Facebook sur TOR. Il y a une explication.

Aujourd'hui, Facebook a révélé son service caché qui permet aux utilisateurs d'accéder plus soigneusement à votre site Web. Les utilisateurs et les journalistes nous ont demandé nos réponses; voici quelques points pour vous aider à comprendre notre opinion.

Première partie: Oui, visiter Facebook sur Tor n'est pas une contradiction

Je n'avais pas réalisé que je devais inclure cette section, jusqu'à aujourd'hui j'ai entendu un journaliste qui espérait avoir une citation de ma part sur les raisons pour lesquelles les utilisateurs de Tor n'utilisaient même pas Facebook. Laissant de côté les questions (toujours très importantes) sur les habitudes de confidentialité de Facebook, leurs politiques nuisibles en matière de noms réels et s'ils doivent ou non vous dire quoi que ce soit sur vous, la clé ici est que l'anonymat ne se cache pas seulement sur vos destinations.

Il n'y a aucune raison de faire savoir à votre FAI quand ou s'il visite Facebook. Il n'y a aucune raison pour que le FAI en amont de Facebook, ou toute agence qui surveille Internet, sache quand ou si ils visitent Facebook. Et si vous choisissez de parler de vous à Facebook, il n'y a toujours aucune raison de les laisser découvrir automatiquement la ville dans laquelle vous vous trouvez.

Nous devons également nous rappeler qu'il existe des endroits où Facebook n'est pas accessible. J'ai parlé à quelqu'un de la sécurité sur Facebook il y a quelque temps qui m'a raconté une histoire amusante. Quand il a rencontré Tor pour la première fois, il le détestait et le craignait parce qu'il avait «clairement» l'intention de saper son modèle commercial consistant à tout apprendre sur ses utilisateurs. Puis, soudainement, l'Iran bloque Facebook, une bonne partie de la population persane sur Facebook est passée à accéder à Facebook via Tor, et il est devenu fan de Tor, car sinon ces utilisateurs auraient été piratés. D'autres pays comme la Chine ont suivi un schéma similaire par la suite. Ce changement dans son esprit entre "Tor en tant qu'outil de confidentialité pour permettre aux utilisateurs de contrôler leurs propres données" et "Tor en tant qu'outil de communication pour donner aux utilisateurs la liberté de choisir les sites à visiter" est un excellent exemple de la diversité des usages de TorQuoi que vous pensiez de la raison d'être de Tor, je vous garantis qu'il y a une personne qui l'utilise pour quelque chose que vous n'avez pas envisagé.

Deuxième partie: nous sommes heureux de voir une adoption plus large des services cachés

Je pense que c'est génial pour Tor que Facebook ait ajouté une adresse .onion. Il existe des cas d'utilisation convaincants pour les services cachés: par exemple ceux décrits dans «utiliser les services cachés de Tor pour de bon«, Ainsi que les prochains outils de chat décentralisés comme Ricochet où chaque utilisateur est un service caché, il n'y a donc pas de point central à espionner pour sauvegarder les données. Mais nous n'avons pas beaucoup diffusé ces exemples, surtout par rapport à la publicité que les exemples «J'ai un site Web que le gouvernement veut fermer» ont eu ces dernières années.

Services cachés ils fournissent une variété de propriétés de sécurité utiles. Le premier - et le plus réfléchi - parce que le design utilise Circuits Tor, il est difficile de savoir où se situe le service dans le monde. Mais le second, car l'adresse d'un service est le hachage de votre clé, ils s'auto-authentifient: s'ils saisissent une adresse .onion donnée, votre client Tor garantit qu'il s'adresse effectivement au service qui connaît la clé privée qui correspond à l'adresse. Une troisième fonctionnalité intéressante est que le processus de rendez-vous fournit un chiffrement de bout en bout, même lorsque le trafic au niveau de l'application n'est pas chiffré.

Je suis donc ravi que cette décision de Facebook continue à ouvrir l'esprit des gens sur les raisons pour lesquelles ils voudraient offrir un service caché et à aider les autres à penser à de nouvelles utilisations des services cachés.

Une autre bonne implication ici est que Facebook s'engage à prendre ses utilisateurs Tor au sérieux. Des centaines de milliers de personnes utilisent avec succès Facebook sur Tor depuis des années, mais à l'ère actuelle des services comme Wikipedia qui choisissent de ne pas accepter les contributions d'utilisateurs soucieux de la confidentialitéC'est rafraîchissant et encourageant de voir un grand site Web décider qu'il est normal que ses utilisateurs souhaitent plus de sécurité physique.

En complément de cet optimisme, il serait triste que Facebook ajoute un service caché, ait des problèmes avec les trolls et décide d'empêcher les utilisateurs de Tor d'utiliser leur ancienne adresse. https://www.facebook.com/. Nous devons donc être vigilants pour aider Facebook à continuer à permettre aux utilisateurs de Tor d'y accéder via n'importe quelle adresse.

Troisième partie: votre vaine adresse ne signifie pas que le monde est fini

Le nom de votre service caché est "facebookcorewwwi.onion". Pour être le hachage d'une clé publique, cela ne semble certainement pas aléatoire. Beaucoup de gens se demandaient comment ils pouvaient faire force brute sur tout le nom.

La réponse courte est que pour la première moitié ("facebook"), qui ne fait que 40 bits, ils ont généré des clés encore et encore jusqu'à ce qu'ils en aient dont les 40 premiers bits du hachage correspondent à la chaîne qu'ils voulaient.

