Ölü bir torrent tracker’ını yeniden canlandırıp 3 milyon peer bulma deneyimi

• Yazar, ölü bir torrent tracker alan adını satın alıp doğrudan opentracker çalıştırdı
• Tracker yeniden canlandırılınca 1,7 milyon torrent ve 3,1 milyon peer otomatik olarak bağlanmayı denedi
• BitTorrent protokolünde tracker merkezi bir rol oynar ve tracker olmadan dosya paylaşımı zorlaşır
• Mainline DHT gibi merkeziyetsiz alternatifler olsa da sınırlamalar ve zafiyetler bulunur
• Yasal riskler nedeniyle sonunda alan adını ve VPS’yi sildiği bir deneyimdir

---

Genel Bakış

• Yazar, Linux ISO gibi torrentleri indirirken tracker’ların çoğunun ölü olduğunu fark etti
• “Ölü” tracker alan adının (udp://open.demonii.si:1337/announce) kayıtlı olmadığını öğrendi
• Bu alan adını satın alıp VPS üzerinde opentracker kurarak gerçek bir tracker işletmeyi denedi

BitTorrent tracker nedir?

• Tracker, BitTorrent protokolünde peer’ler (kullanıcılar) arasında bağlantı kurulmasına yardımcı olan merkezi bir servis işlevi görür
• Tracker çalışmıyorsa kullanıcılar birbirini bulamaz ve dosya paylaşımı yapılamaz
• Tracker sürdürülemezse veya yasal baskı görürse kullanıcılar ciddi rahatsızlık yaşar

Merkeziyetsiz alternatifler (DHT) ve sınırlamaları

• Mainline DHT, tracker olmadan dağıtık ağ yöntemiyle peer bulmayı destekler
• DHT; bootstrap node bağımlılığı ve Sybil saldırılarına açıklık gibi sınırlamalara sahiptir
• Yazarın test ettiği torrentte DHT üzerinden de peer bulunamadı

Tracker’ı doğrudan kurma süreci

• Alan adı satın alındıktan sonra anonim bir VPS’ye bağlandı
• opentracker (en yaygın kullanılan torrent tracker yazılımı) ile tracker sunucusu hızla kuruldu
• Sistem çalıştıktan sonra UDP 1337 portuna büyük miktarda trafik aktığı görüldü
• Sadece bir saat içinde 1,73 milyon torrent ve 3,15 milyon peer için bağlantı denemesi istatistiklere yansıdı

Tracker istatistikleri (Stats)

• 1.735.538 torrent, 3.155.701 peer, 1.342.504 seeder (tam kopya sahibi) ve 244.224 tamamlanmış indirme kaydı görüldü
• TCP/UDP bağlantıları, announce, scrape gibi çeşitli istek türlerine dair veriler toplandı
• Bağlantı ve hata istatistikleri de incelendi; az sayıda parametre hatası (400 Invalid Parameter) ve 404 Not Found hatası bulundu

Hukuki meseleler

• Kamuya açık web siteleri ve .torrent dosyalarının tanıtımı, reklam geliri gibi unsurlar telif hakkı ihlaline yönlendirme olarak hukuki sorun yaratabilir
• Sadece tracker altyapısını işletmek hukuki sorumluluk açısından belirsizdir. Ancak kastın ispatı kritik tartışma konusu olabilir
• Hem ücretsiz hem de telif korumalı torrentlerin bu tracker’ı kullandığı fark edildi

Nihai sonuç

• Hukuki kaygılar ve gerçek kimlikle yapılan ödeme yöntemi (kart ödemesi vb.) nedeniyle VPS ve alan adı hızla terk edildi
• Hâlâ kullanılmayan çok sayıda tracker alan adı olduğu ve ilgilenen kullanıcıların bunları kolayca kaydedebileceği belirtildi
• open.demonii.si gibi herkese açık şekilde kayıt edilebilen tracker alan adları örnek olarak paylaşıldı

