Punainen Kolmio: Haastattelussa Spurdomarketin ylläpitäjä

Viranomaiset sulkivat Sipulimarketin joulukuussa 2020. Kovin kauan ei suomalaisten tarvinnut olla ilman kotimaista markettia, sillä kymmenisen päivää myöhemmin ovensa avasi Spurdomarket.

Ensimmäisenä Spurdomarketissa kiinnittää huomiota nimi. Spurdo, koko nimeltään Spurdo Spärde, on meemi suomalaisessa lautakulttuurissa. Ulkopuolisen silmin kyseessä on rumasti piirretty nalle, joka solkottaa sekavia.

Spurdo on kieltämättä erikoinen valinta marketin nimeksi. Mutta ei nimi miestä pahenna, ellei mies nimeä, kuten sanonta kuuluu. Spurdomarketissa on jo lähes parikymmentä vendoria, joista osa on tuttuja Sipulimarketista. Luottoa uutta markettia kohtaan siis näyttää löytyvän, ja se onkin se olennainen asia.

Olen ollut yhteydessä Spurdomarketin ylläpitäjään marketin perustamispäivästä saakka. Nyt market on noin kuukauden ikäinen, mistä voinee päätellä, että se on tullut jäädäkseen. Niinpä on oikea aika julkaista marketin ylläpitäjän haastattelu.

Spurdomarket tekee monet asiat eri tavalla kuin sen edeltäjät Sipulimarket ja Silkkitie. Lisäksi luvassa on paljon sellaista, mitä kotimaisessa skenessä ei ole ennen nähty. Pidemmittä lätinöittä siirrytään kysymyksiin ja vastauksiin.

Miksi juuri Spurdomarket?

Spurdomarket sopii Suomalaiseen nettikulttuuriin ja tulee kuulostamaan hauskalta lehtien otsikoissa.

Milloin aloit tehdä markettia ja mikä ratkaisi julkaisuajankohdan?

Ensimmäiset commitit Git repossa on jo kesältä 2017, mutta tämä projekti on edistynyt äärimmäisen hitaasti. Sipulimarketin sulkeutuminen motivoi pienen loppuspurtin.

Olet nyt kuukauden ajan ollut aktiivinen kirjoittelija Tor-verkon foorumeilla, Ylilaudalla ja jopa Twitterissä. Koskaan aikaisemmin ei suomalainen nettihuumekaupan toimija ole tehnyt tiliä sosiaaliseen mediaan. Miksi perustit Twitter-tilin?

Tulemme hakemaan näkyvyyttä keinoja kaihtamatta. Tänään Twitter-tili, huomenna kaupallinen yhteistyö julkisuuden henkilöiden kanssa. Etsimme tälläkin hetkellä kiinnostuneita henkilöitä jakamaan mainoslehtisiämme pääkaupunkiseudun postiluukkuihin.

Millaista kaupallista yhteistyötä suunnittelet?

Pääasiassa sponsoroituja Instagram-postauksia, mutta olisi ihan kiva, jos saataisiin joku muusikko ottamaan Spurdomarket lyriikoihinsa. Yhdysvalloissahan tälläistä musiikkia on paljon, esimerkiksi tämä:

https://www.youtube.com/watch?v=OiEym3XTCBw&feature=emb_logo&ab_channel=PerfectPlug

Olet kertonut, että asut ulkomailla, tietokoneesi on ikkunattomassa huoneessa ja pihallasi on kamerat. Mitä muuta voit kertoa itsestäsi ja kodistasi?

Kamerat hälyttävät ja antavat hyvin aikaa valmistautua, jos joku lähestyy kotiani. Työhuoneen oven avaaminen saattaa aktivoida tiettyjä varotoimia :) Työstän Spurdomarkettia vain tästä huoneesta varmistaakseni, etten koskaan tule tekemään virhettä, joka sallisi ulkopuolisen tahon pääsyn koneelleni sen ollessa salaamattomana päällä. Niin kutsuttuihin evil maid -hyökkäyksiin on varauduttu akullisilla kameroilla, ja jos kamerajärjestelmissä esiintyy odottamattomia ongelmia, menee tietokone heti vaihtoon. Nämä ovat hyvin yksinkertaisia varotoimia, joita odottaisin keneltä tahansa, joka tälläiseen leikkiin ryhtyy.

Mitä minuun tulee, olen seitsemän proxyn takana elävä vainoharhainen tietoturvaosaaja, joka on käyttänyt aivan liikaa aikaa sipuliverkon kanssa pelailuun jo yli vuosikymmenen ajan. Olen vuosien kuluessa obsessiivisesti selvittänyt kaiken mahdollisen tähän mennessä suljetuista piilopalveluista ja pidätetyistä sipuliverkon henkilöistä, enkä aio toistaa samoja virheitä.

Miten Spurdomarket eroaa Sipulimarketista teknisesti?

Sipulimarket perustui Eckmarin julkiseen markettimoottoriin. Eckmar-viritys näyttää nätiltä, mutta kärsii useista tietoturvaongelmista. Spurdomarket on rakennettu Pythonilla Flaskia ja Jinjaa käyttäen. Kyseessä on lähinnä henkilökohtainen preferenssi eikä mikään merkittävä yksityiskohta. Oleelliset tekniset erot keskittyvät enemmän tietoturvapuolelle.

Miten olet panostanut tietoturvaan?

Spurdomarketin moottori on rakennettu puhtaalta pöydältä, ensisijaisena tavoitteena sivun ja sen asiakkaiden tietoturva. Käyttämämme teknologiat takaavat ettei sivuilta tule löytymään mitään yksinkertaisia SQL-injektio tai XSS-aukkoja. Olemme myös varautuneet muita suomalaisia marketteja piinanneisiin TOCTOU-aukkoihin, jotka johtivat ryöstöihin Silkkitiellä ja Sipulimarketissa.

