Инструкция для чайников. Криптоанонимный IM TorChat

С Андроид можно как-то связаться с пользователем Torchat? Непонятно как совместить софт на ПК с софтом на планшетах и телефонах.

Где афтор? Куда делся его бессмертный труд:
Размещать свои труды на сторонних сайтах – это давно признано тупизмом: сторонняя файлопомойка со временем удаляет заливки, афтор куда-то сливается – и сосите лапу, господа.
Поэтому этот топик не имеет смысла, можно удалить.

Давно установил TorChat на своем Дебе, но не использовал, не было подходящего случая.
Сегодня такой случай подвернулся, и ... я был ошарашен результатом: мы не смогли даже законнектиться :(
Вернее сказать, это TorChat-ы не законнектились, это их работа.
От нас же только требовалось запустить их и ввести в них перекрестно наши контакты.

TorChat-ы у нас запускаются, через минутку наши собственные аки "зеленеют", т.е. коннект сетью Tor обеспечивается стабильно.
Но мы не "видим" друг друга: аки собеседника упорно остаются неактивными – серыми.

У одного из нас TorChat 0.9.9.550 (svn: r550) на Дебе,
у другого TorChat 0.9.9.553 (svn: r553) на Win7

Сама программа в использовании проще некуда, даже проще аськи, но – не работает как надо :(

Что мы делаем не так?

Не так вы делаете то, что используете торчат. Он не нужен. Читайте форум.

Оп-па.. где читать что нужно?

Ага. Явление непризнанного гения народу :) Все до него говорили, что можно и нужно, и вот ОН ПРИШЕЛ, и раскрыл глаза темному забудшему народу :)))

TorChat'оподобный сервис нужен, но не такой, как TorChat, ибо есть претензии [1]. Имеется p2p IM поверх Tor в виде чата в OnionPhone [2], но этому решению надо бы пройти аудит кода как людьми, так и временем. Есть ещё одно кажущееся перспективным направление, pond [3], [4], но до какой степени у него доставка сообщений в реальном времени — я так и не понял. Возможно, он просто M, а не IM. Ещё в народе последнее время очень моден стал Tox, все о нём говорят, но с анонимностью он не дружит [5].

Из всего сказано вывод какой? Torchat не наш путь, а мы должны пользоваться... а альтернатива то такая же.
pond – не торт
tox – не айс
onionphone – не съедобный, он для "позвонить".

От чего ушли к тому пришли.
Но точка зрения ясна.

т.е.:

То он был на питоне, то его забросили, то возобновили, то хотели делать на свободных аналогах визуал бэйсика и дельфи (Lazarus? Free Pascal?), то форкнули на плюсах, а теперь делают на Java. Там в архивах хотя бы электронные подписи есть? И торпроджект этот многострадальный проект как-то никогда не рекомендовал.

И это все "притензии"? Круто, нечего сказать! Тогда почему-бы не предъявить такие же притензии к Linux, он же тоже представлен сотней вариаций дистрибутивов?
Неча множится – нада сделать один единый дистр! Как например, уиндовс!

Раз TorChat имеет несколько вариантов, значит, развивается, автор (или авторы) совершенствуют его, ищут после пилотного проекта более подходящие реализации.
Насчет подписей – посмотрите, например, сколько плагинов имеют подписи для Фокса. Будут много пользователей – появятся и подписи.
Короче, эти "притензии" блеяние ни о чем.

Поэтому вопрос тот же – у кого работает TorChat и какие версии?

Так никто не переписывает Linux на java или бейсике, разные дистры — это разные сборки одних и тех же сорсов + обвеска (управление пакетами). Я уже не говорю о том, что сравнивать таких монстров, как полноценные операционные системы, за которыми стоят сотни людей, с программой-чатом не очень осмысленно.


Вы заслушали речь ура-патриота TorChat'а.


Плагинов — мало, но за них ручается mozilla. С прикладным софтом в Linux точно так же: ручается мейнтейнер. Однако, если мы говорим о security/privacy critical софте, то отсутствие подписей говорит о том, что автор ламер, т.к. такой софт должны писать только те, кто понимает нюансы ИБ. Зачем доверяться ламерскому софту? Кстати, даже если делать XMPP для onion-джабберов, эта проблема не исчезает: авторы не подписывают софт jabber-клиентов, приходится доверять мейнтейнерам.


Жги, ура-патриот, повесели нас ещё чем-нибудь.


Идеала нет и неизвестно, будет ли он в обозримом будущем. p2p поверх Tor HS — хороший антицензурный механизм, но с безопасностью это наоборот большая дыра, т.к. всех клиентов превращает в сервера. Альтернатива — джаббер-серверы в onion. Плюсы и минусы, думаю, понятны.

TorChat берёт массовостью, идёт по стопам аськи. Плохой, ужасный, но есть у большинства обитателей onion-ресурсов в качестве предпочитаемого способа связи. Всем остальным придётся подстраиваться или поднимать транспорты из своих сетей в TorChat (как это было с jabber ICQ transport и другими).

Ладно, считайте, что мы достаточно попинались, а дальше-то что?
Вам не нравится нынешнее состояние Торчата? Положим, что и мне оно не слишком нравится.
Но зато мне нравится его продуманный удобный и минималистичный интерфейс.
Что там внутри его, вам, похоже, виднее. Но Jabber-онионы мне нравится еще меньше, поскольку используется третий, в принципе не асболютно надежный участник-сервер, и вообще, схема связей усложняется.
В TorChat же используются только p2p связи, без посредников, что гораздо надежнее – и это плюсуется к его интерфейсу.
Подобные программы, похоже, есть, но еще менее впечатляющие.
Надеюсь, автор TorChat еще проявит себя и продолжит его совершенствовать, особенно если ему подбросить пожертвования, что и собираюсь сделать. Если вы, конечно, не отговорите убедительными контраргументами.

