Dlaczego rynki darknetu używają routingu cebulowego i jak chroni on użytkowników

Wyobraź sobie routing cebulowy jako system pocztowy, w którym sama koperta jest zbudowana warstwowo, a każda warstwa otwiera się dopiero na konkretnej poczcie. Nadawca przygotowuje wiadomość, a następnie pakuje ją w trzy lub więcej zapieczętowanych kopert. Każda koperta zawiera instrukcję doręczenia, którą może odczytać tylko jeden przekaźnik. Żaden pojedynczy przekaźnik nigdy nie widzi jednocześnie nadawcy i ostatecznego miejsca przeznaczenia.

Analogia warstwowej koperty

Czytelnik, który spotyka się z tym po raz pierwszy, może to sobie wyobrazić tak: piszesz list, wkładasz go do skrzynki zamykanej na klucz, potem umieszczasz tę skrzynkę w drugiej skrzynce na klucz i powtarzasz cały proces. Każda skrzynka ma inny klucz, a każdy klucz znajduje się u innej firmy kurierskiej. Adresujesz tylko najbardziej zewnętrzne pudełko do pierwszego kuriera. Kurier otwiera zewnętrzne pudełko, znajduje w środku mniejszą zamkniętą skrzynkę i widzi adres, pod który ma ją wysłać dalej. Nigdy nie widzi twojego oryginalnego listu i nigdy nie dowiaduje się, że najbardziej wewnętrzna skrzynka trafi ostatecznie do konkretnego serwera marketplace.

1. PieczętowanieNadawca szyfruje wiadomość kilkukrotnie, zaczynając od najbardziej wewnętrznej warstwy. Każda warstwa szyfrowania jest zaadresowana do innego przekaźnika.
2. Pierwszy przekaźnikPierwszy przekaźnik zdejmuje tylko swoją własną warstwę szyfrowania. Widzi nadawcę i następny przekaźnik, ale nie widzi miejsca docelowego ani treści wiadomości.
3. Przekaźniki pośrednieKażdy przekaźnik zdejmuje jedną warstwę, a następnie przekazuje dalej wciąż zaszyfrowaną resztę. Przekaźnik pośredni widzi tylko poprzedni i następny przeskok.
4. Przekaźnik wyjściowyOstatni przekaźnik zdejmuje ostatnią warstwę ochronną i wysyła oryginalną wiadomość do miejsca docelowego. Widzi miejsce docelowe, ale nie widzi pierwotnego nadawcy.
5. OdpowiedźTrasa działa w odwrotnym kierunku w przypadku odpowiedzi, a nowe warstwowe instrukcje buduje pierwotny nadawca.

Kluczową właściwością jest rozdzielenie wiedzy. Jeden przekaźnik wie, kto coś wysłał; inny przekaźnik wie, o co poproszono; trzeci wie, dokąd to dotarło. Ponieważ żaden pojedynczy przekaźnik nie ma wszystkich trzech informacji, powiązanie kupującego z konkretną wizytą na marketplace wymaga jednoczesnego złamania każdego przeskoku albo kontrolowania większości trasy.

W ujęciu technicznym szyfrowanie TLS działa między użytkownikiem a każdym przekaźnikiem, natomiast warstwy cebulowe zapewniają zagnieżdżone szyfrowanie wewnątrz tego transportu. Przekaźnik nie może odczytać warstwy należącej do następnego przeskoku. Nie chodzi tu o ukrywanie faktu, że ktoś korzysta z sieci Tor; chodzi o to, aby sama trasa była trudna do zrekonstruowania.

Częstym założeniem początkujących jest to, że routing cebulowy działa jak ogólna „peleryna” ukrywająca wszystko. W praktyce ukrywa on konkretny, wąski zestaw faktów dotyczących trasowania — a pozostałe ślady pozostawia bez zmian. Wyobraź sobie zaklejoną kopertę: każdy widzi, że list został wysłany i kiedy, ale nie zna nazwiska na kartce w środku ani pełnej trasy, jaką przebył przez system pocztowy.

Najważniejszym ukrywanym faktem jest powiązanie z miejscem docelowym. Twój dostawca internetu widzi, że połączyłeś się z siecią Tor, ale nie widzi, którą usługę ukrytą ostatecznie otworzyłeś. Podobnie miejsce docelowe widzi żądanie przychodzące przez anonimowy obwód, a nie Twój lokalny adres IP, odcisk palca przeglądarki ani nazwę sieci domowej.

