Facebook na TOR. Jest wyjaƛnienie.

Wreszcie na proƛbę fanĂłw: Niebieskie tabletki z somą. PoniĆŒszy artykuƂ (sprzed tygodnia) napisaƂ Roger Dingledine (broƄ), lider projektu TOR, ok pojawienie się Facebooka w tej sieci.

Dzisiaj ujawniƂ się Facebook jego ukryta usƂuga ktĂłry umoĆŒliwia uĆŒytkownikom ostroĆŒniejszy dostęp do Twojej witryny. UĆŒytkownicy i dziennikarze pytali nas o odpowiedzi; oto kilka punktĂłw, ktĂłre pomogą Ci zrozumieć naszą opinię.

Częƛć pierwsza: Tak, odwiedzanie Facebooka na Torze nie jest sprzecznoƛcią

Nie zdawaƂem sobie sprawy, ĆŒe powinienem doƂączyć tę sekcję, do dziƛ usƂyszaƂem od dziennikarza, ktĂłry miaƂ nadzieję na cytat ode mnie o tym, dlaczego uĆŒytkownicy Tora nawet nie uĆŒywają Facebooka. Pomijając (wciÄ…ĆŒ bardzo waĆŒne) pytania dotyczące nawykĂłw dotyczących prywatnoƛci Facebooka, szkodliwych zasad dotyczących prawdziwych nazwisk oraz tego, czy powinni ci cokolwiek o tobie powiedzieć, kluczem jest to, ĆŒe anonimowoƛć to nie tylko ukrywanie się przed celem podrĂłĆŒy.

Nie ma powodu, aby informować swojego dostawcę usƂug internetowych, kiedy lub czy odwiedza Facebooka. Nie ma powodu, dla ktĂłrego dostawca usƂug internetowych Facebooka ani ĆŒadna agencja monitorująca Internet nie mieliby wiedzieć, kiedy i czy odwiedzają Facebooka. A jeƛli zdecydujesz się powiedzieć Facebookowi coƛ o sobie, nadal nie ma powodu, aby pozwolić im automatycznie odkryć miasto, w ktĂłrym się znajdujesz.

Musimy teĆŒ pamiętać, ĆŒe są miejsca, w ktĂłrych nie moĆŒna uzyskać dostępu do Facebooka. Jakiƛ czas temu rozmawiaƂem z kimƛ z ochrony na Facebooku, ktĂłry opowiedziaƂ mi zabawną historię. Kiedy po raz pierwszy spotkaƂ Tora, nienawidziƂ go i baƂ się, poniewaĆŒ „wyraĆșnie” zamierzaƂ podwaĆŒyć jego model biznesowy uczenia się wszystkiego o jego uĆŒytkownikach. Nagle Iran blokuje Facebooka, spora częƛć perskiej populacji na Facebooku przeszƂa na dostęp do Facebooka przez Tora i staƂ się fanem Tora, poniewaĆŒ w przeciwnym razie ci uĆŒytkownicy zostaliby zhakowani. Inne kraje, takie jak Chiny, poszƂy pĂłĆșniej w podobny sposĂłb. Ta zmiana w jego umyƛle pomiędzy „Tor jako narzędzie prywatnoƛci, ktĂłre pozwala uĆŒytkownikom kontrolować ich wƂasne dane” a „Tor jako narzędzie komunikacyjne, ktĂłre daje uĆŒytkownikom swobodę wyboru witryn do odwiedzenia” jest doskonaƂym przykƂadem rĂłĆŒnorodnoƛć zastosowaƄ ToraCokolwiek myƛlisz o tym, do czego sƂuĆŒy Tor, gwarantuję, ĆŒe jest osoba, ktĂłra uĆŒyje go do czegoƛ, o czym nie braƂeƛ pod uwagę.

W tym drugim się zgadzam. UĆŒyƂem Facebooka w Torze tylko dlatego, ĆŒe byƂ zablokowany w miejscu, w ktĂłrym się ƂączyƂem.

