Hajautettu tunnelointi ja sipulireititys dVPN-verkoissa

Johdatus P2P-yksityisyyden uuteen aikakauteen

Tuntuuko sinustakin joskus siltä, että VPN-palvelusi on vain kiiltävä lukko lasiovessa? Napsautat "yhdistä" ja toivot parasta, mutta totuus on, että perinteiset VPN-palveluntarjoajat ovat pohjimmiltaan vain välikäsiä, joilla on hallussaan salausavaimesi. Tämä tarkoittaa, että teknisesti he voisivat nähdä kaiken liikennoitisi, jos vain haluaisivat.

Vuosia käytetty "kultainen standardi" on alkanut rakoilla pahasti. Tässä syyt, miksi vanha toimintatapa on muuttumassa riskialttiiksi:

• Keskitetyt "hunajapurkit": Kun yksi palveluntarjoaja omistaa kaikki palvelimet, yksittäinen tietomurto tai viranomaisvaatimus paljastaa kaikkien käyttäjien tiedot. Se on kuin säilyttäisi kaikkia potilastietoja yhdessä lukitsemattomassa kaapissa.
• Valheelliset "ei lokeja" -lupaukset: Monet yritykset väittävät, etteivät ne seuraa toimintaasi, mutta esimerkiksi Consumer Reportsin vuoden 2023 raportin mukaan monet suositut VPN-palvelut eivät ole läpinäkyviä siinä, miten ne todellisuudessa käsittelevät tietoliikennettäsi.
• Geoblocking-varustelu: Suoratoistopalvelut ja pankit ovat tulleet huomattavasti taitavammiksi tunnistamaan konesalien IP-osoitteet. Koska ne tietävät näiden osoitteiden kuuluvan VPN-yrityksille, ne yksinkertaisesti estävät ne. Tämä tekee "piilotetusta" yhteydestäsi hyödyttömän kauppa- tai rahoitussovelluksissa. (ThreatsDay Bulletin: New RCEs, Darknet Busts, Kernel ...)

Tarvitsemme ratkaisun, joka ei perustu sokeaan luottamukseen yhtä toimitusjohtajaa kohtaan. Siirtyminen kohti P2P-verkkoja (vertaisverkkoja) tarkoittaa, ettei liikenteesi kulje vain yhden palvelimen kautta – se hajautetaan maailmanlaajuiseen silmukkaverkkoon (mesh-verkko). Katsotaanpa seuraavaksi, miten tällainen infrastruktuuri käytännössä rakennetaan.

Hajautettujen tunnelointiprotokollien ymmärtäminen

Oletko koskaan miettinyt, miten datasi todellisuudessa liikkuu, kun taustalla ei ole suurta keskitettyä palvelinta ohjaamassa liikennettä? Hajautettua tunnelointiprotokollaa voi verrata digitaaliseen viestijuoksuun, jossa kukaan ei tiedä, kuka juoksun aloitti tai missä maaliviiva sijaitsee.

Perinteisessä mallissa liikut ikään kuin valtatiellä, jossa on vain yksi tulli. DePIN-verkossa (hajautettu fyysinen infrastruktuuriverkko) datasi paloitellaan pieniksi salatuiksi "paketeiksi" ja lähetetään maailmanlaajuiseen solmuverkostoon. Tämä "kaistanleveyden Airbnb" -malli on DePIN-teknologian ydin: sen sijaan, että suuryritykset omistaisivat kaapelit, tavalliset ihmiset jakavat kotinsa internetyhteyttä.

• Kapselointi (Encapsulation): Alkuperäinen datasi kääritään useisiin salauskerroksiin. Se on kuin laittaisi kirjeen kolmeen eri lukittuun laatikkoon ennen sen postittamista.
• Dynaaminen reititys: Sen sijaan, että liikenne kulkisi aina samaa reittiä, verkko valitsee parhaan polun lennosta. Jos solmu Saksassa menee offline-tilaan, liikenteesi hyppää automaattisesti japanilaisen kannettavan tietokoneen tai brasilialaisen reitittimen kautta.
• Proof of Bandwidth (Kaistanleveyden todentaminen): Tämä on järjestelmän "luota, mutta varmista" -osa. Koska keskitettyä valvojaa ei ole, lohkoketju hyödyntää Proof of Bandwidth -mekanismia. Kyseessä on tekninen kättely, jossa verkko varmistaa, että solmu on todella välittänyt ilmoittamansa määrän dataa ennen kuin sille maksetaan palkkio. Tämä pitää välittäjät rehellisinä.