• Ukrywa

  to, że dwa konkretne punkty końcowe są połączone

• Ukrywa

  Twój adres IP przed miejscem docelowym

• Ukrywa

  wzorzec korzystania z usług przed dostawcą internetu

• Nie ukrywa

  tego, że w ogóle korzystasz z Tora

Tym, co pozostaje nieczytelne dla obserwatora sieci, jest mapowanie treści: ta sama osoba może wysłać kilka żądań, ale obserwator nie może udowodnić, że należą one do jednej sesji lub jednego konta na rynku. To uniemożliwia najprostszą formę korelacji — powiązanie fizycznej lokalizacji kupującego z konkretną ofertą na rynku.

Na samej infrastrukturze rynku operatorzy widzą anonimowego gościa, ale nie widzą jego sieci domowej, przybliżonego miasta na podstawie adresu IP ani dostawcy. Dlatego trwałe konta sprzedawców i systemy reputacji stają się namiastką tożsamości: rynek może powiedzieć „to konto ma historię”, ale nie może powiedzieć „to konto to ta osoba”.

Większość zwykłych stron internetowych stoi na serwerze z publicznym adresem widocznym jak numer na drzwiach: IP, które mówi każdemu obserwatorowi, która dokładnie maszyna w którym centrum danych obsługuje daną stronę. Dla operatora marketplace’u ten adres to nie tylko szczegół techniczny. To pierwsza rzecz, o którą śledczy proszą dostawcę hostingu, i fizyczne miejsce, do którego może wejść ekipa przejmująca sprzęt i wyciągnąć wtyczkę.

Przed i po: od widocznej witryny do ukrytego wejścia

Przed routingiem onion usunięcie marketplace’u oznaczało znalezienie jednej maszyny i jednego dostawcy. Po wdrożeniu routingu onion „strona” staje się identyfikatorem usługi bez automatycznego powiązania z fizyczną skrzynką. Śledczy nadal mogą prowadzić dochodzenie, ale nie mogą zacząć od odczytania publicznej etykiety z adresem z paczki.

Dlaczego zmienia to ryzyko operatora

Ukryta usługa daje operatorowi dystans infrastrukturalny. Serwer można przenieść z jednej wynajętej maszyny na inną bez zmiany adresu .onion marketplace’u. Nazwa marketplace’u pozostaje stabilna; sprzęt pod spodem — nie. To oddzielenie sprawia, że stary model przejmowania — zająć jedną szafę, zabić jedną domenę — staje się znacznie mniej skuteczny.

• Brak kontaktu z dostawcą

  Firmy hostingowe nie znajdują się na ścieżce i nie otrzymują prostego wezwania prawnego powiązanego z nazwą onion

• Możliwość przenoszenia maszyny

  Ten sam adres onion może wskazywać na inną fizyczną skrzynkę po ponownym wdrożeniu

• Mniejszy ślad publiczny

  Codzienna działalność nie wymaga już ujawniania IP centrum danych

Ta sama logika dotyczy serwerów lustrzanych i kluczowej infrastruktury: jeśli kilka maszyn obsługuje logikę tej samej ukrytej usługi, usunięcie jednej niekoniecznie ucisza marketplace. Redundancja ma charakter strukturalny. Marketplace to para kluczy i zestaw adresów, a nie pojedyncza szafa w jednym mieście.

Routing cebulowy ukrywa jedynie ścieżkę między Twoim urządzeniem a serwerem. Nie zamienia nieostrożnego działania w bezpieczne. Adres URL marketu otrzymany przez niezaufany czat lub wynik wyszukiwania może prowadzić do lustrzanej strony phishingowej, która wygląda identycznie, ale wysyła dane logowania atakującemu. Routing cebulowy chętnie zanonimizuje Twoje połączenie z niewłaściwym adresem docelowym.

Złośliwe oprogramowanie to kolejna granica. Jeśli na urządzeniu działa już keylogger, rejestrator ekranu lub narzędzie zdalnego dostępu, sieć Tor nie powstrzyma tego oprogramowania przed widzeniem, co użytkownik pisze lub klika. Warstwa prywatności znajduje się poniżej urządzenia, a nie wewnątrz niego.

Sposób płatności pozostawia ślady poza warstwą sieciową. Ścieżka routingu cebulowego może być doskonała, a mimo to metoda zasilania portfela, użyta giełda lub wzorzec wyjść w transakcji ujawniają informacje przydatne komercyjnie. Anonimowość sieciowa i anonimowość finansowa to osobne problemy.