Częƛć druga: cieszymy się, ĆŒe usƂugi ukryte są coraz szerzej stosowane

Myƛlę, ĆŒe to ƛwietnie dla Tora, ĆŒe ​​Facebook dodaƂ adres .onion. Istnieją pewne interesujące przypadki uĆŒycia usƂug ukrytych: na przykƂad te opisane w «uĆŒywanie ukrytych usƂug Tora na dobre«, Podobnie jak nadchodzące zdecentralizowane narzędzia do czatowania, takie jak Ricochet, w ktĂłrych kaĆŒdy uĆŒytkownik jest usƂugą ukrytą, więc nie ma centralnego punktu szpiegowania, aby zapisać dane. Jednak nie publikowaliƛmy zbyt często tych przykƂadĂłw, zwƂaszcza w porĂłwnaniu z rozgƂosem, jaki w ostatnich latach wywoƂaƂ przykƂad „Mam witrynę internetową, ktĂłrą rząd chce zamknąć”.

UsƂugi ukryte zapewniają rĂłĆŒnorodne uĆŒyteczne wƂaƛciwoƛci bezpieczeƄstwa. Pierwsza - i najbardziej myƛląca - poniewaĆŒ design wykorzystuje Obwody Tor, trudno jest ustalić, gdzie na ƛwiecie znajduje się usƂuga. Ale po drugie, poniewaĆŒ adres usƂugi to skrĂłt twojego klucza, są samouwierzytelniające się: jeƛli wpiszą podany adres .onion, twĂłj klient Tor gwarantuje, ĆŒe faktycznie rozmawia z usƂugą, ktĂłra zna klucz prywatny odpowiadający temu adresowi. Trzecią fajną cechą jest to, ĆŒe proces rendezvous zapewnia peƂne szyfrowanie, nawet jeƛli ruch na poziomie aplikacji jest niezaszyfrowany.

Jestem więc podekscytowany, ĆŒe ten ruch na Facebooku pomoĆŒe nadal otwierać umysƂy ludzi na to, dlaczego chcieliby oferować usƂugi ukryte, i pomĂłc innym wymyƛlić więcej nowych zastosowaƄ usƂug ukrytych.

Inną dobrą sugestią jest to, ĆŒe Facebook zobowiązuje się powaĆŒnie traktować swoich uĆŒytkownikĂłw Tora. Setki tysięcy ludzi od lat z powodzeniem uĆŒywa Facebooka na Torze, ale w dzisiejszych czasach usƂug takich jak Wikipedia ktĂłrzy nie akceptują treƛci od uĆŒytkownikĂłw, ktĂłrym zaleĆŒy na prywatnoƛciTo odƛwieĆŒające i zachęcające, gdy duĆŒa witryna internetowa decyduje, ĆŒe jej uĆŒytkownicy mogą chcieć większego bezpieczeƄstwa fizycznego.

Jako dodatek do tego optymizmu, byƂoby smutne, gdyby Facebook dodaƂ usƂugę ukrytą, miaƂ problem z trollami i zdecydowaƂ, ĆŒe powinni uniemoĆŒliwić uĆŒytkownikom Tora uĆŒywanie ich starego adresu. https://www.facebook.com/. Dlatego powinniƛmy być czujni, pomagając Facebookowi w dalszym umoĆŒliwianiu uĆŒytkownikom Tora dostępu do nich za poƛrednictwem dowolnego adresu.

Częƛć trzecia: TwĂłj prĂłĆŒny adres nie oznacza, ĆŒe ​​ƛwiat się skoƄczyƂ

Nazwa Twojej usƂugi ukrytej to „facebookcorewwwi.onion”. PoniewaĆŒ jest skrĂłtem klucza publicznego, z pewnoƛcią nie wydaje się przypadkowy. Wiele osĂłb pytaƂo, jak mogliby to zrobić brutalna siƂa w caƂej nazwie.

KrĂłtka odpowiedĆș jest taka, ĆŒe ​​przez pierwszą poƂowę („facebook”), ktĂłra ma tylko 40 bitĂłw, generowali klucze w kóƂko, aĆŒ otrzymali te, ktĂłrych pierwsze 40 bitĂłw skrĂłtu pasowaƂo do ĆŒÄ…danego ciągu.

