Hogyan működik az onion routing közérthetően
Képzeld el úgy az onion routingot, mint egy postai rendszert, ahol maga a boríték rétegekből épül fel, és minden réteg csak egy meghatározott postahivatalban nyílik. A feladó elkészít egy üzenetet, majd három vagy több lezárt borítékba csomagolja. Minden boríték olyan kézbesítési utasítást hordoz, amelyet csak egyetlen relay tud elolvasni. Egyetlen relay sem látja egyszerre a feladót és a végső célt.
A rétegelt boríték hasonlat
Aki először olvas róla, így képzelheti el: írsz egy levelet, beteszed egy zárható dobozba, majd ezt a dobozt egy másik zárható dobozba helyezed, és ezt megismétled. Minden doboznak más a kulcsa, és minden kulcs egy másik futárszolgálatnál van. Csak a legkülső dobozt címzed az első futárnak. Az a futár kinyitja a külső dobozt, egy kisebb lezárt dobozt talál benne, és lát egy címet, amely megmondja, hová küldje tovább. Soha nem látja az eredeti leveledet, és soha nem tudja meg, hogy a legbelső doboz végül egy bizonyos piactér-szerverhez érkezik.
- LezárásA feladó többször titkosítja az üzenetet, a legbelső réteggel kezdve. Minden titkosítási réteg egy másik relayhez van címezve.
- Első relayAz első relay csak a saját titkosítási rétegét távolítja el. Látja a feladót és a következő relayt, de nem látja a célt vagy az üzenet tartalmát.
- Közbülső relayekMinden relay lefejt egy réteget, majd továbbítja a még titkosított maradékot. Egy közbülső relay csak az előző és a következő ugrást látja.
- Kilépő relayAz utolsó relay eltávolítja az utolsó védőréteget, és elküldi az eredeti üzenetet a céljához. Látja a célt, de nem látja az eredeti feladót.
- VálaszA válaszoknál az út fordítva működik, és az új rétegelt utasításokat az eredeti feladó építi fel.
A kulcstulajdonság a tudás szétválasztása. Az egyik relay tudja, ki küldött valamit; egy másik relay tudja, mit kértek; egy harmadik tudja, hová érkezett. Mivel egyetlen relay sem birtokolja mindhárom tényt, egy vásárló és egy adott piactér-látogatás összekapcsolásához minden ugrást egyszerre kellene feltörni, vagy az út nagy részét ellenőrzés alatt kellene tartani.
Technikai értelemben a TLS-titkosítás a felhasználó és az egyes relayek között működik, míg az onion-rétegek egymásba ágyazott titkosítást adnak ezen a szállításon belül. Egy relay nem tudja elolvasni azt a réteget, amely a következő ugráshoz tartozik. Ez nem arról szól, hogy elrejtse, ha valaki a Tor hálózatot használja; hanem arról, hogy magát az útvonalat nehéz legyen rekonstruálni.
A réteges felépítés megmagyarázza, miért jelentkeznek késések: minden csomagot több relaynek kell visszafejtenie és továbbítania, amelyek mindegyike más országban lehet.
Mit rejt el az onion routing a külső megfigyelők elől
Gyakori kezdő feltételezés, hogy az onion routing általános „láthatatlanná tevő köpenyként” működik, amely mindent elrejt. A gyakorlatban azonban a tényeknek csak egy szűk, meghatározott körét rejti el az útvonallal kapcsolatban — minden más nyomot változatlanul hagy. Gondolj egy leragasztott borítékra: bárki láthatja, hogy levelet adtak fel, és azt is, hogy mikor, de azt már nem, hogy mi áll a belső lapon, és milyen útvonalat járt be a postai rendszerben.
A legfontosabb elrejtett tény a célállomás-összerendelés. Az internetszolgáltatód látja, hogy csatlakoztál a Tor hálózathoz, de azt már nem, hogy végül melyik rejtett szolgáltatást nyitottad meg. Ugyanígy a célállomás anonim áramkörön keresztül érkező kérést lát, nem a te helyi IP-címedet, böngésző-ujjlenyomatodat vagy otthoni hálózatod nevét.
Elrejti
azt, hogy két konkrét végpont össze van kapcsolva
Elrejti
az IP-címedet a végső célállomás elől
Elrejti
a szolgáltatáshasználati mintázatodat az internetszolgáltató elől
Nem rejti el
azt, hogy egyáltalán Tort használsz
Ami a hálózati megfigyelő számára továbbra is olvashatatlan marad, az a tartalom-hozzárendelés: ugyanaz a személy több kérést is küldhet, de a megfigyelő nem tudja bizonyítani, hogy ezek a kérések egyetlen munkamenethez vagy egyetlen piactéri fiókhoz tartoznak. Ez megtöri az összefüggés-keresés legegyszerűbb formáját — a vásárló fizikai tartózkodási helyének egy adott piactéri hirdetéshez kötését.
