Facebook op TOR. Er is een verklaring.

Vandaag onthulde Facebook zijn verborgen dienst waarmee gebruikers zorgvuldiger toegang krijgen tot uw website. Gebruikers en journalisten hebben ons om onze antwoorden gevraagd; hier zijn enkele punten om u te helpen onze mening te begrijpen.

Deel één: Ja, Facebook bezoeken op Tor is geen tegenstrijdigheid

Ik wist niet dat ik deze sectie moest opnemen, tot vandaag hoorde ik van een journalist die hoopte een citaat van mij te krijgen over waarom Tor-gebruikers Facebook niet eens zouden gebruiken. Afgezien van de (nog steeds erg belangrijke) vragen over de privacygewoonten van Facebook, het schadelijke real-name-beleid en of ze je al dan niet iets over je moeten vertellen, is de sleutel hier dat anonimiteit is niet alleen verborgen voor uw bestemmingen.

Er is geen reden om uw internetprovider te laten weten wanneer en of ze Facebook bezoeken. Er is geen reden voor de upstream ISP van Facebook, of een ander bureau dat het internet controleert, om te weten wanneer en of ze Facebook bezoeken. En als je ervoor kiest om Facebook iets over jezelf te vertellen, is er nog steeds geen reden om ze automatisch de stad te laten ontdekken waarin je je bevindt.

We moeten ook onthouden dat er enkele plaatsen zijn waar Facebook niet toegankelijk is. Een tijdje geleden sprak ik iemand van de beveiliging op Facebook die me een grappig verhaal vertelde. Toen hij Tor voor het eerst ontmoette, haatte hij het en was hij er bang voor, omdat hij "duidelijk" van plan was het bedrijfsmodel te ondermijnen om alles over de gebruikers te leren. Dan blokkeert Iran plotseling Facebook, een groot deel van de Perzische bevolking op Facebook schakelde over op toegang tot Facebook via Tor, en hij werd een fan van Tor omdat die gebruikers anders gehackt zouden zijn. Andere landen zoals China volgden daarna een soortgelijk patroon. Die verschuiving in zijn gedachten tussen "Tor als een privacytool om gebruikers hun eigen gegevens te laten beheren" en "Tor als een communicatietool om gebruikers de vrijheid te geven om te kiezen welke sites ze willen bezoeken" is een goed voorbeeld van de diversiteit van Tor-toepassingen- Wat je ook denkt over waar Tor voor is, ik garandeer je dat er een persoon is die het gebruikt voor iets dat je misschien niet hebt overwogen.

Deel twee: we zijn blij met een bredere acceptatie van verborgen diensten

Ik vind het geweldig voor Tor dat Facebook een .onion-adres heeft toegevoegd. Er zijn enkele dwingende use-cases voor verborgen services: bijvoorbeeld die beschreven in «voorgoed gebruik maken van Tor's verborgen diensten«, Evenals de aankomende gedecentraliseerde chattools zoals Ricochet waar elke gebruiker een verborgen dienst is, dus er is geen centraal punt om te spioneren om gegevens op te slaan. Maar we hebben deze voorbeelden niet veel gepubliceerd, vooral in vergelijking met de publiciteit die de voorbeelden van "Ik heb een website die de overheid wil sluiten" de afgelopen jaren hebben gekregen.

Verborgen diensten ze bieden een scala aan nuttige beveiligingseigenschappen. De eerste - en degene die het meest denkt - omdat design gebruikt Tor-circuitsis het moeilijk te achterhalen waar de dienst zich in de wereld bevindt. Maar de tweede, omdat het adres van een dienst is de hash van je sleutel, authenticeren ze zichzelf: als ze een bepaald .onion-adres typen, garandeert je Tor-client dat hij daadwerkelijk spreekt met de service die de privésleutel kent die overeenkomt met het adres. Een leuke derde functie is dat het rendez-vous-proces end-to-end-versleuteling biedt, zelfs als het verkeer op applicatieniveau niet-versleuteld is.