Miksi joku Kanadassa antaisi sinun Netflix-liikenteesi kulkea oman kotiyhteytensä läpi? Vastaus on yksinkertainen: heille maksetaan siitä kryptotokoneilla. Jakamalla käyttämättä jäänyttä ylimääräistä kaistanleveyttään tavalliset ihmiset ansaitsevat palkkioita. Deloitten (2023) hajautettua infrastruktuuria koskevan tutkimuksen mukaan juuri nämä kannustinmallit mahdollistavat verkon nopean kasvun ja tekevät siitä vastustuskykyisen sensuurille ja estoille.

Seuraavaksi tarkastelemme, miten "sipulireitityksen" (onion routing) lisääminen tekee tästä kokonaisuudesta entistäkin yksityisemmän.

Sipulireitityksen integroinnin taika

Kuvittele, että datasi on turisti, joka yrittää ylittää rajan tulematta seuratuksi. Suoran bussiyhteyden sijaan hän hyppää kolmeen eri taksiin, joista jokainen kuljettaja tietää vain, mistä sinut noudettiin ja mille seuraavalle kadunkulmalle sinut jätetään.

Tämä on pähkinänkuoressa sipulireitityksen (onion routing) ydin. Kun tämä yhdistetään vertaisverkkoon (P2P), syntyy "luottamukseton" (trustless) järjestelmä, jossa yhdelläkään osapuolella ei ole hallussaan koko matkasuunnitelmaasi. Perinteisessä VPN-palvelussa palveluntarjoaja näkee kaiken. Sipulireitityksessä datasi on kuitenkin kääritty useisiin salauskerroksiin – mistä menetelmä on saanut nimensäkin.

• Syöttösolmu (Entry Node): Tämä solmu tietää kuka olet (IP-osoitteesi), mutta sillä ei ole aavistustakaan siitä, mitä olet katsomassa, koska data on edelleen vahvasti salattua.
• Välityssolmu (Middle Relay): Tämä on ketjun "sokein" osa. Se vain välittää liikennettä pisteestä A pisteeseen B tietämättä ketjun alkua tai loppua.
• Poistumissolmu (Exit Node): Tässä vaiheessa viimeinen salauskerros kuoriutuu pois. Solmu näkee kohteen (kuten verkkokaupan tai lääketieteellisen tietokannan), mutta ei tiedä, kuka käyttäjä pyynnön on alun perin lähettänyt.

Vaikka et olisikaan tekninen asiantuntija, näiden protokollien käyttö on muuttumassa helpommaksi asiakaspuolen automaation ansiosta. Useimmat nykyaikaiset sovellukset hallitsevat nämä monimutkaiset monihyppyiset (multi-hop) reitit puolestasi. Työkalut, kuten SquirrelVPN, ovat hyviä esimerkkejä siitä, miten tämä teknologia paketoidaan yksinkertaisiin "yhden klikkauksen" käyttöliittymiin. Sinun ei tarvitse olla koodari pysyäksesi turvassa.

Olitpa sitten etänä työskentelevä kirjanpitäjä, joka suojaa arkaluonteisia taloustiedostoja, tai tavallinen käyttäjä, joka ei halua operaattorinsa myyvän selaushistoriaansa, nämä suojakerrokset ovat parhaita ystäviäsi. Seuraavaksi tarkastelemme teknisiä haasteita ja sitä, miten lohkoketjuteknologia hallitsee tätä kokonaisuutta.

dVPN-ratkaisujen ja Onion-teknologian yhdistämisen haasteet

Ollaanpa rehellisiä: yksityisyydellä on yleensä hintansa, ja Onion-reitityksen maailmassa se hinta maksetaan viiveenä (latency). Vaikka datan pomputtaminen ympäri maapalloa kuin flipperipallo kuulostaa hienolta, jokainen "hyppy" (hop) lisää viivettä, joka voi saada huippunopean valokuituyhteyden tuntumaan vuoden 1998 modeemilta.