Ensuite, ils ont eu quelques clés dont les noms commençaient par «facebook», et ils ont regardé la seconde moitié de chacun pour choisir celles avec des syllabes prononcées et donc mémorables. Le "corewwwi" leur semblait le meilleur - ce qui signifie qu'ils pouvaient venir avec un histoire pourquoi c'est un nom raisonnable pour Facebook - et ils sont allés la chercher.

Donc, pour clarifier, ils ne pourraient pas reproduire exactement ce nom s'ils le voulaient. Ils pourraient produire d'autres hachages qui commencent par "facebook" et se terminent par des syllabes prononcables, mais ce n'est pas une force brute sur tout le nom de service caché (tous les 80 bits). Pour ceux qui souhaitent approfondir leurs connaissances en mathématiques, lisez sur le «attaque d'anniversaire«. Et pour ceux qui veulent en savoir plus (aidez s'il vous plaît!) À propos des améliorations que nous aimerions apporter aux services cachés, y compris des mots de passe et des noms plus forts, voir «les services cachés ont besoin d'affection»Et la proposition Tor 224.

Quatrième partie: Que pensons-nous d'un certificat https pour une adresse .onion?

Facebook n'a pas simplement mis en place un service caché. Ils ont également obtenu un certificat https pour leur service caché, et il est signé par Digicert afin que leurs navigateurs l'acceptent. Cette décision a produit discussions animées dans la communauté CA / Browser, qui décide quels types de noms peuvent avoir des certificats officiels. Cette discussion est toujours en cours, mais voici mes premières opinions à ce sujet.

Pour: Nous, la communauté de la sécurité Internet, apprenons aux gens que https est nécessaire et que http est effrayant. Il est donc logique que les utilisateurs souhaitent voir la chaîne "https" devant.

Contre: La poignée de main .onion donne tout cela gratuitement, donc en encourageant les gens à payer Digicert, nous renforçons le modèle commercial de certification alors que nous devrions peut-être continuer à démontrer une alternative.

Pour: https offre en fait un peu plus, dans le cas où le service (la ferme de serveurs de Facebook) n'est pas au même endroit que le programme Tor. Rappelez-vous qu'il n'est pas obligatoire que le serveur Web et le processus Tor soient sur la même machine, et dans une configuration compliquée comme Facebook, ils ne devraient probablement pas l'être. On pourrait affirmer que ce dernier kilomètre est à l'intérieur de votre réseau d'entreprise, alors qu'importe s'il n'est pas chiffré, mais je pense que l'expression "SSL ajouté et supprimé ici" mettra fin à cet argument.

Inconvénients: si un site obtient un certificat, cela renforcera davantage aux utilisateurs qu'il est "nécessaire", et les utilisateurs commenceront alors à demander aux autres sites pourquoi ils n'en ont pas. Je crains qu'une mode ne commence où vous devez payer de l'argent Digicert pour avoir un service caché ou ils ne penseront pas que c'est suspect - d'autant plus que les services cachés qui valorisent leur anonymat auraient du mal à avoir un certificat.

Une alternative serait de dire au navigateur Tor que les adresses .onion avec https ne méritent pas un avertissement pop-up effrayant. Une approche plus méticuleuse dans ce sens consiste à trouver un moyen pour un service caché de générer son propre certificat https signé avec sa clé privée d'oignon, et d'indiquer au navigateur Tor comment les vérifier - essentiellement une autorité de certification décentralisée pour les adresses. auto-authentificateurs. Ensuite, ils n'auraient pas besoin de passer par le non-sens de faire semblant de voir s'ils peuvent lire les e-mails sur le domaine, et de promouvoir généralement le modèle actuel de CA.

On pourrait aussi imaginer un modèle de noms d'animaux où l'utilisateur peut dire à son navigateur Tor que cette adresse .onion "est" Facebook. Ou l'approche la plus directe serait d'apporter une liste de signets de service cachés "connus" dans le navigateur Tor - comme notre propre CA, en utilisant l'ancien modèle / etc / hosts. Cette approche soulèverait la question politique de savoir quels sites nous devrions soutenir.

Je n'ai donc pas encore décidé dans quelle direction je pense que cette discussion devrait prendre. Je suis solidaire du "on apprend aux utilisateurs à vérifier https, ne les confondons donc pas", mais je m'inquiète aussi de la situation glissante où l'obtention d'une certification devient une étape indispensable pour avoir un service réputé. Faites-nous savoir si vous avez d'autres arguments convaincants pour ou contre.

Cinquième partie: que reste-t-il à faire?

En termes de design et de sécurité, les services cachés ont encore besoin d'affection. Nous avons des plans pour des conceptions améliorées (voir la proposition Tor 224) mais nous n'avons pas assez de fonds ou de développeurs pour y parvenir. Nous avons discuté cette semaine avec certains ingénieurs de Facebook de la fiabilité et de l'évolutivité du service caché, et nous sommes ravis que Facebook envisage de déployer des efforts de développement pour aider à améliorer les services cachés.

Et enfin, en parlant d'enseigner aux gens les fonctionnalités de sécurité des sites .onion, je me demande si «services cachés» n'est plus la meilleure expression ici. Nous les appelions à l'origine «services de localisation cachés», ce qui a été rapidement abrégé en «services cachés». Mais la protection de l'emplacement du service n'est qu'une des fonctionnalités de sécurité dont ils disposent. Peut-être devrions-nous organiser un concours pour tirer au sort un nouveau nom pour ces services protégés? Même quelque chose comme les «services à l'oignon» peut être meilleur s'il oblige les gens à apprendre ce qu'ils sont.