La experiencia de revivir un tracker de torrents muerto y encontrar 3 millones de peers

• El autor adquirió el dominio de un tracker de torrents muerto y operó directamente opentracker
• Al revivir el tracker, 1.7 millones de torrents y 3.1 millones de peers intentaron conectarse automáticamente
• En el protocolo BitTorrent, el tracker cumple un rol centralizado y, sin él, compartir archivos se vuelve difícil
• También existen alternativas descentralizadas como Mainline DHT, pero tienen limitaciones y vulnerabilidades
• Debido a los riesgos legales, finalmente eliminó el dominio y el VPS

---

Resumen general

• Mientras descargaba torrents de Linux ISO y otros archivos, el autor descubrió que la mayoría de los trackers estaban muertos
• Notó que un dominio de tracker “muerto” (udp://open.demonii.si:1337/announce) no estaba registrado
• Compró ese dominio y montó opentracker en un VPS para operar un tracker real

Qué es un tracker de BitTorrent

• Un tracker cumple la función de servicio central que ayuda a conectar peers (usuarios) dentro del protocolo BitTorrent
• Si el tracker no está en funcionamiento, los usuarios no pueden encontrarse entre sí y el intercambio de archivos se vuelve imposible
• Cuando un tracker deja de mantenerse o recibe presión legal, los usuarios terminan afectados

Alternativas descentralizadas (DHT) y sus límites

• Mainline DHT permite buscar peers mediante una red distribuida sin tracker
• DHT tiene limitaciones, como la dependencia de nodos de arranque y la vulnerabilidad a ataques Sybil
• En el caso del torrent que probó el autor, tampoco pudo encontrar peers mediante DHT

Proceso de montar el tracker por cuenta propia

• Tras comprar el dominio, lo conectó a un VPS anónimo
• Usó opentracker (el software de tracker de torrents más utilizado) para levantar rápidamente el servidor
• Después de iniciar el sistema, comprobó que entraba una gran cantidad de tráfico por el puerto UDP 1337
• En apenas una hora, las estadísticas mostraban intentos de conexión de 1.73 millones de torrents y 3.15 millones de peers

Estadísticas del tracker (Stats)

• Confirmó registros de 1,735,538 torrents, 3,155,701 peers, 1,342,504 seeders (completos) y 244,224 descargas finalizadas
• También se recopilaron datos de distintos tipos de solicitudes, como conexiones TCP/UDP, announce y scrape
• Además analizó estadísticas de acceso y errores, con algunos fallos de parámetros (400 Invalid Parameter) y una pequeña cantidad de errores 404 Not Found

Aspectos legales

• Promocionar sitios web públicos y archivos .torrent, o generar ingresos publicitarios, puede convertirse en un problema legal por inducir infracciones de copyright
• Operar solo la infraestructura del tracker deja más ambigua la posible responsabilidad legal. Sin embargo, probar la intención puede ser un punto clave
• El autor era consciente de que tanto torrents libres como torrents con copyright usaban ese tracker

Conclusión final

• Por preocupaciones legales y por el uso de métodos de pago con identidad real (como tarjeta), decidió descartar rápidamente el VPS y el dominio
• Señala que todavía hay muchos dominios de trackers sin usar, por lo que cualquier persona interesada puede registrarlos con facilidad
• Menciona dominios de trackers registrables públicamente, como open.demonii.si

Cierre

• Comparte, desde la experiencia práctica, el rol y la fragilidad de la infraestructura centralizada de trackers en el ecosistema BitTorrent, así como los límites de las tecnologías descentralizadas
• Resulta llamativo que, incluso al revivir un dominio de tracker que llevaba mucho tiempo muerto, millones de peers intentaran conectarse de inmediato
• También advierte sobre los riesgos legales de operar este tipo de infraestructura

[GN⁺]

Opiniones en Hacker News

• En este caso, no estás alojando el tracker directamente, solo observando las conexiones entrantes, así que no veo muchas razones para que sea ilegal. Incluso si operaras un tracker, no sería fácil demostrar que realmente es ilegal. Alojar algo como opentrackr es parecido a operar un motor de búsqueda. El punto clave es cómo respondes a las solicitudes legales de retirada. El tracker en sí es un software de servidor bastante simple. Me parece raro que algo así se considere ilegal

