ZeroNet 0.7 - увидел свет выпуск децентрализованной web-платформы
Увидел свет выпуск децентрализованной web-платформы ZeroNet 0.7, которая предлагает использовать механизмы адресации и верификации Bitcoin в сочетании с технологиями распределённой доставки BitTorrent для создания сайтов, которые невозможно подвергнуть цензуре, подделать или заблокировать. Содержимое сайтов хранится в P2P-сети на машинах посетителей и проверяется по цифровой подписи владельца. Для адресации используются система альтернативных корневых DNS-серверов Namecoin. Проект написан на языке Python и распространяется под лицензией GPLv2.
Размещаемые на сайте данные верифицированы и привязаны к учётной записи владельца сайта по аналогии с привязкой кошельков Bitcoin, что также даёт возможность контролировать актуальность информации и обновлять контент в режиме реального времени. Для скрытия IP-адресов может использоваться анонимная сеть Tor, поддержка которой встроена в ZeroNet. Пользователь участвует в раздаче всех сайтов к которым обращался. После загрузки на локальную систему файлы сохраняются в кэше и становятся доступны для раздачи с текущей машины, используя методы, напоминающие BitTorrent.
Для просмотра сайтов ZeroNet достаточно запустить скрипт zeronet.py, после чего в браузере можно открывать сайты через URL "http://127.0.0.1:43110/адрес_zeronet" (например, "http://127.0.0.1:43110/1HeLLo4uzjaLetFx6NMN3PMwF5qbebTf1D"). При открытии сайта программа находит ближайших peer-ов и загружает связанные с запрошенной страницей файлы (html, css, картинки и т.п.). Для создания своего сайта достаточно запустить команду "zeronet.py siteCreate" после чего будет сгенерирован идентификатор сайта и закрытый ключ для подтверждения авторства по цифровой подписи.
Для созданного сайта будет сформирована пустая директория вида "data/1HeLLo4usjaLetFx6NMH5PMwF3qbebTf1D". После изменения содержимого данной директории, требуется заверение новой версии при помощи команды "zeronet.py siteSign идентификатор_сайта" и введения закрытого ключа. Как только новое содержимое будет заверено, требуется анонсировать его командой "zeronet.py sitePublish идентификатор_сайта", чтобы изменённый вариант стал доступен peer-ам (для анонса изменений используется API WebSocket). По цепочке peer-ы проверят целостность новой версии по цифровой подписи, загрузят новое содержимое и передадут другим peer-ам.
Основные возможности:
- Отсутствие единой точки отказа - сайт остаётся доступен, если в раздаче имеется хотя бы один peer;
- Отсутствие эталонного хранилища сайта - сайт невозможно закрыть отключив хостинг, так как данные размещены на всех машинах посетителей;
- Вся ранее просмотренная информация имеется в кэше и доступна с текущей машины в режиме offline, без выхода в глобальную сеть.
- Поддержка обновления содержимого в режиме реального времени;
- Возможность адресации через регистрацию домена в зоне ".bit";
- Работа без предварительной настройки - достаточно распаковать архив с ПО и запустить один скрипт;
- Возможность клонирования сайтов в один клик;
- Беспарольная авторизация на основе формата BIP32: учётная запись защищена тем же криптографическим методом, что и криптовалюта Bitcoin;
- Встроенный SQL-сервер с функциями P2P-синхронизации данных;
- Возможность использования Tor для анонимности и полная поддержка использования скрытых сервисов Tor (.onion) вместо IPv4-адресов;
- Поддержка TLS-шифрования;
- Автоматическая доступность через uPnP;
- Возможность прикрепление к сайту нескольких авторов, имеющих разные цифровые подписи;
- Наличие плагина для создания многопользовательских конфигураций (openproxy);
- Поддержка трансляции новостных лент;
- Работа в любых браузерах и операционных системах.
Основные изменения в ZeroNet 0.7
- Код переработан для поддержки Python3, обеспечена совместимость с Python 3.4-3.8;
- Реализован защищённый режим синхронизации БД;
- По возможности прекращена поставка в основном составе сторонних библиотек в пользу внешних зависимостей;
- В 5-10 раз ускорен код для верификации цифровых подписей (задействована библиотека libsecp256k1;
- Добавлена рандомизация уже сгенерированных сертификатов для обхода фильтров;
- Обновлён код P2P, который переведён на использование протокола ZeroNet;
- Добавлен режим работы в Offline;
- Добавлен плагин UiPluginManager для установки и управления сторонними плагинами;
- Обеспечена полная поддержка OpenSSL 1.1;
- При соединении с peer-ами задействованы фиктивные записи SNI и ALPN, чтобы сделать соединения более похожими на обращения к обычным сайтам по HTTPS;
В тот же день, что и релиз ZeroNet 0.7.0 сформировано обновление 0.7.1, в котором устранена опасная уязвимость, которая потенциально позволяет организовать выполнение кода на стороне клиента. Из-за ошибки в коде отрисовки переменных шаблонов, открытый внешний сайт может установить соединение к системе клиента через WebSocket с неограниченными правами ADMIN/NOSANDBOX, что даёт возможность изменить параметры конфигурации и добиться выполнения своего кода на компьютере пользователя через манипуляции с параметром open_browser. Уязвимость проявляется в ветке 0.7, а также в экспериментальных сборках начиная с ревизии 4188