TOR의 Facebook. 설명이 있습니다.

오늘 페이스 북 공개 그의 숨겨진 서비스 사용자가 귀하의 웹 사이트에보다 신중하게 액세스 할 수 있습니다. 사용자와 언론인이 우리에게 답변을 요청했습니다. 여기에 우리의 의견을 이해하는 데 도움이되는 몇 가지 사항이 있습니다.

XNUMX 부 : 예, Tor에서 Facebook을 방문하는 것은 모순이 아닙니다.

이 섹션을 포함해야한다는 것을 몰랐습니다. 오늘까지 Tor 사용자가 Facebook을 사용하지 않는 이유에 대한 인용문을 듣고 자하는 한 기자의 말을 들었습니다. Facebook의 개인 정보 보호 습관, 유해한 실명 정책 및 그들이 당신에 대해 당신에 대해 말해야하는지 여부에 대한 (여전히 매우 중요한) 질문을 제쳐두고 여기서 핵심은 익명 성은 목적지에만 숨어있는 것이 아닙니다..

Facebook을 방문하는시기 또는 방문 여부를 ISP에 알릴 이유가 없습니다. Facebook의 업스트림 ISP 또는 인터넷을 모니터링하는 대행사가 Facebook을 방문하는시기 또는 방문 여부를 알 이유가 없습니다. 그리고 당신이 페이스 북에 당신에 대해 이야기하기로했다면, 그들이 당신이있는 도시를 자동으로 발견하도록 할 이유가 없습니다.

또한 Facebook에 액세스 할 수없는 곳이 있다는 사실을 기억해야합니다. 나는 얼마 전에 페이스 북의 보안 담당자에게 재미있는 이야기를 들려 주었다. 그가 Tor를 처음 만났을 때, 그는 사용자에 대한 모든 것을 배우는 비즈니스 모델을 "분명히"훼손하려는 의도 였기 때문에 그것을 싫어하고 두려워했습니다. 그러다 갑자기이란이 페이스 북을 차단하고, 페이스 북의 페르시아 인구 중 상당수가 토르를 통해 페이스 북에 접속하게되었고, 그렇지 않으면 해킹 당했을 것이기 때문에 그는 토르의 팬이되었습니다. 그 후 중국과 같은 다른 국가들도 비슷한 패턴을 따랐습니다. "사용자가 자신의 데이터를 제어 할 수있는 개인 정보 보호 도구로서의 토르"와 "사용자가 방문 할 사이트를 자유롭게 선택할 수있는 커뮤니케이션 도구로서의 토르"사이의 생각의 변화는 다음의 좋은 예입니다. Tor 사용의 다양성Tor가 무엇인지에 대해 생각하는 것이 무엇이든간에 고려하지 않은 것을 위해 Tor를 사용하는 사람이 있다는 것을 보증합니다.

XNUMX 부 : 숨겨진 서비스의 광범위한 채택을 보게되어 기쁩니다

Facebook이 .onion 주소를 추가 한 것이 Tor에게는 좋은 일이라고 생각합니다. 숨겨진 서비스에 대한 몇 가지 매력적인 사용 사례가 있습니다. 예를 들어«Tor의 숨겨진 서비스를 사용하여«각 사용자가 숨겨진 서비스 인 Ricochet과 같은 다가오는 분산 형 채팅 도구와 마찬가지로 데이터를 저장하기 위해 스파이 할 중심점이 없습니다. 그러나 우리는 이러한 사례를 많이 공개하지 않았습니다. 특히 최근 몇 년간 "정부가 폐쇄하고 싶은 웹 사이트가 있습니다"사례의 홍보와 비교하면 더욱 그렇습니다.

숨겨진 서비스 다양한 유용한 보안 속성을 제공합니다. 첫 번째이자 가장 많이 생각하는 것은 디자인이 Tor 회로, 서비스가 세계에서 어디에 있는지 파악하기가 어렵습니다. 하지만 두 번째는 서비스 주소가 당신의 키의 해시, 그들은 자체 인증합니다 : 주어진 .onion 주소를 입력하면 Tor 클라이언트는 주소에 해당하는 개인 키를 알고있는 서비스와 실제로 대화하고 있음을 보장합니다. 좋은 세 번째 기능은 랑데부 프로세스가 애플리케이션 수준 트래픽이 암호화되지 않은 경우에도 종단 간 암호화를 제공한다는 것입니다.

