Tor ли е наистина анонимен и сигурен?

Някои хора вярват, че Tor е напълно анонимен, личен и сигурен начин за достъп до интернет, без някой да е в състояние да следи сърфирането ви и да го проследява обратно - но нали? Не е толкова просто.

Tor не е идеалното решение за анонимност и поверителност. Той има няколко важни ограничения и рискове, за които трябва да знаете, ако ще ги използвате.

Изходните възли могат да бъдат подушени

Прочетете нашата дискусия за това как Tor работи за по-подробен поглед върху това как Tor осигурява своята анонимност. В обобщение, когато използвате Tor, вашият интернет трафик се насочва през мрежата на Tor и преминава през няколко случайно избрани релета, преди да излезе от мрежата Tor. Tor е проектиран така, че теоретично е невъзможно да се знае кой компютър действително е поискал трафика. Възможно е компютърът ви да е инициирал връзката или може просто да действа като препредаване, препращайки този шифрован трафик към друг възел Tor.

Обаче, повечето трафик Tor трябва в крайна сметка да се появят от мрежата Tor. Например, да кажем, че се свързвате с Google чрез Tor - трафикът ви се предава през няколко релета Tor, но в крайна сметка трябва да излезе от мрежата Tor и да се свърже със сървърите на Google. Последният Tor възел, където трафикът напуска мрежата Tor и влиза в отворения интернет, може да бъде наблюдаван. Този възел, при който трафикът излиза от мрежата Tor, е известен като „изходен възел“ или „реле за изход“.

В диаграмата по-долу червената стрелка представлява некриптирания трафик между изходния възел и „Боб“, компютър в интернет..

Ако имате достъп до шифрован (HTTPS) уебсайт, например Gmail акаунт, това е добре - въпреки че изходният възел може да види, че се свързвате с Gmail. ако имате достъп до некриптиран уебсайт, изходният възел може потенциално да наблюдава активността ви в интернет, да следи посетените от вас уеб страници, извършените от вас търсения и съобщенията, които изпращате.

Хората трябва да дадат съгласието си да стартират изходни възли, тъй като стартирането на изходните възли ги поставя на по-голям правен риск, отколкото само да се изпълнява релеен възел, който прехвърля трафик. Вероятно правителствата управляват някои изходни възли и наблюдават трафика, който ги напуска, като използват това, което те научават да разследват престъпници или, в репресивните страни, наказват политическите активисти.

Това не е просто теоретичен риск. През 2007 г. изследовател по сигурността прехващаше пароли и имейл съобщения за сто имейл акаунта, като изпълняваше изходен възел Tor. Въпросните потребители са допуснали грешката да не използват криптиране на електронната си система, като вярват, че Tor по някакъв начин ще ги защити с вътрешното си криптиране. Но Tor не работи така.

Урок: Когато използвате Tor, не забравяйте да използвате криптирани (HTTPS) уебсайтове за нещо чувствително. Имайте предвид, че вашият трафик може да бъде наблюдаван не само от правителствата, но и от злонамерени хора, които търсят лични данни.

JavaScript, Plug-in и други приложения могат да изтекат вашия IP адрес

Пакетът за браузъри Tor, който разгледахме, когато обяснихме как да използваме Tor, идва предварително конфигуриран със сигурни настройки. JavaScript е забранен, приставките не могат да се изпълняват и браузърът ще ви предупреди, ако се опитате да изтеглите файл и да го отворите в друго приложение.

JavaScript обикновено не е риск за сигурността, но ако се опитвате да скриете своя IP адрес, не искате да използвате JavaScript. Двигателят на JavaScript на браузъра, приставките като Adobe Flash и външни приложения, като Adobe Reader или дори видеоплейър, потенциално биха могли да „пропуснат“ вашия реален IP адрес на уебсайт, който се опитва да го придобие.

Пакетът на браузъра Tor избягва всички тези проблеми с настройките по подразбиране, но потенциално може да деактивирате тези защити и да използвате JavaScript или плъгини в браузъра Tor. Не правете това, ако сте сериозен за анонимността - и ако не сте сериозен с анонимността, не трябва да използвате Tor на първо място.

Това не е просто теоретичен риск. През 2011 г. група изследователи придобиха IP адресите на 10 000 души, които използваха BitTorrent клиенти чрез Tor. Подобно на много други видове приложения, клиентите на BitTorrent са несигурни и могат да изложат вашия реален IP адрес.

Урок: Оставете защитените настройки на браузъра Tor на място. Не се опитвайте да използвате Tor с друг браузър - стик с папката за браузъри Tor, която е предварително конфигурирана с идеалните настройки. Не трябва да използвате други приложения с мрежата Tor.

Изпълнението на изходен възел ви поставя под риск

Ако вярвате в онлайн анонимността, може да бъдете мотивирани да дарите своя трафик чрез пускане на Tor реле. Това не би трябвало да е правен проблем - релето Tor само преминава криптиран трафик напред и назад в мрежата Tor. Tor постига анонимност чрез релета, управлявани от доброволци.

Въпреки това, трябва да помислите преди да пуснете изходно реле, което е място, където трафикът Tor излиза от анонимната мрежа и се свързва с отворения интернет. Ако престъпниците използват Tor за незаконни неща и трафикът излиза от релето ви за излизане, този трафик ще може да се проследи до вашия IP адрес и може да почукате на вратата ви и компютърното оборудване да бъде конфискувано. Един мъж в Австрия бил нападнат и обвинен в разпространението на детска порнография за изпълнение на изходен възел Tor. Стартирането на изходен възел Tor позволява на други хора да правят лоши неща, които могат да бъдат проследени обратно до вас, точно като работа с отворена Wi-Fi мрежа - но това е много, много по-вероятно да ви вкара в беда. Последствията обаче не могат да бъдат наказателни. Може да се сблъскате със съдебно дело за изтегляне на съдържание, защитено с авторски права, или действие съгласно Системата за предупреждение за авторските права в САЩ.

Рисковете, свързани с изпълнението на възлите за изход Tor, всъщност се връзват в първата точка. Тъй като стартирането на изходен възел Tor е толкова рисковано, малко хора го правят. Правителствата обаче биха могли да се измъкнат с изходни възли - и вероятно много го правят.

Урок: Никога не пускайте изходен възел Tor - сериозно.

Проектът Tor съдържа препоръки за изпълнение на изходен възел, ако наистина искате. Техните препоръки включват пускане на изходен възел на специален IP адрес в търговско съоръжение и използване на Tor-friendly ISP. Не опитвайте това у дома! (Повечето хора не трябва дори да опитат това по време на работа.)

Tor не е магическо решение, което ви дава анонимност. Той постига анонимност, като умело предава криптиран трафик през мрежа, но трафикът трябва да се появи някъде - това е проблем както за потребителите на Tor, така и за операторите на изходния възел. В допълнение, софтуерът, който работи на нашите компютри, не е проектиран да скрива нашите IP адреси, което води до рискове, когато правите нещо, освен да виждате обикновени HTML страници в браузъра Tor..

Снимка: Майкъл Уитни на Flickr, Анди Робъртс на Flickr, The Tor Project, Inc.