Facebook no TOR. Existe uma explicação.

Hoje o Facebook revelou seu serviço escondido que permite aos usuários acessar seu site com mais cuidado. Usuários e jornalistas nos pediram nossas respostas; aqui estão alguns pontos para ajudá-lo a entender nossa opinião.

Parte um: Sim, visitar o Facebook no Tor não é uma contradição

Não sabia que deveria incluir esta seção, até hoje ouvi de um jornalista que esperava ter uma citação minha sobre por que os usuários do Tor nem sequer usariam o Facebook. Deixando de lado as (ainda muito importantes) questões sobre os hábitos de privacidade do Facebook, suas políticas de nomes reais prejudiciais e se eles devem ou não dizer algo sobre você, a chave aqui é que anonimato não é apenas se esconder de seus destinos.

Não há razão para informar ao seu ISP quando ou se você está visitando o Facebook. Não há razão para o ISP upstream do Facebook, ou qualquer agência que monitora a Internet, saber quando ou se eles estão visitando o Facebook. E se você decidir contar ao Facebook algo sobre você, ainda não há razão para deixá-los descobrir automaticamente a cidade em que você está ao fazê-lo.

Além disso, devemos lembrar que existem alguns lugares onde o Facebook não pode ser acessado. Falei com alguém da segurança do Facebook há algum tempo que me contou uma história engraçada. Quando conheceu o Tor, ele o odiava e temia porque "claramente" pretendia minar seu modelo de negócios de aprender tudo sobre seus usuários. Então, de repente, o Irã bloqueia o Facebook, uma boa parte da população persa no Facebook passou a acessar o Facebook via Tor, e ele se tornou um fã do Tor porque, de outra forma, esses usuários teriam sido hackeados. Outros países como a China seguiram um padrão semelhante depois disso. Essa mudança em sua mente entre "Tor como uma ferramenta de privacidade para permitir que os usuários controlem seus próprios dados" e "Tor como uma ferramenta de comunicação para dar aos usuários a liberdade de escolher quais sites visitar" é um ótimo exemplo de a diversidade de usos do Tor- Independentemente do que você pense sobre para que serve o Tor, garanto que há uma pessoa que o usa para algo que você pode não ter considerado.

Parte dois: estamos felizes em ver uma adoção mais ampla de serviços ocultos

Acho ótimo para o Tor que o Facebook tenha adicionado um endereço .onion. Existem alguns casos de uso convincentes para serviços ocultos: por exemplo, aqueles descritos em «usando os serviços ocultos do Tor para sempre«Bem como as próximas ferramentas de chat descentralizadas como o Ricochet, onde cada usuário é um serviço oculto, então não há ponto central para espiar para salvar dados. Mas não divulgamos muito esses exemplos, especialmente em comparação com a publicidade que os exemplos “Tenho um site que o governo quer encerrar” tiveram nos últimos anos.

Serviços ocultos eles fornecem uma variedade de propriedades de segurança úteis. O primeiro - e o que mais pensam - porque o design usa Circuitos Tor, é difícil descobrir onde o serviço está localizado no mundo. Mas a segunda, porque o endereço de um serviço é o hash da sua chave, eles são auto-autenticados: se eles digitarem um determinado endereço .onion, seu cliente Tor garante que está realmente falando com o serviço que conhece a chave privada que corresponde ao endereço. Um bom terceiro recurso é que o processo de rendezvous fornece criptografia de ponta a ponta, mesmo quando o tráfego no nível do aplicativo não está criptografado.

Portanto, estou entusiasmado com o fato de que essa mudança no Facebook ajudará a continuar a abrir a mente das pessoas para o motivo de quererem oferecer um serviço oculto, e ajudar outros a pensar em mais novos usos para os serviços ocultos.

Outra boa implicação aqui é que o Facebook está se comprometendo a levar seus usuários do Tor a sério. Centenas de milhares de pessoas têm usado com sucesso o Facebook no Tor por anos, mas na era atual de serviços como a Wikipedia que optam por não aceitar contribuições de usuários que se preocupam com a privacidadeÉ revigorante e encorajador ver um grande site decidir que seus usuários podem querer mais segurança física.

Como um adendo a esse otimismo, seria triste se o Facebook adicionasse um serviço oculto, tivesse um problema com trolls e decidisse que eles deveriam impedir os usuários do Tor de usarem seus endereços antigos. https://www.facebook.com/. Portanto, devemos estar vigilantes para ajudar o Facebook a continuar permitindo que os usuários do Tor os acessem por meio de qualquer endereço.

Parte três: seu endereço vão não significa que o mundo acabou

O nome do seu serviço oculto é "facebookcorewwwi.onion". Para ser o hash de uma chave pública, com certeza não parece aleatório. Muitas pessoas estavam perguntando como eles poderiam fazer força bruta sobre o nome inteiro.

A resposta curta é que, para a primeira metade ("facebook"), que tem apenas 40 bits, eles geraram chaves repetidamente até obterem algumas cujos primeiros 40 bits do hash correspondiam à string que desejavam.

