Facebook na TOR-u. Postoji objašnjenje.

Konačno, na zahtjev obožavatelja: Plave tablete sa somom. Sljedeći članak (od prije nedelju dana) napisao je Roger Dingledine (oružje), vođa TOR projekta, o dolazak Facebooka na ovu mrežu.

Danas je Facebook otkrio njegova skrivena usluga koji omogućava korisnicima pažljiviji pristup vašoj web lokaciji. Korisnici i novinari pitali su nas za naše odgovore; evo nekoliko tačaka koje će vam pomoći da shvatite naše mišljenje.

Prvi dio: Da, posjeta Facebooku na Toru nije kontradikcija

Nisam znao da bih trebao uključiti ovaj odjeljak, sve do danas čuo sam od novinara koji se nadao da će od mene dobiti citat zašto korisnici Tora ne bi ni koristili Facebook. Ako ostavimo po strani (još uvijek vrlo važna) pitanja o Facebook-ovim navikama privatnosti, njihovim štetnim politikama stvarnog imena i treba li vam reći nešto o vama, ključno je ovdje da anonimnost se ne krije samo od vaših odredišta.

Nema razloga da obavjestite svog davatelja internetskih usluga kada ili ako posjećujete Facebook. Nema razloga da Facebook-ov uzlazni ISP ili bilo koja agencija koja nadzire Internet znaju kada ili posjećuju Facebook. A ako odlučite reći Facebooku nešto o sebi, još uvijek nema razloga da im dopustite da automatski otkriju grad u kojem se nalazite.

Takođe, moramo imati na umu da na nekim mjestima nije moguće pristupiti Facebooku. Prije nekog vremena razgovarao sam s nekim iz osiguranja na Facebooku koji mi je ispričao smiješnu priču. Kada je prvi put upoznao Tor, mrzio je i plašio se toga jer je "očito" namjeravao potkopati njihov poslovni model da saznaju sve o svojim korisnicima. Tada iznenada Iran blokira Facebook, dobar dio perzijske populacije na Facebooku prebacio se na pristup Facebooku putem Tor-a, a on je postao fan Tor-a jer bi u protivnom ti korisnici bili hakirani. I druge zemlje poput Kine slijedile su sličan obrazac nakon toga. Ta promjena u njegovom umu između "Tor kao alata za privatnost koji omogućava korisnicima da kontroliraju vlastite podatke" i "Tor kao alata za komunikaciju koji korisnicima daje slobodu da odaberu web stranice koje će posjetiti" sjajan je primjer raznolikost upotrebe Tor-aŠto god mislili o tome čemu služi Tor, garantiram da postoji osoba koja ga koristi za nešto što niste uzeli u obzir.

U ovom drugom se slažem. U Toru sam koristio facebook samo zato što je bio blokiran s mjesta na koje sam se spajao.

Drugi dio: Sretni smo što vidimo šire usvajanje skrivenih usluga

Mislim da je za Tor sjajno što je Facebook dodao .onion adresu. Postoje neki primamljivi slučajevi upotrebe skrivenih usluga: na primjer oni opisani u «koristeći Torove skrivene usluge zauvijek«, Kao i nadolazeći decentralizirani alati za chat poput Ricocheta gdje je svaki korisnik skrivena usluga, tako da ne postoji središnja točka za špijuniranje radi spremanja podataka. Ali ove primjere nismo puno oglašavali, posebno u usporedbi s publicitetom koji su posljednjih godina imali primjeri „Imam web stranicu koju vlada želi zatvoriti“.

Skrivene usluge pružaju mnoštvo korisnih sigurnosnih svojstava. Prva - i ona koja najviše misli - jer dizajn koristi Tor krugovi, teško je otkriti gdje se usluga nalazi u svijetu. Ali drugo, jer je adresa usluge hash vašeg ključa, oni se samoautentificiraju: ako upišu zadanu .onion adresu, vaš Tor klijent garantira da zapravo razgovara sa službom koja zna privatni ključ koji odgovara adresi. Treća lijepa karakteristika je ta što postupak randezvusa pruža end-to-end šifriranje, čak i kada je promet na razini aplikacije nešifriran.

Stoga sam uzbuđena što će ovaj potez na Facebooku pomoći ljudima i dalje otvarati misli zašto bi htjeli ponuditi skrivenu uslugu i pomoći drugima da smisle više novih načina korištenja skrivenih usluga.

Još jedna dobra implikacija ovdje je da se Facebook obvezuje ozbiljno shvatiti svoje korisnike Tor-a. Stotine hiljada ljudi godinama uspješno koriste Facebook na Toru, ali u današnje doba usluga poput Wikipedije koji odluče ne prihvatiti doprinose korisnika kojima je stalo do privatnostiOsvježavajuće je i ohrabrujuće vidjeti veliku web stranicu koja odlučuje da je u redu da njezini korisnici žele veću fizičku sigurnost.

Kao dodatak tom optimizmu, bilo bi tužno kad bi Facebook dodao skrivenu uslugu, imao problema s trolovima i odlučio da spriječe korisnike Tora da koriste svoju staru adresu. https://www.facebook.com/. Stoga bismo trebali biti na oprezu pomažući Facebooku da i dalje dozvoli korisnicima Tor-a da im pristupe s bilo koje adrese.