Dus ik ben opgewonden dat deze Facebook-stap zal helpen om mensen te blijven openstellen voor waarom ze een verborgen service zouden willen aanbieden, en anderen zal helpen nadenken over meer nieuwe toepassingen voor de verborgen services.

Een andere goede implicatie hier is dat Facebook zich ertoe verbindt zijn Tor-gebruikers serieus te nemen. Honderdduizenden mensen gebruiken Facebook al jaren met succes op Tor, maar in het huidige tijdperk van diensten zoals Wikipedia die ervoor kiezen geen bijdragen te accepteren van gebruikers die om privacy gevenHet is verfrissend en bemoedigend om te zien dat een grote website besluit dat het oké is dat gebruikers meer fysieke beveiliging willen.

Als aanvulling op dat optimisme zou het triest zijn als Facebook een verborgen service zou toevoegen, een probleem had met trollen en zou besluiten dat ze zouden moeten voorkomen dat Tor-gebruikers hun oude adres gebruiken. https://www.facebook.com/. We moeten dus waakzaam zijn om Facebook te helpen om Tor-gebruikers toegang te geven via elk adres.

Deel drie: uw ijdele adres betekent niet dat de wereld voorbij is

De naam van uw verborgen service is "facebookcorewwwi.onion". Om de hash van een openbare sleutel te zijn, lijkt het zeker niet willekeurig. Veel mensen vroegen hoe ze dat konden doen brute kracht over de hele naam.

Het korte antwoord is dat ze voor de eerste helft ("facebook"), die slechts 40 bits is, steeds opnieuw sleutels genereerden totdat ze er een kregen waarvan de eerste 40 bits van de hash overeenkwamen met de string die ze wilden.

Daarna hadden ze een aantal sleutels waarvan de naam begon met "facebook", en ze keken naar de tweede helft van elk om die te kiezen met uitspreekbare en daarom gedenkwaardige lettergrepen. De "corewwwi" leek hen het beste - wat betekent dat ze konden komen met een Geschiedenis waarom het een redelijke naam is voor Facebook om te gebruiken - en ze gingen voor haar.

Dus om te verduidelijken: ze zouden deze naam niet precies opnieuw kunnen produceren als ze dat zouden willen. Ze zouden andere hashes kunnen produceren die beginnen met "facebook" en eindigen met uitspreekbare lettergrepen, maar dat is geen brute kracht op de volledige verborgen servicenaam (alle 80 bits). Voor degenen die wiskunde verder willen verkennen, lees over de «verjaardagsaanval«. En voor degenen die willen leren (help alstublieft!) Over de verbeteringen die we zouden willen aanbrengen aan de verborgen diensten, inclusief sterkere wachtwoorden en namen, zie «verborgen diensten hebben genegenheid nodig"en het Tor 224-voorstel.

Deel vier: Wat vinden we van een https-certificaat voor een .onion-adres?

Facebook heeft niet alleen een verborgen dienst opgezet. Ze kregen ook een https-certificaat voor hun verborgen service en het is ondertekend door Digicert zodat hun browsers het accepteren. Deze beslissing heeft wat opgeleverd pittige discussies in de CA / Browser-gemeenschap, die beslist welke namen officiële certificaten kunnen hebben. Die discussie is nog gaande, maar dit zijn mijn eerste opvattingen hierover.

Voor: Wij, de internetbeveiligingsgemeenschap, leren mensen dat https noodzakelijk is en dat http eng is. Het is dus logisch dat gebruikers de string "https" vooraan willen zien.

Con: De .onion-handdruk geeft dat in feite allemaal gratis, dus door mensen aan te moedigen Digicert te betalen, versterken we het certificeringsbedrijfsmodel terwijl we misschien een alternatief moeten blijven demonstreren.