Następnie mieli kilka kluczy, ktĂłrych nazwy zaczynaƂy się od „facebook” i spojrzeli na drugą poƂowę kaĆŒdego z nich, aby wybrać te z wyraĆșnymi, a przez to zapadającymi w pamięć sylabami. Ten „corewwwi” wydawaƂ im się najlepszy - co oznaczaƂo, ĆŒe mogli przyjƛć z plikiem Historia dlaczego Facebook ma sensowną nazwę - i poszli po nią.

Aby wyjaƛnić, nie byliby w stanie ponownie odtworzyć dokƂadnie tej nazwy, gdyby chcieli. Mogliby tworzyć inne skrĂłty zaczynające się od „facebook” i koƄczące się wymawianymi sylabami, ale to nie jest brutalna siƂa w caƂej nazwie usƂugi ukrytej (wszystkie 80 bitĂłw). Dla tych, ktĂłrzy chcą dalej zgƂębiać matematykę, przeczytaj o «atak urodzinowy«. A dla tych, ktĂłrzy chcą się dowiedzieć (proszę o pomoc!) O ulepszeniach, ktĂłre chcielibyƛmy wprowadzić w usƂugach ukrytych, w tym silniejszych hasƂach i nazwach, zobacz «usƂugi ukryte wymagają uczucia" i propozycja Tor 224.

Częƛć czwarta: Co myƛlimy o certyfikacie https dla adresu .onion?

Facebook to nie tylko usƂuga ukryta. Otrzymali rĂłwnieĆŒ certyfikat https dla swojej usƂugi ukrytej, ktĂłry jest podpisany przez Digicert, więc ich przeglądarki go zaakceptują. Ta decyzja wywoƂaƂa pewne skutki oĆŒywione dyskusje w spoƂecznoƛci CA / Browser, ktĂłra decyduje, jakie nazwy mogą mieć oficjalne certyfikaty. Ta dyskusja wciÄ…ĆŒ trwa, ale takie są moje wczesne poglądy na ten temat.

Dla: My, spoƂecznoƛć zajmująca się bezpieczeƄstwem w Internecie, uczymy ludzi, ĆŒe protokóƂ https jest konieczny, a protokóƂ http jest przeraĆŒający. Dlatego sensowne jest, aby uĆŒytkownicy chcieli widzieć na początku ciąg „https”.

Wada: Uƛcisk dƂoni .onion w zasadzie daje to wszystko za darmo, więc zachęcając ludzi do pƂacenia Digicert, wzmacniamy model biznesowy certyfikacji, podczas gdy być moĆŒe powinniƛmy nadal demonstrować alternatywę.

Bo: https faktycznie oferuje nieco więcej, w przypadku gdy usƂuga (farma serwerĂłw Facebooka) nie znajduje się w tym samym miejscu co program Tor. Pamiętaj, ĆŒe nie jest wymagane, aby serwer WWW i proces Tora znajdowaƂy się na tej samej maszynie, aw skomplikowanej konfiguracji, takiej jak Facebook, prawdopodobnie nie powinny. MoĆŒna argumentować, ĆŒe ta ostatnia mila znajduje się w Twojej sieci firmowej, więc kogo to obchodzi, jeƛli nie jest szyfrowana, ale myƛlę, ĆŒe fraza „tam dodano i usunięto ssl” zakoƄczy ten argument.

Wady: jeƛli witryna otrzyma certyfikat, jeszcze bardziej utwierdzi uĆŒytkownikĂłw, ĆŒe jest on „niezbędny”, a następnie uĆŒytkownicy zaczną pytać inne witryny, dlaczego go nie mają. Obawiam się, ĆŒe zaczyna się moda, w ktĂłrej trzeba zapƂacić Digicert pieniądze, aby mieć usƂugę ukrytą, w przeciwnym razie nie uznają tego za podejrzane - zwƂaszcza, ĆŒe ​​usƂugom ukrytym, ktĂłre cenią sobie anonimowoƛć, trudno byƂoby mieć certyfikat.