Tallennamme asiakkaistamme paljon vähemmän tietoja kuin edeltäjämme, tilaukset katoavat tietokannastamme välittömästi palautteen antamisen jälkeen. Emme säilytä bitcoin-siirtohistoriaa Sipulimarketin tavoin. Kaikki tilausosoitteet ja viestit salataan automaattisesti myyjän PGP-avaimella, eikä selkotekstisiä tilaustietoja koskaan tallenneta palvelimillemme. Vaikka viranomaiset saisivat tietokantamme käsiin, ei sieltä irtoaisi tietoja, joiden varassa pystyttäisiin nostamaan syytteitä.

Ehkä suurin "innovaatiomme" on erotella sivu kahteen osaan. Meillä on erikseen tietoja väliaikaisesti välimuistissa sälyttävä frontend-palvelin, johon asiakkaiden liikenne ohjautuu, ja salainen backend-palvelin, jolla kaikki varsinainen bisneslogiikka tapahtuu. Jos viranomaiset takavarikoivat frontend-palvelimemme, voivat he pahimmassa tapauksessa saada välimuistista käsiinsä tietoja vain viimeisen parin tunnin aikana sisään kirjautuneista käyttäjistä.

Kommunikaatio frontend- ja backend-palvelinten välillä tapahtuu Tor-verkon ylitse, joten päästäkseen käsiksi sivun oikeaan tietokantaan viranomaisten pitäisi pystyä deanonymisoimaan backend-palvelimen piilopalvelu, jonka osoitetta he eivät tiedä. Tämä on käytännössä mahdotonta.

Onionbalancen ansiosta frontend-palvelimellamme ei myöskään ole pääsyä Spurdomarketin sipuliosoitteen avaimiin, joten mahdollisen takavarikon sattuessa emme joudu katselemaan Tullin takavarikkosivua, vaan kauppa tulee jatkumaan parin tunnin sisällä.

Viranomaiset saivat haltuunsa Sipulimarketin palvelimen ja sulkivat sivuston. Voiko sama tapahtua Spurdomarketille?

Kaikki on mahdollista, mutta pidän tätä äärimmäisen epätodennäköisenä. Jotta viranomaiset pystyisivät todella sulkemaan Spurdomarketin, tulisi heidän löytää Spurdomarketin salaisen piilopalvelun takana oleva tietokantapalvelin. Viranomaiset eivät tiedä palvelimen onion-osoitetta, joten tätä palvelinta on lähes mahdoton alkaa etsimään takavarikoimatta ensiksi Spurdomarketin frontend-palvelinta. Jos näin kävisi, vaihtaisimme heti tietokantapalvelimen osoitteen ja jatkaisimme toimintaa.

Palvelimemme myös sijaitsevat paikassa, josta Suomen viranomaisten tulee olemaan hyvin vaikea saada oikeusapua, mutta en luota tähän sokeasti.

Spurdomarketissa ei voi antaa kirjallista palautetta. Miksi?

Yksinkertaistettu palautesysteemi oli paljon pyydetty ominaisuus kun kyselin Keskustorilla. Voi olla, että myöhemmin laitetaan kirjalliset palautteet päälle, jos niille näyttää olevan tarvetta.

Olet kertonut, että Spurdomarket alkaa palvella myös englanniksi. Miksi näin ja millä aikataululla?

Tällä hetkellä noin puolet sivusta on englanniksi, koska kehitän englanniksi ja käännän vasta jälkikäteen. Useat myyjämme ovat englanninkielisiä, joten en ole kiirehtinyt käännösten kanssa. Parin viikon sisällä lisään kielivalinnat ja viimeistelen käännökset. Aiomme laajentua muihinkin maihin, joten kielivalinnoille tulee olemaan tarvetta.

Suomalaisissa marketeissa on aina käytetty vain bitcoineja. Olet kertonut, että tulevaisuudessa Spurdomarketissa voi maksaa bitcoinin lisäksi myös monerolla. Miksi tällainen lisäys?

Bitcoin-siirrot ovat kaikille julkisia, monero-siirrot eivät.

Tammikuun 2. päivä alkoi palvelunestohyökkäys Suomilautaa, Keskustoria ja Spurdomarketia kohtaan. Suomilauta kaatui ilmeisesti lopullisesti ja Keskustori halvaantui tilapäisesti, mutta Spurdomarketiin hyökkäys ei vaikuttanut. Mistä tämä johtuu?

Meillä taitaa olla enemmän palvelinkapasiteettia kuin laudoilla. Palvelimiin menee noin tonni kuussa, tuolla rahalla saadaan yhteensä 128 CPU ydintä. Veikkaisin, että laudoilla on ehkä kymmenesosa tästä käytettävissä. Hyökkäys söi pahimmilaan lähes kaiken meidän palvelinkapasiteetin, muttei kuitenkaan riittänyt kaatamaan sivuja.

Olet kertonut, että tulet avaamaan F2F-kaupankäyntiin pohjautuvan sivuston. Mitä voit kertoa siitä?

F2F-alustallamme mainostaminen tulee olemaan maksullista, todennäköisesti noin 20e/pvä pk-seudulla ja halvempaa vähemmän aktiivisilla alueilla. Maksulliset mainokset on helpoin tapa vähentää rottailua, mistä on tullut harmittavan yleistä katukaupassa.

Mitä terveisiä lähetät Punaisen Kolmion lukijoille?

Turvallisia kauppoja! Pitäkää itsestänne huoli ja ottakaa ainakin PGP käyttöön.