Facebook a TOR-on. Van magyarázat.

Ma a Facebook elárulta rejtett szolgálata amely lehetővé teszi a felhasználók számára, hogy óvatosabban hozzáférjenek az Ön webhelyéhez. A felhasználók és az újságírók válaszokat kértek tőlünk; íme néhány pont, amelyek segítenek megérteni véleményünket.

Első rész: Igen, a Toron a Facebook látogatása nem ellentmondás

Nem vettem észre, hogy be kell vennem ezt a szakaszt, máig hallottam egy újságírótól, aki abban reménykedett, hogy idézetet kap tőlem, miért nem használják a Tor-felhasználók a Facebookot sem. Ha eltekintünk a (még mindig nagyon fontos) kérdésektől a Facebook adatvédelmi szokásairól, azok káros valós névre vonatkozó irányelveiről, és arról, hogy el kell-e mondaniuk valamit rólad, a legfontosabb itt az, hogy az anonimitás nem csak a célok elől bujkál.

Nincs ok arra, hogy az internetszolgáltatójának tudassa, mikor vagy mikor látogat a Facebookra. Nincs oka annak, hogy a Facebook felsőbb szintjén működő internetszolgáltató, vagy bármely olyan ügynökség, amely az internetet figyeli, megtudja, mikor vagy mikor látogatják a Facebookot. És ha úgy dönt, hogy mond valamit a Facebooknak rólad, még mindig nincs ok arra, hogy hagyd, hogy közben automatikusan felfedezzék azt a várost, amelyben vagy.

Emlékeznünk kell arra is, hogy vannak olyan helyek, ahol a Facebook nem érhető el. Valamivel ezelőtt a Facebookon beszéltem valakivel, aki egy vicces történetet mesélt el nekem. Amikor először találkozott Torral, utálta és félt tőle, mert "egyértelműen" szándéka aláásni annak üzleti modelljét, hogy mindent megtudjon a felhasználóiról. Aztán hirtelen Irán blokkolja a Facebookot, a perzsa lakosság jó része a Facebookon átállt a Tor elérésével a Facebookra, és Tor rajongója lett, mert különben ezeket a felhasználókat feltörték volna. Más országok, mint például Kína, ezt követően hasonló mintát követtek. Ez a elmélet elmozdulása a "Tor mint adatvédelmi eszköz, amely lehetővé teszi a felhasználók számára, hogy saját adataikat ellenőrizhessék" és "Tor mint kommunikációs eszköz között, hogy a felhasználók szabadon választhassák meg, mely webhelyeket keressék fel" remek példa a Tor használatának sokféleségeBármit is gondolsz arra, hogy mire való Tor, garantálom, hogy van olyan ember, aki olyasmire használja, amit nem vettél figyelembe.

Második rész: Örülünk, hogy szélesebb körben alkalmazzák a rejtett szolgáltatásokat

Szerintem nagyon jó Tor számára, hogy a Facebook hozzáadott egy .onion címet. Van néhány kényszerítő eset a rejtett szolgáltatások számára: például a «Tor rejtett szolgáltatásainak végleges felhasználása«, Valamint a közelgő decentralizált csevegőeszközök, például a Ricochet, ahol minden felhasználó rejtett szolgáltatás, így nincs központi pont az adatok mentésére kémkedni. De ezeket a példákat nem nagyon hoztuk nyilvánosságra, különösen ahhoz a nyilvánossághoz képest, amelyet az elmúlt években a "Van egy webhelyem, amelyet a kormány le akar állítani" példák mutatnak.

Rejtett szolgáltatások különféle hasznos biztonsági tulajdonságokat nyújtanak. Az első - és a legtöbben azt gondolják -, mert a tervezés használja Tor áramkörök, nehéz felfedezni, hogy hol található a szolgáltatás a világon. De a második, mert egy szolgáltatás címe a kulcsod hashja, önmagukat hitelesítik: ha beírnak egy adott .onion címet, akkor a Tor kliens garantálja, hogy valóban azzal a szolgáltatással beszél, amely ismeri a címnek megfelelő magánkulcsot. Kedves harmadik jellemző, hogy a randevú folyamat végpontok közötti titkosítást biztosít, még akkor is, ha az alkalmazásszintű forgalom nincs titkosítva.