Alternatywą byƂoby poinformowanie przeglądarki Tor Browser, ĆŒe adresy .onion z https nie zasƂugują na przeraĆŒające wyskakujące okienko z ostrzeĆŒeniem. Bardziej skrupulatnym podejƛciem w tym kierunku jest znalezienie sposobu, aby usƂuga ukryta wygenerowaƂa wƂasny certyfikat https podpisany jej kluczem prywatnym cebulowym i poinformowaƂa przeglądarkę Tor Browser, jak je zweryfikować - w zasadzie zdecentralizowany CA dla adresĂłw .onion, poniewaĆŒ są auto- uwierzytelniacze. Wtedy nie musieliby przechodzić przez bzdury udawania, ĆŒe ​​potrafią czytać e-maile w domenie i ogĂłlnie promować obecny model CA.

Moglibyƛmy rĂłwnieĆŒ wyobrazić sobie model imiona zwierząt domowych gdzie uĆŒytkownik moĆŒe powiedzieć swojej przeglądarce Tor, ĆŒe ten adres .onion „to” Facebook. Lub prostszym podejƛciem byƂoby przeniesienie listy „znanych” zakƂadek usƂug ukrytych do przeglądarki Tor - takich jak nasz wƂasny CA, uĆŒywając starego modelu / etc / hosts. Takie podejƛcie wywoƂaƂoby polityczne pytanie, ktĂłre witryny powinniƛmy wspierać.

Dlatego nie zdecydowaƂem jeszcze, w jakim kierunku, moim zdaniem, powinna zmierzać ta dyskusja. WspóƂczuję stwierdzeniu, ĆŒe „uczymy uĆŒytkownikĂłw sprawdzania protokoƂu https, więc nie mylmy ich”, ale martwię się teĆŒ o ƛliską sytuację, w ktĂłrej uzyskanie certyfikatu staje się wymaganym krokiem do posiadania renomowanej usƂugi. Daj nam znać, jeƛli masz inne przekonujące argumenty za lub przeciw.

Częƛć piąta: Co pozostaƂo do zrobienia?

Pod względem wzornictwa i bezpieczeƄstwa usƂugi ukryte nadal potrzebują czuƂoƛci. Mamy plany ulepszonych projektĂłw (patrz propozycja Tor 224), ale nie mamy wystarczających ƛrodkĂłw ani programistĂłw, aby to umoĆŒliwić. W tym tygodniu rozmawialiƛmy z niektĂłrymi inĆŒynierami Facebooka o niezawodnoƛci i skalowalnoƛci usƂugi ukrytej i cieszymy się, ĆŒe Facebook rozwaĆŒa podjęcie dziaƂaƄ rozwojowych, aby pomĂłc ulepszyć usƂugi ukryte.

I wreszcie, mĂłwiąc o nauczaniu ludzi o funkcjach bezpieczeƄstwa witryn .onion, zastanawiam się, czy „usƂugi ukryte” nie są juĆŒ tutaj najlepszym zwrotem. Pierwotnie nazywaliƛmy je „usƂugami ukrytej lokalizacji”, co szybko zostaƂo skrĂłcone do po prostu „usƂug ukrytych”. Ale ochrona lokalizacji usƂugi to tylko jedna z funkcji bezpieczeƄstwa, ktĂłre mają. MoĆŒe powinniƛmy zorganizować konkurs na nową nazwę dla tych chronionych usƂug? Nawet coƛ w rodzaju „usƂug cebulowych” moĆŒe być lepsze, jeƛli zmusza ludzi do nauczenia się, czym są.


14 komentarzy, zostaw swoje

Zostaw swĂłj komentarz

Twój adres e-mail nie zostanie opublikowany. Wymagane pola są oznaczone *

*

*

  1. Odpowiedzialny za dane: Miguel Ángel Gatón
  2. Cel danych: kontrola spamu, zarządzanie komentarzami.
  3. Legitymacja: Twoja zgoda
  4. Przekazywanie danych: Dane nie będą przekazywane stronom trzecim, z wyjątkiem obowiązku prawnego.
  5. Przechowywanie danych: baza danych hostowana przez Occentus Networks (UE)
  6. Prawa: w dowolnym momencie moĆŒesz ograniczyć, odzyskać i usunąć swoje dane.

  1.   fernando powiedziaƂ

    Gratulujemy ƛwietnego artykuƂu, szczególnie dla tych z nas, którzy są w ƛwiatach yupi w tym Internecie

  2.   pepe powiedziaƂ

    To bardzo proste. Jeƛli logujesz się za pomocą konta Gmail lub Facebook lub jednej z firm wymienionych przez Snowdena, tracisz swoją anonimowoƛć.

