Выпуск ZeroNet 0.7, платформы для создания децентрализованных сайтов08.09.2019 11:00

После года разработки увидел свет выпуск децентрализованной web-платформы ZeroNet 0.7, которая предлагает использовать механизмы адресации и верификации Bitcoin в сочетании с технологиями распределённой доставки BitTorrent для создания сайтов, которые невозможно подвергнуть цензуре, подделать или заблокировать. Содержимое сайтов хранится в P2P-сети на машинах посетителей и проверяется по цифровой подписи владельца. Для адресации используются система альтернативных корневых DNS-серверов Namecoin. Проект написан на языке Python и распространяется под лицензией GPLv2.

Размещаемые на сайте данные верифицированы и привязаны к учётной записи владельца сайта по аналогии с привязкой кошельков Bitcoin, что также даёт возможность контролировать актуальность информации и обновлять контент в режиме реального времени. Для скрытия IP-адресов может использоваться анонимная сеть Tor, поддержка которой встроена в ZeroNet. Пользователь участвует в раздаче всех сайтов к которым обращался. После загрузки на локальную систему файлы сохраняются в кэше и становятся доступны для раздачи с текущей машины, используя методы, напоминающие BitTorrent.

Для просмотра сайтов ZeroNet достаточно запустить скрипт zeronet.py, после чего в браузере можно открывать сайты через URL «http://127.0.0.1:43110/адрес_zeronet» (например, «http://127.0.0.1:43110/1HeLLo4uzjaLetFx6NMN3PMwF5qbebTf1D»). При открытии сайта программа находит ближайших peer-ов и загружает связанные с запрошенной страницей файлы (html, css, картинки и т.п.). Для создания своего сайта достаточно запустить команду «zeronet.py siteCreate» после чего будет сгенерирован идентификатор сайта и закрытый ключ для подтверждения авторства по цифровой подписи.

Для созданного сайта будет сформирована пустая директория вида «data/1HeLLo4usjaLetFx6NMH5PMwF3qbebTf1D». После изменения содержимого данной директории, требуется заверение новой версии при помощи команды «zeronet.py siteSign идентификатор_сайта» и введения закрытого ключа. Как только новое содержимое будет заверено, требуется анонсировать его командой «zeronet.py sitePublish идентификатор_сайта», чтобы изменённый вариант стал доступен peer-ам (для анонса изменений используется API WebSocket). По цепочке peer-ы проверят целостность новой версии по цифровой подписи, загрузят новое содержимое и передадут другим peer-ам.

Основные возможности:

Отсутствие единой точки отказа — сайт остаётся доступен, если в раздаче имеется хотя бы один peer;
Отсутствие эталонного хранилища сайта — сайт невозможно закрыть отключив хостинг, так как данные размещены на всех машинах посетителей;
Вся ранее просмотренная информация имеется в кэше и доступна с текущей машины в режиме offline, без выхода в глобальную сеть.
Поддержка обновления содержимого в режиме реального времени;
Возможность адресации через регистрацию домена в зоне ».bit»;
Работа без предварительной настройки — достаточно распаковать архив с ПО и запустить один скрипт;
Возможность клонирования сайтов в один клик;
Беспарольная авторизация на основе формата BIP32: учётная запись защищена тем же криптографическим методом, что и криптовалюта Bitcoin;
Встроенный SQL-сервер с функциями P2P-синхронизации данных;
Возможность использования Tor для анонимности и полная поддержка использования скрытых сервисов Tor (.onion) вместо IPv4-адресов;
Поддержка TLS-шифрования;
Автоматическая доступность через uPnP;
Возможность прикрепление к сайту нескольких авторов, имеющих разные цифровые подписи;
Наличие плагина для создания многопользовательских конфигураций (openproxy);
Поддержка трансляции новостных лент;
Работа в любых браузерах и операционных системах.

Основные изменения в ZeroNet 0.7

Код переработан для поддержки Python3, обеспечена совместимость с Python 3.4–3.8;
Реализован защищённый режим синхронизации БД;
По возможности прекращена поставка в основном составе сторонних библиотек в пользу внешних зависимостей;
В 5–10 раз ускорен код для верификации цифровых подписей (задействована библиотека libsecp256k1;
Добавлена рандомизация уже сгенерированных сертификатов для обхода фильтров;
Обновлён код P2P, который переведён на использование протокола ZeroNet;
Добавлен режим работы в Offline;
Добавлен плагин UiPluginManager для установки и управления сторонними плагинами;
Обеспечена полная поддержка OpenSSL 1.1;
При соединении с peer-ами задействованы фиктивные записи SNI и ALPN, чтобы сделать соединения более похожими на обращения к обычным сайтам по HTTPS;

В тот же день, что и релиз ZeroNet 0.7.0 сформировано обновление 0.7.1, в котором устранена опасная уязвимость, которая потенциально позволяет организовать выполнение кода на стороне клиента. Из-за ошибки в коде отрисовки переменных шаблонов, открытый внешний сайт может установить соединение к системе клиента через WebSocket с неограниченными правами ADMIN/NOSANDBOX, что даёт возможность изменить параметры конфигурации и добиться выполнения своего кода на компьютере пользователя через манипуляции с параметром open_browser. Уязвимость проявляется в ветке 0.7, а также в экспериментальных сборках начиная с ревизии 4188 (изменение внесено 20 дней назад).