Magán a piactéri infrastruktúrán az üzemeltetők anonim látogatót látnak, de nem látják a látogató otthoni hálózatát, az IP-cím alapján becsült városát vagy a szolgáltatóját. Ezért válnak a tartós eladói fiókok és a hírnévrendszerek az azonosság helyettesítőjévé: a piactér azt tudja mondani, hogy „ennek a fióknak van előélete”, de azt nem, hogy „ez a fiók ez a személy”.
Az onion routing a kapcsolat útvonalát rejti el, nem pedig azt, hogyan viselkedsz az oldal betöltődése után. Ha egy piactéri űrlapba beírod az otthoni címedet vagy egy máshol is használt nevet, az így rögzített adatokat az útvonal-rejtés egyáltalán nem védi.
Miért választják a piactér-üzemeltetők az onion routingot az infrastruktúrához
A legtöbb hétköznapi weboldal egy nyilvános utcacímmel rendelkező szerveren fut: egy IP, amely bármely megfigyelőnek pontosan megmondja, melyik gép, melyik adatközpontban szolgálja ki az oldalt. Egy piactér üzemeltetője számára ez a cím nem csupán technikai részlet. Ez az első dolog, amit a nyomozók ki kérnek a tárhelyszolgáltatótól, és ez lesz az a fizikai hely, ahová a lefoglaló csapat besétálhat, és kihúzhatja a dugót.
Előtte és utána: látható kirakattól a rejtett bejáratig
| Paraméter | Nyilvános webszerver | Onion rejtett szolgáltatás |
|---|---|---|
| Szerver helye | DNS-ből és IP-ből felderíthető | Az onion címen keresztül nem derül ki ;; Leállítási útvonal | A tárhelyszolgáltató jogi megkeresést kap | Nincs központi hoszt, amelyet értesíteni lehetne ;; Fizikai lefoglalás | A csapat megtalálja a bérelt gépet | A gép címe ismeretlen marad ;; Azonosítási lánc | IP → számlázási adat → üzemeltető | Eltávolítva a kérés útvonalából |
Az onion útválasztás előtt egy piactér eltávolítása egyetlen gép és egyetlen szolgáltató megtalálását jelentette. Az onion útválasztás után az „oldal” egy szolgáltatásazonosítóvá válik, amelyhez nincs automatikus térkép egy fizikai dobozhoz. A nyomozók továbbra is nyomozhatnak, de nem kezdhetik azzal, hogy leolvasnak egy nyilvános címcímkét a csomagról.
Miért változtatja ez meg az üzemeltető kockázatát
A rejtett szolgáltatás infrastrukturális távolságot ad az üzemeltetőnek. A szerver átköltöztethető egyik bérelt gépről a másikra anélkül, hogy a piactér .onion címe megváltozna. A piactér neve stabil marad; az alatta lévő hardver nem. Ez a szétválasztás a régi leállítási modellt — egy rack lefoglalása, egy domain megölése — jóval kevésbé hatékonnyá teszi.
Nincs szolgáltatói kapcsolat
A tárhelycégek nincsenek az útvonalban, és nem kapnak egyszerű, az onion névhez köthető jogi megkeresést
Gépek áthelyezhetősége
Ugyanaz az onion cím más fizikai dobozra mutathat az újratelepítés után
Csökkentett nyilvános lábnyom
A napi működéshez már nem szükséges adatközponti IP-t hirdetni
Ugyanez a logika érvényes a tükrökre és a kulcsfontosságú infrastruktúrára: ha több gép futtatja ugyanazt a rejtett szolgáltatási logikát, egy eltávolítása nem feltétlenül némítja el a piacteret. A redundancia szerkezeti. A piactér egy kulcspár és címek halmaza, nem egyetlen rack egyetlen városban.
Ne olvasd a „rejtett infrastruktúrát” úgy, mint „felfedhetetlen infrastruktúrát”. Elrejti a címszintű kitettséget, és megemeli a fizikai leállítás költségét, de nem teszi az üzemeltetőt láthatatlanná a nyomozás minden formája előtt.
Az üzemeltetők továbbra is nyomokat hagynak a fizetési folyamatokon, a fórumos írásstíluson, a szoftverhibákon és az emberi mulasztásokon keresztül. Az onion útválasztás eltávolít egy jelentős felderítési útvonalat; soha nem távolítja el mindegyiket.