    To tak, jakby ktoƛ korzystaƂ z TAIS i logowaƂ się do Gmaila i udawaƂ anonimowoƛć. Jedyne, co zrobi, to wzbudzi podejrzenia i wskaĆŒe swoją nazwę uĆŒytkownika.

    1.    Eliotime3000 powiedziaƂ

      Jakby czytanie nie byƂo twoją rzeczą, co?

  3.   Ruckoandrol powiedziaƂ

    Prawie wszyscy mówią o Tor, ale nie widziaƂem wspomnianego tutaj i2p, jeƛli mógƂbyƛ przekazać nam swoją opinię na jego temat.

  4.   Tedla powiedziaƂ

    ... Lub jest to sƂodka puƂapka, aby dowiedzieć się, ktĂłry uĆŒytkownik Tora Ƃączy się najpierw z Facebookiem, a pĂłĆșniej z inną prywatną lub bezpieczną usƂugą, aby sprawdzić dane i je zidentyfikować.

    Ja na Facebooku lub na zdjęciu, dziękuję. ZdaƂ. Miliony razy wolę diasporę. Ć»aden nie ma cenzury.

  5.   Anonimo powiedziaƂ

    Ale czy jest tak, ĆŒe są naiwni, zarĂłwno TOR, jak i Facebook są finansowane przez te same osoby, czy teĆŒ uwaĆŒają, ĆŒe TOR inwestuje w anonimowoƛć naiwnych, ktĂłrzy nie zdają sobie sprawy, gdzie jest biznes.
    Są twarzą tej samej monety
 chcą bezpieczeƄstwa? cĂłĆŒ, nie tam trafiają strzaƂy.
    BezpieczeƄstwo zapewni faƂszywy profil, doskonale przemyƛlany i wiarygodny profil, ale faƂszywy i zawsze ten sam, to najgorsza rzecz, jaka moĆŒe się przydarzyć NSA lub kimkolwiek jest, jeƛli wymyƛlisz profil i oni w to uwierzą .

    1.    Tedla powiedziaƂ

      Powiem tylko, ĆŒe nie sądzę, ĆŒebyƛ dobrze zrozumiaƂ TOR.

      1.    Anonimo powiedziaƂ

        Powiem tylko, ĆŒe w kaĆŒdym systemie, ktĂłry potrzebuje serwera poƛredniego, moĆŒna kupić za dolary od wƂaƛcicieli tego serwera.
        Najlepszym sposobem jest dać im to, czego chcą, nie ukrywając niczego, ale dać im to z faƂszywym profilem, a oni w to uwierzą.

  6.   Dario powiedziaƂ

    Jedyne, co martwi Facebooka, to utrata klientĂłw z powodu cenzury niektĂłrych krajĂłw, są teĆŒ lepsze alternatywy, na przykƂad torbook, diaspora itp.

  7.   Surfer powiedziaƂ
    1.    Eliotime3000 powiedziaƂ

      Ciekawe, bo Ƃatwo wpisuje się w filozofię ruchu Freenet.

    2.    Tedla powiedziaƂ

      UĆŒywam go od dawna. To jest dobre. TwĂłj dostawca usƂug internetowych nie wie, ktĂłre strony internetowe widzisz. WƂaƛciciele tych serwerĂłw nie zapisują swoich logĂłw, więc teĆŒ nie wiedzą. Daje bardzo blisko poĆŒÄ…danej prywatnoƛci.

  8.   Solrak Tęczowy Wojownik powiedziaƂ

    To juĆŒ nie dziaƂa?

  9.   UĆŒytkownik Fedory powiedziaƂ

    Dla mnie nadal gƂupio jest uĆŒywać TOR do Ƃączenia się z Facebookiem
 co zostaƂeƛ ocenzurowany w Twoim kraju? po to są serwery proxy. Tor to sieć zapewniająca anonimowoƛć, aby nie publikować rzeczy z Twoim imieniem i nazwiskiem, jedyne, co osiągniesz, to ƛledzenie wszystkich odwiedzanych witryn .onion na Facebooku.