Kapanış

• BitTorrent ekosisteminde merkezi tracker altyapısının rolü ve kırılganlığı ile merkeziyetsiz teknolojilerin sınırları deneyimsel olarak aktarılıyor
• Uzun süre ölü kalmış bir tracker alan adı yeniden canlandırıldığında bile milyonlarca peer’in anında bağlanmayı denemesi dikkat çekici
• Altyapı işletmenin hukuki riskleri konusunda uyarılar paylaşılıyor

[GN⁺]

Hacker News görüşleri

• Bu durumda izleyiciyi doğrudan barındırmak yerine yalnızca gelen bağlantıları gözlemliyorsanız, bunun yasa dışı sayılması için çok az neden olduğunu düşünüyorum. Bir tracker çalıştırıyor olsanız bile bunun gerçekten yasa dışı olduğunu kanıtlamak kolay değil. opentrackr gibi bir şeyi barındırmak, bir arama motoru işletmeye benziyor. Asıl kritik nokta, yasal kaldırma taleplerine nasıl yanıt verdiğiniz. Tracker’ın kendisi oldukça basit bir sunucu yazılımı. Böyle bir şeyin yasa dışı sayılması bana biraz tuhaf geliyor

  • “Bu yasal mı?” sorusundan ziyade, “Dava edilme olasılığı ne kadar yüksek?” çok daha pratik bir soru. Hukuka uygun olsa da olmasa da size sivil dava açılabilir. Avukatlar sizi hedef alırsa iş çok can sıkıcı hale gelir
  • Kasıtlı olarak bir suça yardım ederseniz, bu sanki suçu kendiniz işlemişsiniz gibi değerlendirilebilir. ABD federal yasasına göre (18 USC 2a, referans bağlantısı) sadece yazılım olması, yanlış bir eylemden dolayı sizi otomatik olarak muaf tutmaz. Bazı güvenli yasal istisnalar vardır (özellikle telif hakkı alanında), ancak genel olarak başkasının suçuna yardım etmek başlı başına suç olarak görülmelidir. Ben avukat değilim ama suça yardımcı olmaktan kaçınmak en güvenlisi
  • Tracker’ı (BitTorrent eşleri arasında koordinasyon sağlayan sunucu) ve “tracker”ı (.torrent dosyaları ile magnet URI’lerini barındıran site) ayırmak gerekir. Uygulamada yasal kaldırma işlemleri daha çok ikincisine, yani .torrent dosyalarını veya bağlantıları barındıran sitelere yönelmişti
  • (Uzman değilim ama) duruma göre hem yasal hem de yasa dışı olabilir. Kaldırma taleplerine yanıt vermiyorsanız yasa dışı tarafa kayabilir. Tersine, kaldırma taleplerine yanıt veriyor ve hash’leri kara listeye alıyorsanız çoğu durumda sorun çıkmama ihtimali yüksektir. Tabii bu, yargı bölgesine ve hash-IP:port eşleşmesinin başlı başına dağıtım/yardım sayılıp sayılmadığına bağlıdır (TPB davasına bakın). Tanıdığım biri yıllarca büyük bir tracker işletti, kaldırma taleplerini kara listeyle yönetti ve hâlâ sorunsuz yaşıyor
  • Müzik/film endüstrisinin genel olarak P2P’den nefret ettiği ve 2000’lerde fiilen P2P ekosistemini öldürdüğü görüşündeyim. Bunun bir gün yeniden tartışılması gerektiğini düşünüyorum. Lisans almanın kolaylaştığı bir dönemdeyiz; DRM uygulaması iyi yapıldığı sürece endişelenecek bir şey olmadığını düşünüyorum

• Çeşitli BitTorrent istemcileri var ve bunların önemli bir kısmı güvenli olmayan dillerde yazılmış. Bu durumda kötü niyetli bir tracker’ın bazı istemcilere saldırması mümkün olmaz mı diye merak ediyorum. Tracker’dan anormal veri gelirse, bazı istemciler bunu düzgün ele alamayıp zafiyetli davranışlar gösterebilir gibi geliyor