Treći dio: vaša isprazna adresa ne znači da je svijetu gotovo

Naziv vaše skrivene usluge je "facebookcorewwwi.onion". Da bi bio hash javnog ključa, sigurno se ne čini slučajnim. Mnogi ljudi pitali su kako mogu silovita sila preko cijelog imena.

Kratki je odgovor da su u prvom poluvremenu ("facebook"), koji iznosi samo 40 bitova, iznova i iznova generirali ključeve dok nisu dobili neke čiji se prvih 40 bitova hasha podudarao sa nizom koji su željeli.

Tada su imali neke tipke čija su imena počinjala s "facebook", a drugu su polovicu pogledali kako bi odabrali one s izraženim i stoga nezaboravnim slogom. Onaj s "corewwwi" činio im se najboljim - što znači da bi mogli doći s priča o tome zašto je razumno ime za Facebook - i oni su pošli po nju.

Da pojasnimo, oni ne bi mogli ponovo tačno proizvesti ovo ime ako bi to htjeli. Mogli bi proizvesti i druge heševe koji počinju s "facebook", a završavaju izgovorljivim slogovima, ali to nije gruba sila na cijelo ime skrivene usluge (svih 80 bitova). Za one koji žele dalje istraživati ​​matematiku, pročitajte o «rođendanski napad«. A za one od vas koji želite naučiti (molim vas, pomozite!) O poboljšanjima koja bismo željeli uvesti u skrivene usluge, uključujući jače lozinke i imena, pogledajte «skrivene usluge trebaju naklonost"i prijedlog Tor 224.

Četvrti dio: Šta mislimo o https certifikatu za .onion adresu?

Facebook nije samo stavio skrivenu uslugu. Za svoju skrivenu uslugu dobili su i https certifikat, a potpisuje ga Digicert pa će ih njihovi preglednici prihvatiti. Ova odluka je dala neke žustre rasprave u CA / Browser zajednici, koja odlučuje o tome koja imena mogu imati službene certifikate. Ta je rasprava još u razvoju, ali ovo su moji rani pogledi na ovo.

Jer: Mi, zajednica za internetsku sigurnost, učimo ljude da je https neophodan i da je http zastrašujući. Stoga ima smisla da korisnici žele vidjeti niz "https" unaprijed.

Con: Rukovanje .onion u osnovi daje sve to besplatno, pa potičući ljude da plaćaju Digicert, jačamo certifikacijski poslovni model kada bismo možda trebali nastaviti demonstrirati alternativu.

U korist: Zaista https nudi malo više, u slučaju kada usluga (farma servera Facebook) nije na istom mjestu kao i program Tor. Imajte na umu da nije zahtjev da web poslužitelj i proces Tor budu na istom stroju, a u složenoj konfiguraciji poput Facebooka to vjerojatno ne bi trebali biti. Moglo bi se tvrditi da je ovaj posljednji kilometar unutar vaše korporativne mreže, pa koga zanima ako nije šifriran, ali mislim da će fraza "ssl tamo dodan i uklonjen" završiti taj argument.

Protiv: Ako web lokacija dobije certifikat, to će dodatno pojačati korisnicima da je to „potrebno“, a zatim će korisnici početi pitati druge web lokacije zašto ga nemaju. Bojim se da će pomod započeti tamo gdje trebate platiti novac Digicertu da biste imali skrivenu uslugu ili neće misliti da je sumnjiva - pogotovo jer bi skrivene usluge koje cijene njihovu anonimnost teško imale certifikat.

Alternativa bi bila reći Tor Browser-u da .onion adrese sa https ne zaslužuju zastrašujuće iskačuće upozorenje. Pedantniji pristup u tom smjeru je način da skrivena usluga generira vlastiti https certifikat potpisan svojim privatnim ključem luka i kaže Tor Browser-u kako da ih provjeri - u osnovi decentralizirani CA za .onion adrese, jer su one automatski autentifikatori. Tada im ne bi trebalo prolaziti kroz gluposti pretvarajući se da li mogu čitati e-poštu na domeni i općenito promovirajući trenutni CA model.

Mogli bismo i zamisliti model imena kućnih ljubimaca gdje korisnik može svom Tor pregledaču reći da je ova .onion adresa "Facebook". Ili bi jednostavniji pristup bio unijeti listu "poznatih" skrivenih knjižnih oznaka u Tor pretraživač - poput našeg vlastitog CA, koristeći stari / etc / hosts model. Taj bi pristup pokrenuo političko pitanje koje web stranice bismo trebali podržati.

Dakle, još se nisam odlučio u kojem smjeru mislim da bi trebala ići ova rasprava. Podržavam „naučimo korisnike da provjeravaju https, zato nemojmo ih zbunjivati“, ali brinem i zbog skliske situacije kada dobivanje certifikata postaje potreban korak za stvaranje ugledne usluge. Javite nam ako imate bilo koje druge uvjerljive argumente za ili protiv.

Peti dio: Šta preostaje učiniti?

