Разработчики анонимной сети Tor предупредили о проведении большой чистки узлов, на которых используется устаревшее программное обеспечение, поддержка которого прекращена. 8 октября заблокировано около 800 устаревших узлов, работающих в режиме релеев (всего в сети Tor более 6000 подобных узлов). Блокировка совершена через размещение на серверах директорий чёрного списка проблемных узлов. Исключение из сети необновлённых мостовых узлов (bridge) ожидается позднее...Подробнее: https://www.opennet.ru/opennews/art.shtml?num=51645
Минуточку... Это что получается, узел не просто присоединяется к сети и регистрируется в этих "директориях" ad hoc, явочным порядком и только на время своего пребывания online? То есть, "директория" на просто отвергает заявку на присоединение узла с устаревшим ПО только в тот момент, когда он подключается, а до этого вообще даже не может подозревать о его существовании, а где-то на постоянной основе хранится инфо об этом узле, включая версию ПО и контактные данные владельца? Ну охренеть "анонимность".
Я не пользователь ТОРа, но как-то по описаниям ожидал принципа "никаких реестров, никаких логов"
>а где-то на постоянной основе хранится инфо об этом узле, включая версию ПО и контактные данные владельцавыходной узел сам их анонсирует (и это важно для реагирования на запросы суда, если зайдёшь в тор, определишь ip выходного узла и подключишься к нему по http, то в большинстве случаев увидишь даже специальную страничку, где написано, что они только выходной узел, которым пользоваться может кто угодно, и что это не они тот человек, которого разыскивает полиция. также на этой страничке часто написано посвящение (некоторые выходные узлы делаются имени всяких правозащитников и литераторов-антиутопистов) ). Версию анонсирует вообще любой узел. Это часть протокола. А нехранения ожидать странно - просканить и сохранить может каждый.
> просканить и сохранить может каждыйЭто на здоровье. Но одно дело, когда эта информация что-то значит только пока узел подключён к сети, а при следующем подключении всё полностью генерируется заново и информация о когда-то существовавшем узле не имеет ни смысла ни ценности, а другое дело, когда какая-то актуальная информация об узле сохраняется между его подключениями и позволяет его однозначно идентифицировать (заметьте, что "Разработчики анонимной сети Tor" уверены, что не один узел с устаревшим ПО 800 раз подключался к сети, а в сети присутствуют 800 узлов с устаревшим ПО - т.е. они могут их идентифимцировать).
Вы бы почитали про устройство Tor до того, как комментировать. Exit node не является, и принципиально не может быть анонимным, более того он публичен. Bridge может быть непубличным, но тоже не может быть анонимным. Анонимность - для пользователей и onion-сервисов.
А релеи вполне себе анонимны, но протоколы, которые они используют- конечно же видны.
Повесил у себя тор и всё я не я и трафик не мой это всё пользователи tor дел натворили. Это как у меня есть пистолет но я даю его пострелять неизвестным людям.
А чем в итоге закончилась история с посадкой владельца выходного тор-узла в РФии? Вроде Алексеем его звали.
> А чем в итоге закончилась история с посадкой владельца выходного тор-узла в
> РФии? Вроде Алексеем его звали.Выпустили, вышел и эмигрировал.
> Ну охренеть "анонимность".А причем здесь анонимность? Тор прекрасное средство для обхода всяких блокировок. А как средство для достижения 100%-ной анонимности оно никогда и не было таковым.
> ожидал принципа "никаких реестров, никаких логов"
Опять двадцать пять. Если тебе дядя скажет, что он не ведёт никаких реестрево и никаких логов, ты ему поверишь на слово? С какой стати? По умолчанию надо к миру относится так: "Пишутся все логи, протоколируются все действия".
Эм, притом наверное, что Тор сам себя так позиционирует?
"Circumvent censorship. | Anonymity Online"
"Circumvent censorship. | Anonymity Online"Мало ли что они сами себя так позиционируют... если каждый год появляется по пачке уязвимостей с деанонимизацеий пользователей. Великолепная анонимность. Иди в магазин и купи сливочное масло, там тоже написано - "Из натуральных сливок", а на деле в лабораторных условиях - пальмовое масло. Приятного аппетита.
> каждый год появляется по пачке уязвимостей с деанонимизацеий пользователей.В самом tor? это какие например?
Он наверное про торброузер с включенным JS.
Ключевая фраза - Circumvent censorship. Анонимность у них имеет слегка иной "оттенок".
Тор всегда позиционировался как технология обеспечения анонимности и сокрытия своих действий от силовых структур.