그래서 저는이 페이스 북의 움직임이 사람들이 왜 숨겨진 서비스를 제공하고 싶어하는지에 대한 사람들의 마음을 계속 열어주고 다른 사람들이 숨겨진 서비스의 새로운 용도를 생각하는 데 도움이 될 것이라고 기대합니다.

여기에 또 다른 좋은 의미는 Facebook이 Tor 사용자를 진지하게 받아들이고 있다는 것입니다. 수십만 명의 사람들이 수년 동안 Tor에서 Facebook을 성공적으로 사용했지만 오늘날의 Wikipedia와 같은 서비스 시대에는 개인 정보 보호에 관심이있는 사용자의 기여를 수락하지 않기로 선택한 사람사용자가 더 많은 물리적 보안을 원해도 괜찮다고 결정하는 대규모 웹 사이트를 보는 것은 신선하고 고무적입니다.

그러한 낙관주의에 대한 부록으로 페이스 북이 숨겨진 서비스를 추가하고 트롤에 문제가 생기고 Tor 사용자가 이전 주소를 사용하지 못하도록 결정했다면 슬프게 될 것입니다. https://www.facebook.com/. 따라서 우리는 Facebook이 Tor 사용자가 모든 주소를 통해 액세스 할 수 있도록 계속해서 도와야합니다.

XNUMX 부 : 헛된 주소가 세상이 끝났다는 의미는 아닙니다

숨겨진 서비스의 이름은 "facebookcorewwwi.onion"입니다. 공개 키의 해시가 되려면 확실히 무작위로 보이지 않습니다. 많은 사람들이 어떻게 할 수 있는지 물었습니다. 무차별 전체 이름 위에.

짧은 대답은 40 비트에 불과한 전반부 ( "facebook")에 대해 해시의 처음 40 비트가 원하는 문자열과 일치하는 일부를 얻을 때까지 키를 반복해서 생성한다는 것입니다.

그런 다음 이름이 "페이스 북"으로 시작하는 몇 개의 키를 가지고 있었고, 각 키의 후반부를보고 발음 가능하고 따라서 기억에 남는 음절을 선택했습니다. "corewwwi"는 그들에게 최고로 보였습니다. 즉, 역사 Facebook이 사용하기에 합리적인 이름 인 이유에 대해 그리고 그들은 그녀를 위해 갔다.

그래서 명확히하기 위해, 그들이 원한다면이 이름을 정확하게 다시 만들 수 없을 것입니다. 그들은 "페이스 북"으로 시작하고 발음 가능한 음절로 끝나는 다른 해시를 생성 할 수 있지만, 전체 숨겨진 서비스 이름 (모두 80 비트)에 대한 무차별적인 힘은 아닙니다. 수학을 더 깊이 탐구하고 싶은 분들은«생일 공격«. 더 강력한 암호와 이름을 포함하여 숨겨진 서비스에 대해 우리가 개선하고자하는 개선 사항에 대해 배우고 싶은 분들을 위해 (제발 도와주세요!)«숨겨진 서비스는 애정이 필요합니다"및 Tor 224 제안.

XNUMX 부 : .onion 주소에 대한 https 인증서에 대해 어떻게 생각하십니까?

페이스 북은 숨겨진 서비스를 내놓은 것이 아닙니다. 그들은 또한 숨겨진 서비스에 대한 https 인증서를 얻었으며 Digicert에 의해 서명되어 브라우저가 수락합니다. 이 결정은 활발한 토론 CA / 브라우저 커뮤니티에서 공식 인증서를 가질 수있는 이름을 결정합니다. 그 논의는 아직 진행 중이지만 이것에 대한 나의 초기 견해입니다.

대상 : 인터넷 보안 커뮤니티는 사람들에게 https가 필요하고 http가 무섭다고 가르칩니다. 따라서 사용자가 앞에 "https"문자열을보고 싶어하는 것이 합리적입니다.

단점 : .onion 핸드 셰이크는 기본적으로 모든 것을 무료로 제공하므로 사람들이 Digicert에 지불하도록 장려함으로써 대안을 계속 보여야 할 때 인증 비즈니스 모델을 강화하고 있습니다.