Voor: https biedt eigenlijk iets meer, in het geval dat de service (de Facebook-serverfarm) niet op dezelfde plek staat als het Tor-programma. Onthoud dat het geen vereiste is dat de webserver en het Tor-proces zich op dezelfde machine bevinden, en in een gecompliceerde configuratie zoals Facebook zouden ze dat waarschijnlijk niet moeten zijn. Je zou kunnen zeggen dat deze laatste mijl binnen je bedrijfsnetwerk ligt, dus wat maakt het uit als het niet versleuteld is, maar ik denk dat de zinsnede "ssl toegevoegd en daar verwijderd" dat argument zal beëindigen.

Nadelen: als een site een certificaat krijgt, zal het de gebruikers nog meer versterken dat het "noodzakelijk" is, en dan zullen gebruikers andere sites gaan vragen waarom ze er geen hebben. Ik ben bang dat er een rage begint waarbij je Digicert-geld moet betalen om een ​​verborgen service te hebben, anders zullen ze het niet verdacht vinden - vooral omdat verborgen services die hun anonimiteit waarderen, het moeilijk zouden hebben om een ​​certificaat te hebben.

Een alternatief zou zijn om Tor Browser te vertellen dat .onion-adressen met https geen enge pop-upwaarschuwing verdienen. Een meer nauwgezette benadering in die richting is om een ​​manier te vinden voor een verborgen service om zijn eigen https-certificaat te genereren, ondertekend met de privésleutel van de ui, en Tor Browser te vertellen hoe ze deze moeten verifiëren - in feite een gedecentraliseerde CA voor .onion-adressen, aangezien ze dat zijn auto-authenticators. Dan hoeven ze niet te doen alsof ze e-mails op het domein kunnen lezen en in het algemeen het huidige CA-model promoten.

We kunnen ons ook een model voorstellen van huisdierennamen waar de gebruiker zijn Tor Browser kan vertellen dat dit .onion-adres "Facebook is". Of de meer directe benadering zou zijn om een ​​lijst met "bekende" verborgen servicebladwijzers in de Tor Browser te brengen - zoals onze eigen CA, met behulp van het oude / etc / hosts-model. Die benadering roept de politieke vraag op welke sites we moeten ondersteunen.

Dus ik heb nog niet besloten welke richting ik denk dat deze discussie moet uitgaan. Ik ben solidair met de "we leren gebruikers om https te controleren, dus laten we ze niet verwarren", maar ik maak me ook zorgen over de gladde situatie waarin het behalen van een certificering een vereiste stap wordt om een ​​betrouwbare service te hebben. Laat het ons weten als u nog andere dwingende argumenten voor of tegen heeft.

Deel vijf: wat is er nog te doen?

Zowel qua ontwerp als qua veiligheid verborgen diensten hebben nog steeds genegenheid nodig. We hebben plannen voor verbeterde ontwerpen (zie het Tor 224-voorstel) maar we hebben niet genoeg geld of ontwikkelaars om dat mogelijk te maken. We spraken deze week met een aantal Facebook-technici over de betrouwbaarheid en schaalbaarheid van de verborgen service, en we zijn verheugd dat Facebook overweegt om ontwikkelingsinspanningen te doen om de verborgen services te helpen verbeteren.

En tot slot, nu ik het heb over mensen leren over de beveiligingsfuncties van .onion-sites, vraag ik me af of "verborgen diensten" hier niet meer de beste uitdrukking is. Oorspronkelijk noemden we ze "verborgen locatiediensten", wat al snel werd afgekort tot slechts "verborgen diensten". Maar het beschermen van de locatie van de service is slechts een van de beveiligingsfuncties die ze hebben. Misschien moeten we een wedstrijd houden om een ​​nieuwe naam voor die beschermde diensten te verloten? Zelfs zoiets als "uiendiensten" kan beter zijn als ze mensen dwingen te leren wat ze zijn.