  • Transmission’da, CVE-2018-5702 olarak bilinen DNS rebinding açığı nedeniyle bir dönem uzaktan kod çalıştırma mümkündü. Tracker üzerinden saldırı gerçek bir risk
  • Çoğu kullanıcının kullandığı torrent istemcileri, libtorrent adlı kütüphanenin sarmalayıcılarıdır. libtorrent iyi test edilmiş ve güvenlik denetiminden geçmiş bir kütüphane olduğu için oldukça güvenilir
  • Ben de hobi olarak bir istemci yazdım ve sonuç olarak cevap “evet”. Sunucudan gelen girdi verileriyle uğraşıyorsunuz ve dosya sistemiyle de karmaşık şekilde etkileşiyorsunuz. Bellek güvenli bir dilde bile bunu zar zor çalışır hale getirmek zor; C ya da C++ ile tamamen güvenli yapmaksa oldukça çetin bir iş gibi hissettiriyor
  • Rust ile yazılmamış başka pek çok program da var; bu yüzden fazla endişelenmeye gerek olmadığını düşünüyorum (ya da tüm yazılımların riskli olabileceğini de söyleyebiliriz)
  • Keşke yazı bu teknik tehditleri biraz daha derinlemesine inceleseydi

• Sonuçta bu, yalnızca bir alan adı kaydedip belirli bir DNS kaydı yayımlayarak istediğiniz IP’ye DDoS yapılabileceği anlamına geliyor

  • Yaygın istemcilerde announce aralığı oldukça uzundur (yaklaşık 30 dakika). Ama 3 milyon eş varsa, bu tek başına ağ yükü yaratabilir
  • Bunun gerçekten o kadar ciddi bir risk olup olmadığından emin değilim. Kullandığım BitTorrent istemcileri bağlantı başarısız olursa en az 60 saniye bekler. Ölü bir tracker alan adını satın alıp istemcileri başka bir IP’ye yönlendirseniz bile, o portta bir hizmet çalışmıyorsa ve tracker protokolü konuşulmuyorsa, yüz binlerce ya da milyonlarca istemci gelse bile gerçekten büyük bir sorun yaratır mı emin değilim

• Her gün güncellenen bir tracker ana listesi burada. Bunu kullanarak ek ölü tracker’lar bulmak da mümkün

• Benim ilk merak ettiğim şey, BitTorrent istemcilerinin ne kadarında zafiyetli ayrıştırma kodu olduğu. Birisi alan adını kötü niyetle kaydedip istemcilere bulaşabilir mi diye düşünüyorum

  • Jon Evans’ın “Invisible Armies” romanı ve orada yazarın P2P yazılımındaki hata/arka kapıları kullanarak sistemleri ele geçirdiği sahne aklıma geliyor
  • utorrent v2.1 hâlâ birçok kişi tarafından kullanılıyor ve açıkça zafiyetler mevcut

• Bu durum, Cloudflare’ın 1.1.1.1 IP adresini almasına benziyor. Alan adı açılır açılmaz, sayısız otomatik script ve bot oraya trafik yağdırmıştı

  • Cloudflare’ın bu adresi nasıl aldığını merak ediyorum

• Geçmişte deney amaçlı kısa süreliğine kişisel bir tracker işletmiştim. Gerçek kullanım çok kısa sürdü ve tracker’ın nasıl çalıştığını derinlemesine incelemedim (Rust ile yazılmış Aquatic tracker’a WebTorrent desteği isteyip kullanmıştım, Aquatic bağlantısı). Tracker’ın esas olarak neyi takip ettiğini ve eşler arası bilgi alışverişinden doğrudan bir şey öğrenip öğrenemeyeceğini merak ediyorum. Tahminimce yalnızca hash ya da magnet değeriyle eşleri buluşturuyor. Magnet’in kendisinin de mutlaka kimlik bilgisi içermesi gerekmez diye düşünüyorum (birçok magnet bağlantısında insanlar için okunabilir açıklamalar da var). Tracker hash’i alıp ilgili dosyayı doğrudan indirerek doğrulayabilir belki, ama indirmeden bunun tam olarak hangi içerik olduğunu anlamak zor olur. Magnet bağlantısında eşleştirme için gerçekten zorunlu olan öğelerin ne olduğunu ve tracker’ın tarafsızlığını korumak için insan tarafından okunabilir alanları yok sayıp sayamayacağını ya da engelleyip engelleyemeyeceğini merak ediyorum