Śledzenie na poziomie sprzedawcy podlega innej zasadzie. Sprzedawca wysyłający fizyczne towary potrzebuje adresu. Jeśli opakowanie, charakter pisma, dane zwrotne lub powtarzające się nawyki zamawiania tworzą wzorzec, ten wzorzec istnieje niezależnie od tego, jak zamówienie dotarło na stronę marketu.

Lustrzana strona phishingowa

Fałszywa kopia strony logowania marketu zaprojektowana, aby wykradać dane uwierzytelniające od odwiedzających, którzy nie potrafią odróżnić jej od prawdziwego adresu

Keylogger

Oprogramowanie rejestrujące naciśnięcia klawiszy na urządzeniu, niezależnie od tego, jaką ścieżkę sieciową użytkownik później wybierze

Ślad płatności

Widoczna sekwencja ruchów portfela i interakcji z giełdami, która pozostaje nawet wtedy, gdy ścieżka przeglądania jest zanonimizowana

Prywatność wynikająca z trasowania cebulowego działa tylko wtedy, gdy czytelnik traktuje je jako warstwę transportową, a nie osobistą tarczę. Sieć ukrywa to, gdzie wchodzi ruch i gdzie go opuszcza, ale nie może naprawić błędów popełnionych przed nawiązaniem połączenia ani po jego zakończeniu. Przydatna analogia to zamknięty tunel kolejowy: tunel zasłania pociąg, gdy ten jest w środku, ale nie tego, kto kupił bilet, jaki ładunek załadowano ani dokąd pasażer idzie po wyjściu ze stacji.

Od prywatności sieciowej do prywatności behawioralnej

Prawidłowa kolejność myślenia to: najpierw rozpoznaj prawdziwy adres, potem połącz się, a następnie działaj tak, jakby każde działanie poza szyfrowaną ścieżką było widoczne. Poprawny adres cebulowy nie ma znaczenia, jeśli użytkownik pozyska go z niezweryfikowanego źródła, ponieważ podstawiony adres może prowadzić do serwera, który wygląda identycznie, ale zapisuje wszystko. Traktuj adres tak, jak traktuje się fizyczny klucz: kopiowanie go z losowego wpisu na forum to jak przyjęcie klucza od nieznajomego stojącego przy drzwiach.

Adres cebulowy

długa, niemożliwa do zapamiętania nazwa hosta zakończona na .onion, która identyfikuje usługę wyłącznie wewnątrz sieci trasowania cebulowego

Węzeł wyjściowy

ostatni przekaźnik, przez który ruch opuszcza zaszyfrowaną sieć, aby dotrzeć do zwykłego serwera; widzi cel, ale nie źródłowy adres IP, jeśli obwód działa zgodnie z projektem

Atak korelacyjny

próba powiązania czasu lub wielkości ruchu między dwoma punktami, którą trasowanie cebulowe ogranicza, ale nie eliminuje, gdy obserwator widzi oba końce

Po nawiązaniu połączenia każdy nawyk poza siecią staje się ważniejszy niż samo szyfrowanie. Ponowne używanie tej samej nazwy użytkownika, wspominanie o lokalnej strefie czasowej lub wysyłanie środków z adresu powiązanego ze znaną giełdą osłabia anonimowość, którą zapewnia warstwa trasowania. Trasowanie chroni tunel, a nie osobę stojącą na którymkolwiek z jego końców.

Czego początkujący czytelnicy nie powinni zakładać

Najbardziej niebezpieczne jest założenie, że zielona kłódka, adres usługi ukrytej lub udane połączenie oznaczają, że druga strona jest uczciwa. Trasowanie cebulowe ukrywa lokalizację, nie reputację i nie intencje. Serwis może prowadzić poprawną usługę cebulową i mimo to odmówić wypłaty z depozytu, zapisywać każdą interakcję na własnym serwerze albo zniknąć ze środkami.

Praktyczny próg jest zatem wąski. Używaj zweryfikowanych adresów, trzymaj zaszyfrowaną ścieżkę oddzielnie od zwykłego przeglądania, unikaj ponownego używania identyfikatorów i śladów płatności oraz traktuj każdą wiadomość tak, jakby miała przetrwać sesję. To, co daje trasowanie cebulowe, to nie niewidzialność, lecz mniejszy zbiór obserwowalnych krawędzi; reszta powierzchni pozostaje pod kontrolą użytkownika.