Mitől nem véd meg az onion routing
Az onion routing csak az eszközöd és egy szerver közötti útvonalat rejti el. Egy gondatlan műveletet nem tesz biztonságossá. Egy nem megbízható chatüzenetben vagy keresési találatban kapott piactéri URL adathalász tüköroldalra mutathat, amely pontosan ugyanúgy néz ki, de a bejelentkezési adatokat támadónak küldi el. Az onion routing örömmel anonimizálja a kapcsolatodat a rossz célállomáshoz.
A kártevő egy másik határ. Ha egy eszközön már fut billentyűzetnaplózó, képernyőrögzítő vagy távoli hozzáférésű eszköz, a Tor hálózat nem tudja megakadályozni, hogy az a szoftver lássa, mit gépel vagy mire kattint a felhasználó. Az adatvédelmi réteg az eszköz alatt helyezkedik el, nem pedig benne.
A fizetési viselkedés a hálózati rétegen kívül hagy nyomokat. Az onion routing útvonala lehet tökéletes, miközben a tárca feltöltésének módja, a használt váltó vagy egy tranzakció kimeneteinek mintázata kereskedelmileg hasznos információt fed fel. A hálózati anonimitás és a pénzügyi anonimitás különálló problémák.
Az eladói szintű nyomon követés más szabályt követ. Annak az eladónak, aki fizikai árut szállít, címre van szüksége. Ha a csomagolás, a kézírás, a visszaküldési adatok vagy az ismétlődő rendelési szokások mintázatot hoznak létre, az a mintázat attól függetlenül létezik, hogy a rendelés hogyan jutott el a piactér oldalára.
Kezeld az onion routingot útálcázásként, ne testpáncélként. Azt rejti el, honnan vezet egy autó, de azt nem, mi van az autóban, mit gépel a sofőr egy megállóban, vagy mi van ráírva az ajtó előtt hagyott csomagra.
- Adathalász tüköroldal
- Egy piactéri bejelentkező oldal hamis másolata, amely arra szolgál, hogy ellopja a belépési adatokat azoktól a látogatóktól, akik nem tudják megkülönböztetni a valódi címtől
- Billentyűzetnaplózó
- Olyan szoftver, amely rögzíti a billentyűleütéseket egy eszközön, függetlenül attól, hogy a felhasználó később melyik hálózati útvonalat választja
- Fizetési nyomvonal
- A tárcamozgások és tőzsdei interakciók látható sorozata, amely akkor is megmarad, ha a böngészési útvonal anonimizált
A leggyakoribb hiba nem az onion routing protokoll elleni támadás. Hanem az, hogy a felhasználó nem ellenőrzött forrásból származó rossz oldalhoz csatlakozik, vagy olyan eszközt használ, amely már fertőzött.
Az adatvédelem helyes használata: gyakorlati tudnivalók kezdőknek
A hagymázatos irányításból származó adatvédelem csak akkor működik, ha az olvasó szállítási rétegként kezeli, nem pedig személyes pajzsként. A hálózat azt rejti el, hol lép be a forgalom és hol lép ki, de nem tudja kijavítani azokat a hibákat, amelyek a kapcsolat létrejötte előtt vagy annak megszűnése után történtek. Hasznos hasonlat a lezárt vasúti alagút: az alagút elrejti a vonatot, amíg az belül van, de nem rejti el, ki vette meg a jegyet, milyen rakományt raktak fel, vagy merre sétál az utas, miután elhagyta az állomást.
From Network Privacy to Behavioral Privacy
A helyes gondolati sorrend a következő: először ismerd fel a valódi címet, csak azután kapcsolódj, majd cselekedj úgy, mintha minden művelet látható lenne a titkosított útvonalon kívül. A helyes onion-cím értelmetlen, ha a felhasználó nem ellenőrzött forrásból szerzi be, mert egy kicserélt cím olyan kiszolgálóhoz vezethet, amely azonosnak látszik, de mindent rögzít. Úgy kezeld a címet, ahogy a fizikai kulcsot kezeli az ember: véletlenszerű fórumbejegyzésből kimásolni olyan, mintha idegentől fogadnánk el kulcsot az ajtó közelében.