Szóval izgatott vagyok, hogy ez a Facebook-lépés tovább nyitja az embereket abban, hogy miért szeretnének rejtett szolgáltatást kínálni, és segít másoknak a rejtett szolgáltatások további új felhasználási lehetőségeiben.

A másik jó következmény itt az, hogy a Facebook elkötelezi magát a Tor-felhasználók komolyan vétele mellett. Emberek százezrei használják évek óta sikeresen a Facebookot a Toron, de a mai szolgáltatások korában, például a Wikipédiában akik úgy döntenek, hogy nem fogadják el a felhasználók hozzájárulását a magánélethezFrissítő és bátorító látni egy nagy weboldalt, amely úgy dönt, hogy rendben van, ha a felhasználók nagyobb fizikai biztonságra vágynak.

Ennek az optimizmusnak a kiegészítéseként szomorú lenne, ha a Facebook egy rejtett szolgáltatást adna hozzá, problémája lenne a trollokkal, és úgy döntene, hogy meg kell akadályoznia, hogy a Tor felhasználói a régi címüket használják. https://www.facebook.com/. Tehát éberen kell segítenünk a Facebookot abban, hogy továbbra is lehetővé tegye a Tor felhasználóinak, hogy bármilyen címen hozzáférjenek hozzájuk.

Harmadik rész: hiábavaló címed nem azt jelenti, hogy vége a világnak

Rejtett szolgáltatásának neve "facebookcorewwwi.onion". A nyilvános kulcs hash-ja miatt nem tűnik véletlenszerűnek. Sokan kérdezték, hogyan tehetnék nyers erő az egész néven.

A rövid válasz az, hogy az első felére ("facebook"), amely csak 40 bit, újra és újra generáltak kulcsokat, amíg nem kaptak olyanokat, akiknek az első 40 bitje a hash-ból megegyezett a kívánt karakterlánccal.

Aztán volt néhány kulcsuk, amelynek neve "facebook" -al kezdődött, és mindegyik második felét megvizsgálták, hogy kiválasszák azokat a kiejtett és ezért emlékezetes szótagúakat. Nekik a "corewwwi" tűnt a legjobbnak - vagyis jöhetnek a Történelem arról, hogy miért ésszerű név a Facebook számára - és mentek érte.

Tehát, hogy tisztázzuk, nem tudnák pontosan ezt a nevet előállítani, ha akarnák. Készíthetnének más hasheket is, amelyek "facebook" -gal kezdődnek, és kiejthető szótagokkal zárulnak, de ez nem durva erő a teljes rejtett szolgáltatásnévre (mind a 80 bitre). Aki tovább akarja fedezni a matematikát, olvassa el a «születésnapi támadás«. Azok számára, akik meg szeretnék tanulni (kérjük, segítsenek!) A rejtett szolgáltatások fejlesztéseiről, beleértve az erősebb jelszavakat és neveket, lásd «a rejtett szolgáltatások szeretetet igényelnek"és a Tor 224 javaslat.

Negyedik rész: Mit gondolunk egy .onion cím https-tanúsítványáról?

A Facebook nem csak egy rejtett szolgáltatást hozott létre. Rejtett szolgáltatásukért kaptak egy https-tanúsítványt is, amelyet a Digicert ír alá, így böngészőik elfogadják. Ez a döntés eredményezett néhányat lendületes viták a CA / Browser közösségben, amely eldönti, hogy milyen néveknek lehetnek hivatalos tanúsítványai. Ez a megbeszélés még folyamatban van, de erről a korai véleményem szól.

Mire: Mi, az internetes biztonsági közösség azt tanítjuk az embereknek, hogy a https szükséges, és hogy a http félelmetes. Tehát van értelme, hogy a felhasználók elöl szeretnék látni a "https" karakterláncot.

Con: A .onion kézfogás alapvetően ingyen adja ezt az egészet, ezért azzal, hogy ösztönözzük az embereket a Digicert fizetésére, megerősítjük a tanúsítási üzleti modellt, amikor talán folytatnunk kellene egy alternatíva bemutatását.