В конце концов, текст новости хотя бы почитай, хотя бы первые пять слов - "Разработчики анонимной сети Tor предупредили".
И тебе продублирую.Мало ли что они сами себя так позиционируют... если каждый год появляется по пачке уязвимостей с деанонимизацеий пользователей. Великолепная анонимность. Иди в магазин и купи сливочное масло, там тоже написано - "Из натуральных сливок", а на деле в лабораторных условиях - пальмовое масло. Приятного аппетита.
> Тор всегда позиционировался как технология обеспечения анонимности
Позиционировался, но как показала практика не всегда таким являлся.
> сокрытия своих действий от силовых структур.
Ещё передавай привет пачке хакеров, которых деанимизировали через Тор и успешно посадили. А также передавай привет площадкам, которые свалили мз Тора в i2p.
> хотя бы почитай
Ещё один. Прочитал. Дальше что? Написано "Из натуральных сливок" - мне верить на слово?
>> сокрытия своих действий от силовых структур.
> Ещё передавай привет пачке хакеров, которых деанимизировали через Тор и успешно посадили. А также передавай привет площадкам, которые свалили мз Тора в i2p.
>> хотя бы почитай
> Ещё один. Прочитал. Дальше что? Написано "Из натуральных сливок" - мне верить на слово?А вот представь если бы хакеры еще бы пальмовое масло в сливочное подмешивали то было бы на кого это дело свалить. И представь подмешивали бы через Tor!
Представил! Ужас! Но мамкиных хакиров с тором и с кали линуксом таким не испугать!
Я не про хакеров. Хакер это специалист высокого класса. А про то что можно отвлечь внимание населения от проблемы пальмового масла в сливочном.
> Ещё передавай привет пачке хакеров, которых деанимизировали через Тор и успешно посадили. А также передавай привет площадкам, которые свалили мз Тора в i2p.Сомневаться в анонимности тора - это одно, но все-таки, хоть одного из этой "пачки" назвать можешь? Вот, чтобы было достоверно известно или с большими подозрениями о том, что они из-за уязвимостей тора были деанонимизированы, а не из-за таких проколов как перепутывание анонимного или обычного e-mail или когда студент из общаги отправил сообщение, которое только студент мог отправить и он единственный кто на момент отправления пользовался тор.
По крайней мере среди публично известных случаев не припоминаю.
Молодец. Всех просветил. И энтузиастов Тора, и скептиков. И тех, кто иногда читает про Тор, и тех, кто знает о нём больше тебя. И тех, кто им пользуется, и тех, кто даже палочкой тыкать брезгует.
Осчастливил, вобщем.
Умничка.
> Тор всегда позиционировался как технология обеспечения анонимности и
> сокрытия своих действий от силовых структур.ага... это только у клоунов он так позиционировался... максимум, что там можно юзать, так это скрытые сервисы и то не всегда из-за ддосов... многие топовые группы давно сидят в дакрнетах по типу инвизибл нета...
> инвизибл нетаЧто это, i2p?
"инвизибл нет"
Кстати, да. В обычном, но глубинном интернете столько всего о чем мы понятия не имеем. Меня знакомый пригласил на один закрытый русский форум, довольно активный, но о котором я слышать не слыхивал. В гугле вообще никаких упоминаний. И ведь живут же в мире люди, которые там общаются. Правда, мне там не понравилось (люди категоричные) и я ушел. Надо было хоть пауком сохранить.
То, что в выдаче Гугла нет упоминаний об этом форуме, не значит, что он не проиндексирован Гуглом.
На заре существования Гугла его уличили в скачивании файлов, помеченных в robots.txt как не подлежащие индексации. Гугл на голубом глазу заявил, что да, скачиваем, анализируем, но выдавать их не будем, потому что уважаем требование владельцев контента, выраженные в robots.txt.
Пруфлинка не будет. Потому что.
А как он туда попадет без аккаунта? Ну вообще-то там были ссылки на чекеры вроде web of trust. Но я адрес уже забыл.
Ддосы летом были.
Тоже интересно, я так понимаю это все же i2p???
Почему сразу i2p. Обычные интернет сайты, закрытые регистрацией.
> инвизибл нетачто за такой)) ??
> Тор всегда позиционировался как технология обеспечения анонимности и сокрытия своих действийДля кого? Для клиента сети tor? Для транзитного узла? Для выходного узла?
Как вы вообще себе представляете например анонимный выходной узел? Каждый час он должен IP менять?
>Тор всегда позиционировался как технология ... сокрытия своих действий от силовых структур.Эт дооо.... А ничего, что главным спонсором его разработки было АНБ?