- Onion address
- hosszú, nem megjegyezhető,
.onionvégződésű állomásnév, amely kizárólag a hagymázatos irányítás hálózatán belül azonosít egy szolgáltatást - Exit node
- az utolsó közvetítő, ahol a forgalom kilép a titkosított hálózatból, hogy elérjen egy hagyományos kiszolgálót; a célt látja, de a forrás IP-címét nem, ha az áramkör a tervezett módon működik
- Correlation attack
- olyan kísérlet, amely két pont között a forgalom időzítését vagy mennyiségét próbálja összekapcsolni; a hagymázatos irányítás ezt csökkenti, de nem szünteti meg, ha a megfigyelő mindkét végpontot látja
A kapcsolat létrejötte után a hálózaton kívüli valamennyi szokás fontosabbá válik, mint maga a titkosítás. Ugyanazon felhasználónév újrafelhasználása, helyi időzóna említése vagy ismert tőzsdéhez köthető címről történő pénzküldés erodálja azt a névtelenséget, amelyet az irányítási réteg biztosít. Az irányítás az alagutat védi, nem az alagút két végén álló személyt.
What First-Time Readers Should Not Assume
A legveszélyesebb feltételezés az, hogy a zöld lakat, a rejtett szolgáltatás címe vagy a sikeres kapcsolat azt jelenti, hogy a másik fél őszinte. A hagymázatos irányítás a tartózkodási helyet rejti el, nem a hírnevet és nem a szándékot. Egy piactér üzemeltethet érvényes onion-szolgáltatást, és mégis megtagadhatja a letét kiadását, saját kiszolgálóján naplózhat minden interakciót, vagy eltűnhet a pénzzel.
Mielőtt bármilyen maradandó nyomot hagyó műveletbe kezdesz, kérdezd meg, hogyan nézne ki az a nyom annak a megfigyelőnek, aki a hálózati belépést és a későbbi, arról szóló beszélgetést is látja.
Ne kezeld a hibaüzenet hiányát a biztonság bizonyítékaként: a hálózat megfelelően működhet, miközben a felhasználó rossz személlyel beszél.
A gyakorlati küszöb tehát szűk. Használj ellenőrzött címeket, a titkosított útvonalat tartsd elkülönítve a hétköznapi böngészéstől, kerüld az azonosítók vagy fizetési nyomok újrafelhasználását, és kezelj minden üzenetet úgy, mintha túlélné a munkamenetet. A hagymázatos irányítás nem láthatatlanságot ad, hanem megfigyelhető szélek szűkebb halmazát; a fennmaradó felület a felhasználó ellenőrzése alatt marad.
Gyakori kérdések
A hagymaútvonalas böngészés teljesen anonimmá teszi a darknet piacot a vevők és az eladók számára?
Nem. Az onion routing elrejti a hálózati útvonalat és a felhasználó és az oldal közötti kapcsolatot, de senki nem válik azonosíthatatlanná attól, ha belép egy személyes fiókba, újrahasznál egy ismert felhasználónevet, vagy nyomon követhető csatornán küld fizetést. A szállítási réteget védi, nem a tartalmat vagy a felhasználó működési szokásait.
Pontosan mit lát egy külső megfigyelő, amikor valaki onion routingon keresztül felkeres egy piacot?
Egy megfigyelő, például az internetszolgáltató, csak azt látja, hogy a felhasználó a Tor hálózathoz csatlakozott, azt nem, hogy melyik onion szolgáltatást keresi fel. A piac üzemeltetője azt látja, hogy látogató érkezett, de a látogató valódi IP-címét nem. Az üzemeltető azonban továbbra is lát minden olyan információt, amelyet a látogató önként megad, például egy üzenetet, rendelési adatokat vagy bejelentkezési nevet.
Miért onion szolgáltatásként üzemeltetik a piacok a infrastruktúrájukat a hagyományos weboldalak helyett?
Az onion szolgáltatások lehetővé teszik az üzemeltetők számára, hogy látogatókat fogadjanak anélkül, hogy felfednék a szerver valódi IP-címét vagy fizikai tárhelyének helyét. Ez csökkenti a gyors leállítás kockázatát, blokkolja a hálózati szintű megfigyelés számos formáját, és a piac akkor is elérhető marad, ha egy clearnet domaint lefoglalnak vagy blokkolnak. A kitettséget a hálózati rétegről az üzemeltetési biztonságra és a szoftverkonfigurációra helyezi át.
Melyek a legnagyobb adatvédelmi hibák, amelyeket egy első alkalommal olvasónak kerülnie kell az onion routing használatakor?
Ne használjon újra neveket, e-mail-címeket vagy jelszavakat a hétköznapi életéből, és ne kapcsolja ki a Tor böngésző beállításait, és ne telepítsen extra bővítményeket. Kerülje az idegenek által küldött fájlok letöltését, és soha ne nyissa meg azokat biztonságos, elkülönített környezeten kívül. Az onion routing elrejti, honnan csatlakozik, de nem menti meg a kártevőktől, az emberi hibától vagy attól, hogy azonosító adatokat ad meg egyszerű szövegben.