Em seguida, eles tinham algumas chaves cujos nomes começavam com "facebook", e olhavam para a segunda metade de cada uma para escolher aquelas com sílabas pronunciáveis ​​e portanto memoráveis. O "corewwwi" parecia o melhor para eles - o que significa que eles poderiam vir com um história sobre por que é um nome razoável para o Facebook usar - e eles foram atrás dela.

Então, para esclarecer, eles não seriam capazes de produzir exatamente esse nome novamente se quisessem. Eles poderiam produzir outros hashes que começam com "facebook" e terminam com sílabas pronunciáveis, mas isso não é força bruta em todo o nome do serviço oculto (todos os 80 bits). Para aqueles que desejam explorar mais a matemática, leia sobre o «ataque de aniversário«. E para aqueles que querem aprender (por favor ajude!) Sobre as melhorias que gostaríamos de fazer nos serviços ocultos, incluindo senhas e nomes mais fortes, veja «serviços ocultos precisam de afeto»E a proposta Tor 224.

Parte quatro: o que pensamos sobre um certificado https para um endereço .onion?

O Facebook não colocou apenas um serviço oculto. Eles também têm um certificado https para seu serviço oculto, e é assinado pela Digicert para que seus navegadores o aceitem. Esta decisão produziu alguns discussões animadas na comunidade CA / navegador, que decide que tipo de nomes podem ter certificados oficiais. Essa discussão ainda está em andamento, mas essas são minhas primeiras opiniões sobre o assunto.

Para: Nós, a comunidade de segurança da Internet, ensinamos às pessoas que o https é necessário e que o http é assustador. Portanto, faz sentido que os usuários queiram ver a string "https" na frente.

Contra: O aperto de mão .onion basicamente dá tudo isso de graça, então, ao incentivar as pessoas a pagarem à Digicert, estamos reforçando o modelo de negócios de certificação, quando talvez devêssemos continuar a demonstrar uma alternativa.

Pois: o https realmente oferece um pouco mais, no caso em que o serviço (farm de servidores do Facebook) não está no mesmo lugar que o programa Tor. Lembre-se de que não é necessário que o servidor web e o processo Tor estejam na mesma máquina e, em uma configuração complicada como o Facebook, provavelmente não deveriam estar. Alguém poderia argumentar que esta última milha está dentro de sua rede corporativa, então quem se importa se não está criptografada, mas acho que a frase "SSL adicionado e removido lá" encerrará esse argumento.

Contras: se um site receber um certificado, isso reforçará ainda mais aos usuários que ele é "necessário" e, em seguida, os usuários começarão a perguntar a outros sites por que eles não têm um. Preocupo-me com o início de um modismo em que você precisa pagar à Digicert para ter um serviço oculto, ou eles não acharão que é suspeito - especialmente porque serviços ocultos que valorizam seu anonimato teriam dificuldade em obter um certificado.

Uma alternativa seria dizer ao navegador Tor que os endereços .onion com https não merecem um aviso pop-up assustador. Uma abordagem mais meticulosa nessa direção é ter uma maneira de um serviço oculto gerar seu próprio certificado https assinado com sua chave privada onion e dizer ao navegador Tor como verificá-los - basicamente uma CA descentralizada para endereços .onion, já que eles são auto-autenticadores. Assim, eles não precisariam passar pelo absurdo de fingir para ver se podem ler emails no domínio e, de modo geral, promover o modelo de CA atual.

Também podemos imaginar um modelo de nomes de animais de estimação onde o usuário pode informar ao navegador Tor que este endereço .onion "é" Facebook. Ou a abordagem mais direta seria trazer uma lista de marcadores de serviço ocultos "conhecidos" para o navegador Tor - como nosso próprio CA, usando o antigo modelo / etc / hosts. Essa abordagem levantaria a questão política de quais sites devemos apoiar.

Portanto, ainda não decidi qual direção acho que essa discussão deve tomar. Sou solidário com o "ensinamos os usuários a verificar https, então não vamos confundi-los", mas também me preocupo com a situação escorregadia em que obter uma certificação se torna uma etapa obrigatória para ter um serviço confiável. Informe-nos se você tiver outros argumentos convincentes a favor ou contra.

Parte cinco: o que falta fazer?

Em termos de design e segurança, serviços ocultos ainda precisam de afeto. Temos planos para projetos aprimorados (ver a proposta Tor 224), mas não temos fundos ou desenvolvedores suficientes para fazer isso acontecer. Estávamos conversando com alguns engenheiros do Facebook esta semana sobre a confiabilidade e escalabilidade do serviço oculto, e estamos animados que o Facebook está considerando colocar esforços de desenvolvimento para ajudar a melhorar os serviços ocultos.

E, finalmente, por falar em ensinar as pessoas sobre os recursos de segurança dos sites .onion, me pergunto se "serviços ocultos" não é mais a melhor frase aqui. Originalmente, nós os chamamos de "serviços de localização ocultos", que foi rapidamente abreviado para apenas "serviços ocultos". Mas proteger a localização do serviço é apenas um dos recursos de segurança que eles possuem. Talvez devêssemos fazer um concurso para rifar um novo nome para esses serviços protegidos? Mesmo algo como "serviços de cebola" pode ser melhor se forçar as pessoas a aprender o que são.