  • Tracker yalnızca torrent’in info hash’ini işler. Dosya adı, açıklama, içerik listesi ya da başka hiçbir şeyi işlemez. Örneğin opentracker, hem beyaz liste hem kara liste modunu destekler. Çoğu açık tracker (torrent.eu, opentrackr.org vb.) kara liste yaklaşımıyla çalışır ve neredeyse tüm kullanıcıların (neredeyse) her türlü içeriği bulmasına izin verir
  • Tracker gerçekte hangi içeriğin izlendiğini bilebilir. Eskiden işlettiğim TV programı tracker’ı, her kullanıcının yükleme/indirme oranını bile izleyip yönetiyordu

• Rusya, Çin, İran gibi ülkelerde alan adı kaydedip siteyi Alibaba’da barındırabilirsiniz. ABD’den yasal baskı gelse bile bu tür ülkelere ulaştığı anda tamamen etkisiz hale geliyor. Uygulamada oralarda hukuki yaptırım çok zor

• Avukat değilim ama ABD içinde içerik açısından tarafsız bir tracker işletmenin yasal olduğunu sanıyorum. Yine de başka ülkelerde kesinlikle yasa dışı olabilir ve VPS’in bulunduğu yerle TLD’nin ülkesi (.si gibi) fark yaratabilir

  • Ararsanız ABD makamlarınca kapatılmış tracker örnekleri bulursunuz (EliteTorrents, 2005, ilgili haber). Muhtemelen başka örnekler de vardır. Sivil davalarla (ör. MPAA gibi kuruluşların tazminat davaları) kapanan birçok tracker da oldu. Listenin büyük kısmı telifli içerikten oluşuyorsa ABD’de de rahatlıkla kapatılabilir
  • Eskiden .si alanında çalışan büyük bir halka açık tracker vardı. Slovenya’da yaklaşık 20 yıldır internet kullanan hemen herkesin en az bir kez denk geldiği türden bir şeydi. Bu tracker sadece yasal bildirimlerle ortadan kalkmadı
  • VPS, cockbox.org tabanlı görünüyor (yazıya bakın); bu şirketin merkezinin Moldova’da olduğu söyleniyor

• Biri 2004’te kapanmış olan suprnova alan adını tekrar satın alsa, hâlâ yaşayan seeder’lar varsa eski indirmeler devam edebilir mi diye merak ediyorum. DHT öncesi dönemde oluşturulmuşsa bunun etkisi olur mu, onu da merak ediyorum. DHT’nin eski torrent’leri de kapsayacak kadar “tarihsel” bir özelliği olup olmadığını bilmek istiyorum

  • DHT gerçekten “tarihsel”dir. Yani torrent’in ne zaman oluşturulduğundan bağımsız olarak, infohash aynı olduğu sürece çalışır. Ancak genelde özel tracker’larda oluşturulan torrent’lerde private bayrağı açık olur; bu da DHT, PEX gibi bazı özellikleri devre dışı bırakır. Bu bayrak elle kaldırılabilir ama DHT’nin çalışması için seeder tarafında da bu bayrağın kaldırılmış olması gerekir
  • İstemcide bu özellik açıksa DHT her zaman çalışır. Eski seeder’lar daha yeni istemci sürümlerine geçtiyse, metadata otomatik olarak DHT üzerinden paylaşılabilir
  • Teorik olarak, evet, böyle bir durum gayet mümkün