Тор эти самые "силовые структуры" США и поддерживают, если что. Они содержат очень много узлов и ещё больше jailbait|honeypot страниц.
Ну логи уже зависят от того, кто держит ноду.
TOR это не одноранговая сеть, а, скорее, федеративная.
В новости речь не идёт об обычных пользователях сети (те кто используют TOR с настройками по-умолчанию, всякие TOR-браузеры и т.д.), а о тех кто поддерживает работу сети (релеи).
> Ну охренеть "анонимность".Ну раз так, то давай, деанонимизируй меня 🙄
"Сначала добейся" , "Ты должен меня ломать", "Переши на расте", "Ну раз так, то давай, деанонимизируй меня" 🙄
> "Сначала добейся" , "Ты должен меня ломать", "Переши на расте", "Ну раз
> так, то давай, деанонимизируй меня" 🙄Ну так и скажи "Ой, не могу! Для меня ты, оказывается, анонимен!", а не придумывай отмазки.
Вряд ли он является админом OpenNet-а, и вряд ли у него тонна лишнего времени, чтобы заниматься research-ем каждый раз, когда его пытаются брать на слабо на форуме. Это некорректный аргумент.
> Вряд ли он является админом OpenNet-а, и вряд ли у него тонна лишнего времени, чтобы заниматься research-ем каждый раз,Т.е. админ опеннета может "ресершем" деанонимизировать пользователей Тор? o_O
Чойта гложут меня тени сомнения, что даже без использования Тор тут что-то выйдет. Но у админа есть зацепка в виде мыла (и не-тор-айпишника), а у анонима ее нет.И да, время -- такой же ресурс, как и деньги.
И если "стоимость" деанонимизации превышает возможный "профит", то логично предположить, что "за так" этим никто не будет заниматься. Что и было продемонстрировано на примере анонимов (или, в прошлый раз, похов).> когда его пытаются брать на слабо на форуме. Это некорректный аргумент.
Возможно, стоит более корректно формулировать свое экспер^W умничание (см. удаленные), чтобы не пришлось потом придумывать отмазки про "слабо" и "некорректный аргумент"?
Помимо рептилоидов и мировой закулисы с масонами существует еще куча угроз помельче и там TOR вполне нормальный инструмент (в принципе, везде где стоимость деанонимизации превышает возможную выгоду для деанонимизатора и/или возможные потери для деанонимизированного анонима -- но п-с-с-с-т, это тайные знания!).
>> Вряд ли он является админом OpenNet-а, и вряд ли у него тонна лишнего времени, чтобы заниматься research-ем каждый раз,
> Т.е. админ опеннета может "ресершем" деанонимизировать пользователей Тор? o_OЯ этого и близко не говорил. Я лишь говорил, что ваш аргумент не валиден.
> И да, время -- такой же ресурс, как и деньги.
> И если "стоимость" деанонимизации превышает возможный "профит", то логично предположить,
> что "за так" этим никто не будет заниматься.А какой ему профит вас деанонимизировать? Вы ему на это заплатите годовую зарплату? Просто если деанонимизировать дёшево возможно, то у некоторых больших компаний и служб разведки, вероятно, уже всё налажено. А вот этому анониму нужно будет тратить тонну ресурсов, чтобы наладить этот процесс.
>> когда его пытаются брать на слабо на форуме. Это некорректный аргумент.
> Возможно, стоит более корректно формулировать свое экспер^W умничание (см. удаленные),
> чтобы не пришлось потом придумывать отмазки про "слабо" и "некорректный аргумент"?Какие бы хреновые аргументы не давал опоннент, это не делает ваши аргументы валидными. Если верить Капитану, то ваши аргументы валидны только тогда, когда они сами по себе валидны (а не тогда, когда опоннент тоже сказал фигню). Если видите некорректный аргумент, то адекватной реакцией является объяснение того, почему аргумент невалидный, а не выдумывание своего невалидного аргумента в ответ.
P.S.: Предвкушая ответ всё же немного заранее поясню">>> Вряд ли он является админом OpenNet-а, и вряд ли у него тонна лишнего времени, чтобы заниматься research-ем каждый раз,
>> Т.е. админ опеннета может "ресершем" деанонимизировать пользователей Тор? o_O
> Я этого и близко не говорил. Я лишь говорил, что ваш аргумент
> не валиден.Я имел в виду, что у админа больше инструментов для сбора информации о Вас. Поэтому, конечно же, вопрос деанонимизации валиден только относительно админов (а не простых пользователей).