Hajautettujen VPN-verkkojen (dVPN) ja Onion-teknologian yhdistäminen ei ole mikään yksinkertainen "plug-and-play" -tehtävä. Edessä on merkittäviä teknisiä esteitä:

• Monihyppyviive (Multi-Hop Lag): Joka kerta kun datasi saavuttaa uuden solmun, sen salaus on purettava ja luotava uudelleen. Jos olet radiologi lähettämässä valtavia kuvatiedostoja tai pelaaja tiukassa verkkopeliottelussa, nuo ylimääräiset millisekunnit ovat painajainen.
• Solmujen luotettavuus: Toisin kuin ilmastoidussa konesalissa sijaitseva yrityspalvelin, P2P-solmuna voi toimia kenen tahansa kotireititin. Jos joku kompastuu virtajohtoon, "tunnelisi" romahtaa ja verkon on kiireesti etsittävä uusi reitti.
• Lohkoketjun ohjaus (Blockchain Orchestration): Jotta kokonaisuus pysyy pystyssä, lohkoketju toimii järjestelmän "aivoina". Se käyttää älykkäitä sopimuksia hallitakseen kättelyä sinun ja solmujen välillä. Se hallinnoi myös solmujen mainetta – jos solmu pudottaa liikaa yhteyksiä, älykäs sopimus alentaa sen pisteitä, jolloin se saa vähemmän liikennettä (ja vähemmän palkkioita).

Open Technology Fundin vuoden 2024 raportissa todetaan, että vaikka Onion-reititys on anonymiteetin kultainen standardi, sen aiheuttama rasitus johtaa usein 30–50 prosentin pudotukseen tiedonsiirtonopeudessa verrattuna tavallisiin tunneleihin.

Kyseessä on jatkuva tasapainottelu näkymättömyyden ja todellisen suorituskyvyn välillä.

Web3-aikakauden internet-vapauden tulevaisuus

Mihin tämä kaikki meidät sitten johtaa? Olemme käytännössä uuden internetin kynnyksellä – aikakauden, jolloin sinun ei tarvitse enää vain luottaa VPN-palveluntarjoajan "pyhään lupaukseen" siitä, etteivät he seuraa tietojasi.

Siirtymisessä kohti hajautettuja ISP-vaihtoehtoja (Internet Service Provider) on kyse vallan palauttamisesta suurilta teleoperaattoreilta ja keskitetyiltä palvelimilta takaisin käyttäjille. Kun hyödynnämme vertaisverkkoon (P2P) perustuvaa kaistanleveyden jakamista, luomme verkon, jota on lähes mahdotonta nujertaa. Se elää kaikkialla samanaikaisesti – harrastajan Raspberry Pi -laitteessa Soulissa tai pienen kivijalkakaupan kannettavassa tietokoneessa Roomassa.

• Sulkujen murtaminen: Perinteiset VPN-palvelut päätyvät usein estolistoille, koska niiden IP-osoitteet ovat peräisin tunnetuista konesaleista. Web3-maailmassa käytät kotitalouksien IP-osoitteita, jolloin liikenteesi näyttää samalta kuin kenen tahansa tavallisen naapurin netinkäyttö.
• Sisäänrakennettu yksityisyys (Privacy by Design): Kun yhteyksiä hallitaan lohkoketjukerroksessa, identiteettisi on sidottu hajautettuun tunnisteeseen (DID) tai kryptolompakkoon – ei luottokorttiin tai sähköpostiosoitteeseen. Älykkäät sopimukset hoitavat maksut ja maineenhallinnan automaattisesti, joten kenenkään ei tarvitse koskaan nähdä tilitietojasi.
• Vaikutus toimialaan: Tämä ei ole vain teknologiaharrastajien heiniä. Juniper Researchin vuoden 2023 raportti viittaa siihen, että reunalaskennan (edge computing) ja hajautettujen verkkojen kypsyessä ne voivat merkittävästi vähentää pienten yritysten tietomurtokustannuksia poistamalla keskitetyt vikapisteet (SPOF).

Teknologia ei ole vielä täydellistä – "viivevero" on todellinen haaste – mutta vaihtokauppa todellisen digitaalisen vapauden puolesta on vihdoin muuttumassa kannattavaksi. Olitpa sitten toimittaja tai tavallinen käyttäjä, joka ei halua olla myytävä tuote, tulevaisuus näyttää hajautetulta. On aika lopettaa yksityisyyden pyytäminen ja alkaa rakentaa sitä itse.