  • Más que preguntar “¿esto es legal?”, la pregunta realmente práctica es “¿qué tan probable es que te demanden?”. Las demandas civiles te pueden caer sea legal o no. Si los abogados te toman como objetivo, se vuelve muy molesto
  • Si ayudas deliberadamente a cometer un delito, se considera como si lo hubieras cometido tú mismo. Según la ley federal de EE. UU. (18 USC 2a, enlace de referencia), no quedas exento solo porque sea “simple software”. Sí existen algunas excepciones legales relativamente seguras, especialmente en temas de copyright, pero en general ayudar al delito de otra persona también debe considerarse un delito. No soy abogado, pero lo prudente es evitar ayudar a cometer delitos
  • Hay que distinguir entre un tracker (servidor para coordinar peers de BitTorrent) y un "tracker" (sitio que aloja archivos .torrent y magnet URI). En la práctica, las acciones legales de retirada se concentraron en lo segundo, es decir, en sitios que alojaban archivos .torrent o enlaces
  • (No soy experto, pero) dependiendo del caso puede ser legal o ilegal. Si no respondes a solicitudes de retirada, puede inclinarse hacia lo ilegal. En cambio, si respondes a esas solicitudes y pones hashes en lista negra, probablemente en la mayoría de los casos estés bien. Claro, depende de la jurisdicción y de si la relación hash–IP:puerto en sí se considera distribución o complicidad (ver el caso de TPB). Conozco a alguien que operó un tracker grande durante años, gestionando las solicitudes de retirada mediante listas negras, y hasta hoy no ha tenido problemas
  • Creo que la industria musical y del cine odiaba tanto el P2P que prácticamente mató el ecosistema P2P en los 2000. Pienso que en algún momento habrá que volver a discutirlo. Hoy es mucho más fácil conseguir licencias, así que mientras se haga cumplir bien el DRM, no debería haber tanto de qué preocuparse

• Existen muchos clientes BitTorrent distintos, y una buena parte está escrita en lenguajes inseguros. Eso me hace preguntarme si un tracker malicioso podría atacar a algunos clientes. Si reciben datos anómalos desde el tracker, parece posible que algunos clientes no respondan correctamente y tengan comportamientos vulnerables

  • En el caso de Transmission, hubo una vez ejecución remota de código debido a una vulnerabilidad de DNS rebinding conocida como CVE-2018-5702. Creo que los ataques a través del tracker son un riesgo real
  • La mayoría de los clientes torrent que usa la gente son wrappers de una librería llamada libtorrent. libtorrent está muy bien probada y además pasó auditorías de seguridad, así que es bastante confiable
  • Yo también hice un cliente como hobby, y en resumen la respuesta es “sí”. Manejas datos de entrada que vienen del servidor y además interactúas de forma compleja con el sistema de archivos. Incluso en un lenguaje memory-safe cuesta apenas lograr que funcione; hacerlo totalmente seguro en C o C++ me parece una tarea bastante complicada
  • También hay muchos otros programas que no están escritos en Rust, así que no creo que haya que preocuparse demasiado (o, si se quiere ver así, cualquier software podría ser riesgoso)
  • Me habría gustado que el texto explorara un poco más esta amenaza técnica

• Al final, esto significa que solo con registrar un dominio y publicar ciertos registros DNS ya podrías hacer DDoS a la IP que quieras

  • El ciclo de announce de los clientes populares suele ser bastante largo (aprox. 30 minutos). Pero si hay 3 millones de peers, eso de por sí puede generar carga de red
  • No estoy seguro de que sea un riesgo tan grave en la práctica. Los clientes BitTorrent que he usado suelen esperar al menos 60 segundos si falla una conexión. Aunque compres un dominio de tracker muerto y redirijas las conexiones hacia la IP de otro, si en ese puerto no hay un servicio activo ni habla el protocolo del tracker, incluso con cientos de miles o millones de clientes no tengo claro que realmente cause un problema serio

• Hay una lista maestra de trackers que se actualiza a diario aquí. También podría usarse para encontrar más trackers muertos

• Mi primera duda es cuántos clientes BitTorrent tienen código de parsing vulnerable. Pienso en si alguien podría registrar el dominio de forma maliciosa e infectar clientes

