Безопасность
KnotRoute использует стандартные криптографические primitives, но проект не заявляет Tor/I2P-grade anonymity.
Что защищается
Заголовок раздела «Что защищается»- аутентификация node/service identities;
- transport между direct peers;
- onion-style per-hop circuit encryption;
- дополнительное service end-to-end encryption через rendezvous;
- signed topology/descriptor records;
- payload integrity и replay/sequence controls в соответствующих слоях.
Что остаётся наблюдаемым
Заголовок раздела «Что остаётся наблюдаемым»В зависимости от роли/топологии участник может наблюдать:
- IP адрес непосредственного peer;
- timing;
- объём traffic;
- размер/частоту packets/frames;
- свою позицию в path;
- protocol metadata, необходимую этой роли.
Глобальный наблюдатель может пытаться коррелировать traffic.
Network admission
Заголовок раздела «Network admission»network_id — namespace isolation, не password. В v3 нет полноценной network-wide membership PKI/revocation authority.
Если deployment требует строгого допуска nodes, не считайте неизвестность Network ID достаточной защитой.
Published service access
Заголовок раздела «Published service access»Anonymous rendezvous deliberately скрывает client node identity от service flow. Поэтому для закрытого published service используйте application-layer authentication.
Control plane
Заголовок раздела «Control plane»Control должен быть только HTTPS. Enrollment token и admin password — разные secrets. Docker socket монтируется Agent’у только при необходимости и никогда Control.
Key handling
Заголовок раздела «Key handling»Private:
- node identity;
- service identity;
- Agent identity;
- Control secrets;
- local CA private key;
- application secrets.
Публичные service/node addresses сами по себе secret keys не содержат.