Privacy Pass: saltarse los desafíos de internet de forma anónima

Resumen

El crecimiento de las redes de entrega de contenido (CDNs) ha generado un control centralizado sobre la entrega de contenido de internet. Un subproducto no deseado de este crecimiento es que las CDNs están convirtiéndose rápidamente en árbitros globales para determinar qué solicitudes de contenido se permiten y cuáles se bloquean en un intento de frenar el tráfico malicioso. En particular, en algunos casos, los usuarios honestos —especialmente aquellos que se encuentran detrás de direcciones IP compartidas, incluidos los usuarios de herramientas de privacidad como Tor, VPNs e I2P— pueden ser objetivos de soluciones de «captura de todo» que asumen que estos usuarios actúan de manera maliciosa. En este trabajo, proporcionamos una solución para evitar que los usuarios se expongan a una cantidad desproporcionada de desafíos de internet, como los CAPTCHAs. Estos desafíos son, como mínimo, molestos y, en su peor caso —cuando se combinan con malas implementaciones—, pueden bloquear completamente el acceso a los recursos web. Detallamos un protocolo criptográfico de 1-RTT (basado en una implementación de una función pseudorandom ciega) que permite a los usuarios recibir una cantidad significativa de tokens anónimos por cada solución de desafío que proporcionen. Estos tokens se pueden canjear en el futuro por acceso sin tener que interactuar con un desafío. Hemos implementado nuestra solución inicial en una extensión de navegador llamada «Privacy Pass» y hemos trabajado con la CDN de Cloudflare para implementar componentes del lado del servidor compatibles en su infraestructura. Sin embargo, vislumbramos que nuestra solución podría utilizarse de manera más generalizada para muchas aplicaciones en las que se pueda conceder acceso anónimo y honesto (por ejemplo, edición anónima de wiki). La garantía de anonimato de nuestra solución la hace inmediatamente adecuada para su uso por parte de los usuarios de Tor/VPNs/I2P. También publicamos cifras de Cloudflare que indican el impacto potencial de la liberación global de Privacy Pass.