Хмм.. такая штука. В wheezy сабж устанавливается с основного репозитория. Кто его туда ненадежного запихал?

Если с gpg шифрованием (psi+ + tor + gpg), то выбор сервера сводится, по большому счету, к надежности/отказоустойчивости.

Поактивней шел бы, а то такой несовершенный и для несовершенного Андроида никак не запилят. Минус на минус даст плюс – 220%.

Не знаю, как этому отнестись. С одной стороны, еще неизвестно, какие дыры могут быть в неподконтрольных вам Jabber-серверам, и могут быть даже не дыры, а вполне целевые закладки.
Зато "торчатовский сервер" на вашем компьютере принадлежит только вам, и вы о нем будете заботиться (своевременно обновлять и т.п.)
С другой стороны непонятно, влияет ли дыра у какого-то нерадивого торчатовского юзера на безопасность остальных юзеров. Если влияет – тогда да, полная #опа, получится коллективная безопасность, вернее, опасность, от одного лоха, подставившего сразу всех торчатовцев.

Гость, ты тупой как пень. Пользуйся своим торчатом, кого и в чем ты пытаешься переубедить? Сравнивать торчат с линуксом – верх идиотизма.

Интерфейс — штука, ортогональная ко всему остальному.


Да ладно? Расскажите ещё мне, как быть с посылкой сообщений в оффлайн. Я к этому привык и считаю такую фичу очень удобной. Мне не охота караулить, когда каждый контакт появится в сети, или лезть в почту ради посылки незначимых сообщений из нескольких слов. Что касается интерфейса, я считаю приемлемыми и относительно удобными такие интерфейсы: pond, tor-arm, irssi, mcabber, mutt, jabber-el. А всё оконное — это вообще не в тему.

Как вообще по уму пишется проект? Создаётся документация, спецификации, научная статья, где всё описывается, обосновывается, возможно, даже тестовая реализация обкатывается... потом это всё представляют на тематической конференции. Так создаётся хороший годный академический проект. Даже если не требовать так много от кулхакеров, ну пусть напишут хотя бы статью со всем и вся, как могут, и предоставлят спеки. На XMPP спеки есть, даже на Skype API есть, поэтому любой программист может их изучить и написать свою реализацию клиента╱сервера для этих протоколов. Покажите мне официальную спецификацию на TorChat. Или «спеки на код — это сам код»? Вы, наверно, знаете протокол, где было именно так. Это OSCAR. Слышали о нём? Больше не услышите. Хорошее назидание всем остальным.

Когда gegel начал гнать кулхацкерство мы вдвоём с unknown'ом его-таки принудили написать статью с формальным описанием, причём в LaTeX. Gegel сопротивлялся, но подчинился. По TorChat'у есть хотя бы такой же набросок статьи, как по OnionPhone'у?

У TorChat'оподобного решения есть своя ниша, я её вижу так:

1. Контакты только со своими, кому полностью доверяешь.
2. Контакты без возможности слать сообщения в оффлайн.

Чтобы всё было хорошо, ID клиентов (их onion-адреса) надо добавлять в torrc как HiddenServiceAuthorizeClient.


Это не показатель. Аська тоже была во многих репах, и что с того? i2p наверняка там же.


Список контактов, времена выхода их в онлайн-оффлайн, интенсивность обмена сообщениями — всё это будет доступно третьей стороне.


Немного о фактах:

1. Список всех TorChat ID (как и список всех onion-адресов) выцепляется из снифа на HSDir'ах. Многие такие обновляемые списки уже публикуют онлайн, не раз приводились ссылки. Грубо говоря, любой может знать, оффлайн вы или онлайн в каждый момент времени — раз, любой может попытаться с вами соединиться или атаковать сам ваш запущенный TorChat — два.
2. Противник, зная ваш TorChat ID, может инициировать трафик к вашему TorChat'у и прочим образом атаковать это приложение. В случае с XMPP он это тоже может делать, но будет ограничен рамками XMPP-протокола и тем, что он у вас — неавторизованный контакт (поэтому даже не сможет определить, онлайн вы в какой-то момент или оффлайн).
3. Анонимность HS не так высока как анонимность клиентов HS. Поэтому противнику, знающему ваш TorChat ID будет намного легче вычислить ваш IP по сравнению с тем случаем, когда он знает только ваш аккаунт на каком-нибудь XMPP-сервере в Tor.

Вопрос о замене TorChat'а время от времени обсуждался, но ничего хорошего не видно. Можно сделать приложение, которое будет из всех клментов делать XMPP-сервера в onion, но трафик между этими серверами не будет ходить из-за специфических требований к DNS. Это в некоторых случаях фиксится грязными хаками, но насколько они применимы на текущий день — большой вопрос. Можно сделать из каждого клиента IRC-сервер в onion. Он вроде более дружественен к DNS, поэтому соединения должны бы работать, но всё равно громоздко выходит, да и штатной поддержки OTR/PGP в IRC (как в XMPP) для подстраховки нет.

Свой первый джаббер-контакт я зарегистрировал 10 лет назад. Последние 9 из них время от времени возникали обсуждения на тему того, каким должен быть IM, чтобы всё было хорошо. Я вам скажу, что простого решения этой проблемы не видно до сих пор. Всегда приходится выбирать между какими-то плюсами и минусами, причём нередко эти плюсы и минусы концептуальные. Самый сложный вопрос — как совместить недоверие третьей стороне с возможностью отсылки оффлайновых сообщений. Являтся ли pond оптимальным решением этой проблемы — пока открытый вопрос.