For : https는 실제로 서비스 (Facebook의 서버 팜)가 Tor 프로그램과 같은 위치에 있지 않은 경우 조금 더 많은 것을 제공합니다. 웹 서버와 Tor 프로세스가 동일한 컴퓨터에 있어야하는 것은 아니며 Facebook과 같은 복잡한 구성에서는 그렇지 않아야한다는 것을 기억하십시오. 이 마지막 마일이 기업 네트워크 내부에 있다고 주장 할 수 있습니다. 따라서 암호화되지 않은 경우 누가 신경을 쓰겠습니까?하지만 "ssl 추가 및 제거"라는 문구가 그 주장을 끝낼 것이라고 생각합니다.

단점 : 사이트가 인증서를 받으면 사용자에게 "필수"임을 추가로 강화한 다음 사용자는 인증서가없는 이유를 다른 사이트에 묻기 시작합니다. 숨겨진 서비스를 받기 위해 Digicert에 돈을 지불해야하거나 의심스럽지 않다고 생각하는 유행이 시작되는 것이 걱정입니다. 특히 익명 성을 중요시하는 숨겨진 서비스는 인증서를 얻기가 어려울 것입니다.

대안은 https를 사용하는 .onion 주소가 무서운 팝업 경고를받을 자격이 없다고 Tor 브라우저에 알리는 것입니다. 그 방향으로 더 세심한 접근 방식은 숨겨진 서비스가 양파 개인 키로 서명 된 자체 https 인증서를 생성하고이를 확인하는 방법을 Tor 브라우저에 알리는 것입니다. 기본적으로 .onion 주소에 대한 분산 된 CA입니다. 자동 인증 자. 그런 다음 도메인에서 이메일을 읽을 수 있는지 확인하고 일반적으로 현재 CA 모델을 홍보하는 넌센스를 겪을 필요가 없습니다.

우리는 또한 애완 동물 이름 사용자가 자신의 Tor 브라우저에이 .onion 주소가 Facebook임을 알릴 수 있습니다. 또는 더 간단한 방법은 "알려진"숨겨진 서비스 북마크 목록을 Tor 브라우저로 가져 오는 것입니다. 예를 들어, 이전의 / etc / hosts 모델을 사용하여 자체 CA와 같은 것입니다. 이러한 접근 방식은 우리가 지원해야하는 사이트에 대한 정치적 질문을 제기 할 것입니다.

그래서 저는이 논의가 어떤 방향으로 나아가 야한다고 생각하는지 아직 결정하지 않았습니다. 나는 "우리는 사용자에게 https를 확인하도록 가르친다. 그래서 그들을 혼동하지 말자"와 연대하고 있지만, 또한 평판 좋은 서비스를 얻기 위해 인증을받는 것이 필수 단계가되는 미끄러운 상황에 대해서도 걱정한다. 찬성 또는 반대하는 다른 설득력있는 주장이 있으면 알려주십시오.

XNUMX 부 :해야 할 일은 무엇입니까?

디자인과 안전성 측면에서 숨겨진 서비스는 여전히 애정이 필요합니다. 우리는 개선 된 디자인에 대한 계획을 가지고 있습니다. Tor 224 제안)하지만 그렇게 할 수있는 충분한 자금이나 개발자가 없습니다. 이번 주에 일부 Facebook 엔지니어와 숨겨진 서비스의 안정성과 확장성에 대해 이야기를 나누었으며 Facebook이 숨겨진 서비스를 개선하기 위해 개발 노력을 기울이는 것을 고려하고 있다는 사실에 기쁩니다.

그리고 마지막으로 사람들에게 .onion 사이트의 보안 기능에 대해 가르치는 것에 대해 말하자면 "숨겨진 서비스"가 더 이상 여기에서 가장 좋은 표현이 아닌지 궁금합니다. 원래는이를 "숨겨진 위치 서비스"라고 불렀는데, 이는 곧 "숨겨진 서비스"로 단축되었습니다. 그러나 서비스 위치를 보호하는 것은 그들이 가지고있는 보안 기능 중 하나 일뿐입니다. 보호 대상 서비스에 대한 새 이름을 추첨하는 경연 대회를 열어야할까요? "양파 서비스"와 같은 것조차도 사람들이 자신이 무엇인지 배우도록 강요한다면 더 좋을 수 있습니다.