  • Esto me recuerda la novela “Invisible Armies” de Jon Evans, y la escena donde el autor usa bugs/backdoors en software P2P para apoderarse de sistemas
  • utorrent v2.1 todavía lo usa mucha gente, y definitivamente existen vulnerabilidades

• Esta situación se parece a cuando Cloudflare tomó la IP 1.1.1.1. En cuanto esa dirección quedó disponible, muchísimos scripts automatizados y bots empezaron a lanzarle tráfico

  • Me da curiosidad cómo hizo Cloudflare para conseguir esa dirección

• Hace tiempo operé brevemente un tracker personal como experimento. La operación real duró muy poco y no entendí a fondo cómo funciona un tracker (pedí soporte para webtorrent en el tracker Aquatic hecho en Rust y lo probé enlace a Aquatic). Me pregunto qué rastrea realmente un tracker y si puede saber algo de manera directa durante el intercambio de información entre peers. Mi impresión es que simplemente empareja peers usando hashes o valores magnet. No creo que el magnet en sí tenga que incluir información identificable necesariamente (muchos enlaces magnet sí incluyen descripciones legibles por humanos). Un tracker podría recibir el hash y descargar por su cuenta el archivo para verificarlo, pero si no descarga directamente, parece difícil saber con certeza qué contenido es en realidad. También me pregunto cuáles son los elementos realmente imprescindibles en un magnet link para el emparejamiento de peers, y si un tracker podría ignorar o bloquear los campos legibles por humanos para mantenerse neutral

  • Un tracker solo maneja el info hash del torrent. No maneja nombre de archivo, descripción, lista de contenidos ni nada parecido. Por ejemplo, opentracker soporta tanto modo whitelist como blacklist. La mayoría de los trackers abiertos (como torrent.eu, opentrackr.org, etc.) operan en modo blacklist y permiten que casi todos los usuarios encuentren (casi) cualquier contenido
  • Un tracker sí puede saber qué contenido está rastreando. El tracker de programas de TV que yo operaba antes incluso rastreaba y administraba la proporción de subida/descarga de cada usuario

• Basta con registrar el dominio en Rusia, China o Irán y alojar el sitio en Alibaba. Aunque desde EE. UU. intenten ejercer presión legal, en cuanto eso llega a esos países se vuelve completamente inútil. En la práctica, responder legalmente ahí es casi imposible

• No soy abogado, pero entiendo que en EE. UU. es legal operar un tracker neutral respecto al contenido. Eso sí, en otros países claramente puede ser ilegal, y también cambia según la ubicación del VPS y el país del TLD (.si, etc.)

  • Si buscas, hay casos de trackers cerrados por las autoridades de EE. UU. (EliteTorrents, 2005, artículo relacionado). Seguramente también hubo otros. Muchos trackers también cerraron por demandas civiles (por ejemplo, reclamaciones de daños por parte de grupos como la MPAA). Si la mayor parte de la lista contiene material con copyright, perfectamente podrían cerrarlo también en EE. UU.
  • Antes había un gran tracker público operando en .si. Cualquiera que haya tenido experiencia en internet en Eslovenia durante casi 20 años seguramente lo usó al menos una vez. Ese tracker no desapareció solo por notificaciones legales
  • El VPS está ubicado sobre cockbox.org (según el texto principal), y se dice que esa empresa tiene su sede en Moldavia

• Si alguien volviera a comprar el dominio suprnova (que cerró en 2004), me pregunto si los seeders que sigan vivos podrían reanudar las descargas antiguas. También me pregunto si eso se vería afectado por haber sido creado antes de la era de DHT. Quisiera saber si DHT es lo bastante “histórico” como para cubrir torrents antiguos

  • DHT sí es realmente “histórico”. Es decir, funciona sin importar cuándo se creó el torrent, siempre que el infohash coincida. Eso sí, los torrents creados en trackers privados suelen tener activada la bandera private, lo que los excluye de funciones como DHT y PEX. Esa bandera se puede quitar manualmente, pero para que DHT funcione, el seeder también tendría que desactivarla
  • DHT funciona en cualquier momento si el cliente tiene esa función activada. Si los seeders antiguos también actualizaron sus clientes a versiones nuevas, los metadatos podrían compartirse automáticamente vía DHT
  • En teoría, una situación así es totalmente posible