2014 zero-day trong các công cụ đi kèm I2P đã cho phép khử ẩn danh về mặt lý thuyết thông qua các trang web điện tử độc hại. Người dùng Tails OS bị ảnh hưởng đã cài đặt I2P. Đã vá, nhưng thực sự là lời nhắc nhở rằng các công cụ ẩn danh có bề mặt tấn công.
• Censorship. Một nghiên cứu năm 2019 cho thấy I2P bị chặn ở Trung Quốc (giả mạo DNS), Oman, Qatar và Kuwait (chặn dựa trên SNI).
• Không có nút thoát theo mặc định. Nếu bạn đặc biệt muốn ẩn danh Clearnet, riêng I2P là công cụ sai lầm. Các dịch vụ "Outproxy" tồn tại cho phép lưu lượng truy cập I2P thoát ra Clearnet (được biết đến nhiều nhất là false.i2p của i2p.rocks) nhưng chúng rất hiếm và được điều hành bởi các nhà khai thác riêng lẻ.
• Java. Việc triển khai I2P tham chiếu là một ứng dụng Java. Việc triển khai i2pd ("I2P daemon") mới hơn trong C++ tồn tại và nhanh hơn, nhưng hệ sinh thái vẫn dựa vào Java.

Cách bắt đầu với I2P

1. Tải xuống I2P từ geti2p.net hoặc triển khai i2pd từ nó GitHub.
2. Chạy bộ định tuyến I2P. Bảng điều khiển web mặc định tại http://127.0.0.1:7657 hiển thị trạng thái mạng, thông tin đường hầm và các dịch vụ đi kèm.
3. Định cấu hình trình duyệt của bạn để sử dụng EepProxy tại 127.0.0.1:4444 cho các địa chỉ .i2p. Tài liệu I2P có hướng dẫn thiết lập trình duyệt chi tiết.
4. Đợi 5–10 phút sau lần khởi chạy đầu tiên để bộ định tuyến tích hợp vào mạng. Hiệu suất ban đầu sẽ chậm.
5. Truy cập một số trang web điện tử nổi tiếng (bảng điều khiển bộ định tuyến đi kèm liên kết đến một thư mục) để xác nhận mọi thứ đều hoạt động.

Tails OS bao gồm I2P

Tails — hệ điều hành trực tiếp tập trung vào quyền riêng tư khởi động từ USB và định tuyến tất cả lưu lượng truy cập thông qua Tor — gói I2P làm thành phần tùy chọn. Boot Tails, bật I2P từ màn hình chào mừng và bạn có một hệ điều hành hoàn toàn bị mất trí nhớ với cả Tor và I2P. Đối với người dùng có mô hình mối đe dọa nghiêm trọng, đây là cách rõ ràng nhất để sử dụng I2P mà không ảnh hưởng đến hệ điều hành máy chủ.

I2P+ — nhánh thân thiện với người dùng

I2P+ là một nhánh cộng đồng của bộ định tuyến I2P chính thức với giao diện người dùng bóng bẩy hơn, cấu hình mặc định tốt hơn và một số cải tiến về chất lượng cuộc sống. Giao thức mạng cơ bản giống hệt nhau. Đối với những người dùng thấy bộ định tuyến I2P chính thức đáng sợ, I2P+ là một đường dẫn thân thiện hơn.