Но я не имел в виду, что этих инструментов хватит. Я сам не знаю хватит ли их.
>>> Вряд ли он является админом OpenNet-а, и вряд ли у него тонна лишнего времени, чтобы заниматься research-ем каждый раз,
>> Т.е. админ опеннета может "ресершем" деанонимизировать пользователей Тор? o_O
> Я этого и близко не говорил. Я лишь говорил, что ваш аргумент не валиден....
> Какие бы хреновые аргументы не давал опоннент, это не делает ваши аргументы валидными.Я вроде бы нигде не утверждал, что это был аргумент, а не приглашение-намек доказать свои слова действем, раз уж с аргументиками у анонима не вышло, не?
>> И да, время -- такой же ресурс, как и деньги.
>> И если "стоимость" деанонимизации превышает возможный "профит", то логично предположить,
>> что "за так" этим никто не будет заниматься.
> А какой ему профит вас деанонимизировать? Вы ему на это заплатите годовую
> зарплату? Просто если деанонимизировать дёшево возможно, то у некоторых больших компаний
> и служб разведки, вероятно, уже всё налажено. А вот этому анониму
> нужно будет тратить тонну ресурсов, чтобы наладить этот процесс.Поздравляю. Вы только что изложили своими словами смысл вами же процитированного.
И прокапитаню:
Помимо того, что "возможно … все налажено" слишком обобщенно (и опять же, голословно), у "служб" и компаний тоже должен быть какой-то "профит" -- т.е. все упирается в стоимость.
Какой профит может быть в деанонимизации моего комментария на опеннете?
Ну или можно зайти с другой стороны и задаться вопросом: что теряю лично я в этом случае?Если моей целью было остаться одним из анонимов для админа, хостера и посетителей опеннета, то (очевидно) цель была достигнута, если меня при этом "разоблачат" спецслужбы, то я не теряю ничего.
Если бы целью было "остаться в любом случае анонимом", то очевидно, нужны совершенно другие инструменты и подход.> Если верить Капитану, то ваши аргументы валидны только тогда, когда
> они сами по себе валидны (а не тогда, когда опоннент тоже
> сказал фигню). Если видите некорректный аргумент, то адекватной реакцией является объяснение
> того, почему аргумент невалидный, а не выдумывание своего невалидного аргумента в ответ.Это скучно, да и почти бессмыслено -- опыт показывает, что анонимы такого "типажа", почему-то почти не запоминают вежливых разъяснений, зачастуя считая их проявлением слабости и неправоты.
Ну и начиная со второго комментария я, вроде бы, накидал достаточно аргументов, в отличие от (повторюсь -- смотрите в удаленные).
> т.е. все упирается в стоимость.Есть стоимость при начинании с нуля и есть стоимость при уже готовых инструментах. Если человек не занимается такой деанонимизацией профессионально, то ему такая операция обойдётся значительно дороже, чем специальному сотруднику специального подразделения.
> Какой профит может быть в деанонимизации моего комментария на опеннете?
Ну, многие компании и службы хотели бы знать за каким комментарием кто стоит. Для: начиная от безобидных вещей, вроде таргетированной рекламы заканчивая тотальным контролем государства и устранением неугодных неугодных.
Вполне возможно существуют инструменты, делающие деанонимизацию дешёвой и мы просто про это не знаем.
А я как-то ожидал что если человек хотя бы просто рот раскрывает о пригодности или непригодности какой-то системы для обеспечения анонимности, то он это делает не по "я как-то ожидал", а по чёткому пониманию принципа работы системы. Применительно к тору достаточно понимать различие между клиентами и релеями.
Многие сайты брутили себе адреса с красивым началом, релевантным для их задачи, на домашнем компьютере или на кластере, кому что по карману. Некоторое время назад на Хабре промелькнул полностью красивый адрес.Если можно сбрутить красивый адрес, имеющий заказное начало вплоть до всего адреса, то о какой безопасности можно говорить? Если кто-то сбрутит адрес фейсбука или ддг, то обломается - там https поверх onion. Но все остальные, включая сам Tor Project, используют plain http поверх onion.
Вам не кажется всё это странным и подозрительным?
> Если можно сбрутить красивый адрес, имеющий заказное началоНачало можно, но с добавлением каждой следующей желаемой буквы сложность возрастает на порядок (К.О.)
Скачайте, попробуйте, программа называется Scallion.
> вплоть до всего адреса
А вот всего (конкретного заказного) адреса вы обломаетесь, не хватит времени до тепловой смерти вселенной брутфорсить, как говорится. Можно разве что из потока тысяч вариантов генерируемых софтиной выбрать что-то красивое и более-менее подходящее. Например написать скрипт, который в хвосте сгенерированных адресов будет искать случайно попавшиеся словарные слова.