U pogledu dizajna i sigurnosti, skrivene usluge i dalje trebaju naklonost. Imamo planove za poboljšani dizajn (vidi prijedlog Tor 224), ali nemamo dovoljno sredstava ili programera da se to ostvari. Ove smo sedmice razgovarali s nekim Facebook inženjerima o pouzdanosti i skalabilnosti skrivene usluge i uzbuđeni smo što Facebook razmatra razvojne napore kako bi pomogao poboljšanju skrivenih usluga.

I na kraju, govoreći o podučavanju ljudi o sigurnosnim značajkama .onion web lokacija, pitam se da li "skrivene usluge" ovdje više nisu najbolja fraza. Prvobitno smo ih zvali "usluge skrivene lokacije", što je brzo skraćeno u samo "skrivene usluge". Ali zaštita lokacije usluge samo je jedna od sigurnosnih karakteristika koje imaju. Možda bismo trebali imati natječaj za izvlačenje novog imena za te zaštićene usluge? Čak i nešto poput "usluga luka" može biti bolje ako prisiljavaju ljude da nauče šta su.


14 komentara, ostavi svoj

Ostavite komentar

Vaša e-mail adresa neće biti objavljena. Obavezna polja su označena sa *

*

*

  1. Za podatke odgovoran: Miguel Ángel Gatón
  2. Svrha podataka: Kontrola neželjene pošte, upravljanje komentarima.
  3. Legitimacija: Vaš pristanak
  4. Komunikacija podataka: Podaci se neće dostavljati trećim stranama, osim po zakonskoj obavezi.
  5. Pohrana podataka: Baza podataka koju hostuje Occentus Networks (EU)
  6. Prava: U bilo kojem trenutku možete ograničiti, oporaviti i izbrisati svoje podatke.

  1.   fernando rekao je

    Čestitam na sjajnom članku posebno za one koji smo u svijetu yupija na ovom Internetu

  2.   pepe rekao je

    Super je jednostavno. Ako se prijavite s gmail ili facebook računom ili bilo kojom od kompanija koje je Snowden spomenuo, gubite anonimnost.

    To je kao da neko koristi TAIS i prijavi se na gmail i pretvara se da je anoniman, jedino što će učiniti je pokrenuti sumnju i navesti svoje korisničko ime.

    1.    eliotime3000 rekao je

      Kao da čitanje nije tvoja stvar, ha?

  3.   ruckoandrol rekao je

    Gotovo svi govore o Toru, ali nisam vidio ovdje spomenuti i2p, ako biste nam učinili uslugu i dali svoje mišljenje o njemu.

  4.   Tedel rekao je

    ... Ili je slatka zamka otkriti koji se korisnik Tor-a prvo poveže s Facebookom, a kasnije nekom drugom privatnom ili sigurnom uslugom, kako bi podaci mogli biti ukriženi i identificirani.

    Ja na Facebooku ili na fotografiji, hvala. Prošao je. Draža mi je dijaspora milione puta. Nijedna nema cenzuru.

  5.   anonimo rekao je

    Ali je li to što su naivni, i TOR i Facebook financiraju isti ljudi, ili se misli da TOR ulaže u anonimnost naivnih koji ne shvaćaju gdje je posao.
    Oni su zaštitno lice iste kovanice ... oni žele sigurnost? Pa, pucnji tu nisu.
    Sigurnost će pružiti lažni profil, savršeno promišljeni i vjerodostojni profil, ali lažno i uvijek njegovo korištenje je nešto najgore što se može dogoditi NSA-i ili bilo kome drugom ako izmislite profil i oni vjeruju u to. .

    1.    Tedel rekao je

      Samo ću reći da mislim da niste dobro razumjeli TOR.

      1.    anonimo rekao je

        Reći ću samo da je u bilo kojem sistemu kojem je potreban posredni server moguće kupovati dolarima od vlasnika tog servera.
        Najbolji način je dati im ono što žele ne skrivajući ništa, već im to dati s lažnim profilom i oni vjeruju u to.

  6.   dario rekao je

    Facebook zabrinjava jedino gubitak kupaca zbog cenzure nekih zemalja, postoje i bolje alternative, na primjer torbook, dijaspora itd.

  7.   Surfer rekao je

    a šta je sa ovom ovdje

    http://www.opennicproject.org/

    1.    eliotime3000 rekao je

      Zanimljivo, jer se lako uklapa u filozofiju pokreta Freenet.

    2.    Tedel rekao je

      Koristim ga već duže vrijeme. Dobro je. Vaš ISP ne zna koje web stranice vidite. Vlasnici tih servera ne vode svoje evidencije, pa ni oni to ne znaju. Dovodi vas vrlo blizu željene privatnosti.

  8.   Solrak Rainbow Warrior rekao je

    Više ne radi?

  9.   FedoraUser rekao je

    Za mene je još uvijek glupo koristiti TOR za povezivanje s facebook-om, ... šta ste cenzurirali u svojoj zemlji? tome i služe punomoćnici. Tor je mreža za anonimnost da ne objavljuje stvari sa svojim imenom, jedino što ćete postići je da facebook trackeri prate sve .onion stranice koje posjetite.