For: A https valójában egy kicsit többet kínál, abban az esetben, ha a szolgáltatás (a Facebook szerverfarmja) nem ugyanazon a helyen van, mint a Tor program. Ne feledje, hogy nem követelmény, hogy a webszerver és a Tor folyamat ugyanazon a gépen legyen, és olyan bonyolult konfigurációban, mint a Facebook, valószínűleg nem kellene. Lehet azt állítani, hogy ez az utolsó mérföld a vállalati hálózaton belül van, tehát kit érdekel, ha nincs titkosítva, de azt gondolom, hogy az "ssl hozzáadva és eltávolítva" kifejezés befejezi ezt az érvet.

Hátrányok: Ha egy webhely tanúsítványt kap, az tovább erősíti a felhasználók számára, hogy "szükséges", majd a felhasználók elkezdenek kérdezni más webhelyeket, miért nincs ilyen. Aggódom, hogy a hóbort ott kezdődik, hogy Önnek el kell fizetnie a Digicert pénzét, ha van egy rejtett szolgáltatása, különben nem gondolják, hogy gyanús - főleg, hogy a névtelenségüket értékelő rejtett szolgáltatások nehezen tudnának igazolást kapni.

Alternatív megoldásként azt mondhatnánk a Tor Browser-nek, hogy a .onion címek https-sel nem érdemelnek félelmetes előugró figyelmeztetést. Alaposabb megközelítés ebben az irányban az, hogy egy rejtett szolgáltatásnak lehetősége van létrehozni a saját https-tanúsítványát, amelyet aláírnak a hagyma magánkulcsával, és megmondja a Tor Browser-nek, hogyan ellenőrizheti őket - alapvetően decentralizált CA a .onion-címekhez, mivel automatikus hitelesítők. Akkor nem kellene átélniük azt a hülyeséget, hogy színleljék magukat, hátha olvashatnak e-maileket a tartományban, és általában a jelenlegi CA modellt népszerűsítik.

El tudnánk képzelni egy modellt is kisállat nevek ahol a felhasználó elmondhatja a Tor böngészőjének, hogy ez az .onion cím "Facebook". Vagy az egyszerűbb megközelítés az, hogy egy "ismert" rejtett szolgáltatási könyvjelzőket felsorolunk a Tor böngészőbe - például a saját hitelesítésszolgáltatónkba, a régi / etc / hosts modell használatával. Ez a megközelítés felveti a politikai kérdést, hogy mely oldalakat támogassuk.

Tehát még nem döntöttem, hogy melyik irányt tartanám szerintem ennek a vitának. Szolidáris vagyok a "megtanítjuk a felhasználókat a https ellenőrzésére, tehát ne keverjük össze őket", de aggódom a csúszós helyzet miatt is, amikor a minősítés megszerzése elengedhetetlen lépés a jó hírű szolgáltatás meglétéhez. Mondja el nekünk, ha van más kényszerítő érve mellett vagy ellen.

Ötödik rész: Mi maradt?

Mind a tervezés, mind a biztonság szempontjából a rejtett szolgáltatások továbbra is szeretetteljesek. Terveink vannak a továbbfejlesztett kialakításra (lásd a Tor 224 javaslat), de nincs elegendő pénzünk vagy fejlesztőnk ennek megvalósításához. A héten néhány Facebook mérnökkel beszélgettünk a rejtett szolgáltatás megbízhatóságáról és méretezhetőségéről, és örülünk, hogy a Facebook fontolóra veszi a fejlesztési erőfeszítéseket a rejtett szolgáltatások javítása érdekében.

És végül, ha arról beszélek, hogy az embereket megtanítom a .onion webhelyek biztonsági jellemzőire, kíváncsi vagyok, hogy a "rejtett szolgáltatások" már nem a legjobb kifejezés itt. Eredetileg "rejtett helyszolgáltatásnak" hívtuk őket, amelyet gyorsan csak "rejtett szolgáltatásokra" rövidítettünk. De a szolgáltatás helyének védelme csak az egyik biztonsági jellemzőjük. Talán versenyre lenne szükségünk, hogy új nevet sorsoljunk ki azoknak a védett szolgáltatásoknak? Még valami "hagymás szolgálat" is jobb lehet, ha arra kényszeríti az embereket, hogy megtanulják, milyenek.