Но ваше беспокойство авторам Tor тоже понятно, поэтому они сейчас внедрили и призывают всех переходить на Hidden Services version 3, с гораздо более длинными адресами. Так что "целиком красивым" адресам придёт конец, очень жаль, надеюсь version 2 таки не отключат, и они останутся.
В version 2 там же RSA1024, не надо такое оставлять.
А какой смысл вообще в этих длинных нечитаемых адресах? Удобства пользователю - ноль.
Для анализа сами-знаете-кем - это вообще не важно. т.к. URL1 != URL2, а уж что там за символы - это пофиг. Что безумная-порка.рф, что 0f9ab30ef4.ololo - всё равно найдут.
> А вот всего (конкретного заказного) адреса вы обломаетесь, не хватит времени до
> тепловой смерти вселенной брутфорсить, как говорится.rutrackerripnext.onion
>Если можно сбрутитьНельзя сбрутить. Это раньше было кране трудно, сейцес же это невозможно с ветки 0.3 - длину адресов сильно увеличили.
"Сбрутить красивый адрес" и "сбрутить конкретный адрес" различаются по необходимой для этого энергии на десятки порядков, если что.
Еще меньше скорости и больше капчи пользователям тора.
Ещё меньше эмодзи и больше systemd/Linux поням
Отключили релизы без закладок? а вы как хотели?
> Например, в настоящее время в сети Tor ещё встречаются даже узлы с Tor 0.2.4.xDebian 7 идёт с ним, и в бэкпортах более нового нет. На седьмом дебиане вполне себе неплохо живётся: Firefox офф. сайта работает, LibreOffice и Java тоже. Crossover вот только не хочет запускаться, требуя Glibc 2.19.
Нормальный способ установки тор - подключение официального репозитория, есть оф репа для дебиан.
Интересно, не знал ) Спасибо
> Debian 7Но зачем? Скорое уже jessie прекратят поддерживать.
systemd хейтер.
> Debian 7Почему сразу не Debian 1? Почему кого-то должно волновать что там идёт в устаревших системах? Почему мы не должны приложить все усилия чтобы сделать жизнь на таких системах невыносимой?
> Почему мы не должны приложить все усилия чтобы сделать жизнь на таких системах невыносимой?Поттеринг и компания уже сделали всё необходимое, чтобы сделать жизнь невыносимой на новых системах. И вы хотите мстить тем, у кого всё хорошо?
> Почему кого-то должно волновать что там идёт в устаревших системах? Почему мы не должны приложить все усилия чтобы сделать жизнь на таких системах невыносимой?Ну, тебя же волнует.
Давайте проведём аналогию между тем, что ты сказал, и игрой Neverball. Последняя версия этой игры, выпущенная в 2019 году, требует OpenGL 1.2, прекрасно работает на GeForce 2, и требует GLIBC 2.3 даже при сборке новым компилятором. Давай задерём системные требования до GoForce 6xx, а Glibc будем требовать 2.31? Спрашивается: зачем игре брать больше ресурсов, чем ей реально нужно? Судя по твоей логике - чтобы жизнь мёдом не казалась. Ведь ты же обновил своё железо - значит и все должны обновить. "Мощности сейчас избыточны, и нет смысла требовать 40 MHz там, где можно требовать 4000 MHz"
Поменять версию и эксплуатировать дальше старую! OSS !
Написали бы сразу АНБ чтоб узлы обновили, а то их отключат.
> Написали бы сразу АНБ чтоб узлы обновили, а то их отключат.Они и написали.
И ВМФ, cia, gchq и всем-всем-всем. Чтоб двараза не вставать.
> Блокировка совершена через размещение на серверах директорий чёрного списка проблемных узловАфигеть анонимность, узлы уникально идентифицируются, сетка напоминает тоталитарную секту, где рулит какой-то Чуко Гек, решающий, кого пускать, а кого - нет...
А вы что хотели, чтобы все узлы стали подставными и принадлежали тов майру?
Ну можно децентрализованное принятие решений.
Как в биткоине предполагалось изначально, только по-настоящему.
Чтобы децентрализованно жевать сопли, а устаревшие и небезопасные ноды работали до скончания века?
Анонимность!
Свобода!
Децентрализаия!Чёрные списки узлов!
Oh Shi~...
> Блокировка совершена через размещение на серверах директорий чёрного списка"Децентрализация" говорили они )
Как-то все странно.