Tor и защита трафика

Возник вопрос: шифрует ли трафик тор?

Да, исходящий трафик подвергается зашифрованию на Вашей машине, транслируется в зашифрованном виде внутри сети Tor, полностью расшифровывается на последнем узле сети (т.н. exit-node, который и выдаёт трафик обратно в интернет) и уже в открытом виде передаётся хосту-получателю. В обратную сторону от удалённого хоста в сеть Tor трафик тоже идёт в открытом виде, при получении exit-node'ом зашифровывается Вашим ключом и передаётся через сеть обратно.

Таким образом, единственный сегмент, где трафик всегда открыт — это exit-note <> remote host. Кстати, по этой же причине замыкающих узел тоже видит весь Ваш трафик и, в принципе, с лёгкостью может прослушивать, перехватывать и подделывать любые данные. Вас потенциально защищает лишь то, что сам exit-node не имеет представления, чей трафик он передаёт, а также то, что цепочки внутри сети постоянно перестраиваются, и каждый замыкающий узел видит лишь часть Вашей сессии с открытым миром (минут 5-10 в среднем). Но проблема персональных аккаунтов в том, что они, как правило, самоценны: exit-node в любом случае в ходе авторизации через него получит и логин, и пароль, и адрес Вашего сайта, так что, если узел злонамеренный, ему не будет особо важно, кому всё это хозяйство принадлежит.

В общем, в отсутствие SSL Вам придётся оценить свои риски. Что для Вас представляет бОльшую угрозу: захват реквизитов доступа кем-то из интрасети или потенциальный риск перехвата тех же данных злонамеренным Tor-узлом?

То есть ставим локально тор, браузер обращается к нему, тор к общей прокси, прокси дальше, куда тор скажет.

Если я правильно понял сказанное, то с такой схемой могут быть сложности. Здесь этот вопрос несколько раз поднимался, но решение, по-моему, так и не нашли. В обычном случае Вы не сможете направить трафик так:
ПК (клиент Tor) => Сеть Tor => Корпоративный прокси => Интернет
Главным образом потому, что подобный прокси слушает только адреса интрасети, так что произвольный exit-node сети Tor не сможет к нему обратиться (сеть Tor — это ведь тоже интернет, находящийся вне периметра Вашей ЛВС). Во-вторых, сам Tor не имеет инструментов для такого сцепления прокси. В принципе, если Вы используете socks-прокси, который слушает весь интернет (то есть является открытым релеем, что абсурд для организации), то его и Tor можно выстроить в цепочки любой программой-соксификатором. Если же у Вас http-прокси (опять же open relay), то, вроде бы, можно для сцепления использовать Privoxy, но под рукой его сейчас нет, так что не могу сказать точно.

Между тором и общей проксей трафик уже шифрованный?

Коротко: ДА. Подробнее: TorFAQ

>>То есть ставим локально тор, браузер обращается к нему, тор к общей прокси, прокси дальше, куда тор скажет.

>Если я правильно понял сказанное, то с такой схемой могут быть сложности. Здесь этот вопрос несколько раз поднимался, но >решение, по-моему, так и не нашли. В обычном случае Вы не сможете направить трафик так:

>ПК (клиент Tor) => Сеть Tor => Корпоративный прокси => Интернет

Спасибо за комментарии!

Под тором в моих словах подразумевалась локальная служба.

В общем, в отсутствие SSL Вам придётся оценить свои риски. Что для Вас представляет бОльшую угрозу: захват реквизитов доступа кем-то из интрасети или потенциальный риск перехвата тех же данных злонамеренным Tor-узлом?

Образовательное учреждение с любопытными студентами... Особо способных пока не видел, но все равно. Боюсь их.
Насколько вероятен риск перехвата злонамеренным Tor-узлом? Варианты известны? Как быстро вычисляются такие узлы или такой узел невозможно вычислить впринципе?
Как можно бороться против этого?
Часто менять пароли?
Или в качестве пароля использовать Hash(Пароль+время), вычисляемый в локальной программке и на сайте проверять как давно был введен пароль?
Или вариант при входе выдавать новый пароль в зашифрованном виде, пароль заранее?
Все варианты не очень...
Есть более практичные?

В приципе Tor может частично заменить и SSL и VPN, т.е. давать возможность аутентификации узла и шифрования точка-точка, если сервер Вы запустите в качестве своего собственного т.н. скрытого сервиса в доменной зоне .onion

Подробности по запуску таких узлов см. на оффсайте, но это для продвинутых пользователей Tor'a. И это не самая проработанная возможность Tor'а в плане безопасности.

Но:

1. сайт ведь должен быть общедоступен для всех, а не только для пользователей сети TOR?
2. сайт будет размещаться на стороннем хостинге, а не на серверной площадке внутри организации со своим оборудованием, каналами, штатом админов и другого обслуживающего персонала?

Это судя потому что:

Тарифный план не подразумевает использование SSL.

Значит, тарифный план не подразумевает безопасности.

Вообще, если бы что-то было так-же безопасно, как SSL, но стоило дешевле, это бы уже давно изобрели. Все известные способы уже перебрали, их дыры изучили, а про часть просто ничего не публиковали, а просто забыли (и забили на :-) эту бесполезную тему.

Как быстро вычисляются такие узлы или такой узел невозможно вычислить впринципе

Сами подумайте – это же просто пассивный перехват, как прослушивание телефонных разговоров.

Часто менять пароли?

Ну их постараются чаще перехватывать.

Или в качестве пароля использовать Hash(Пароль+время), вычисляемый в локальной программке и на сайте проверять как давно был введен пароль?

Ну по крайней мере один сеанс перехватить можно.

ПК (клиент Tor) => Сеть Tor => Корпоративный прокси => Интернет

А для чего такая петля?
Может спрашивалось не про это? Просто человек хочет пользоваться Tor'ом через локалку, чтобы его траффик в этой локалке ни "сниффали", а это могли сделать в крайнем случае только между exit-узлом и сайтом.

Тогда просто HttpProxy host[:port] в конфиге tor и всё. Выход в сеть tor через проксю в локалке для защиты от сниффинга внутри.

Здесь этот вопрос несколько раз поднимался, но решение, по-моему, так и не нашли.

Если же у Вас http-прокси (опять же open relay), то, вроде бы, можно для сцепления использовать Privoxy, но под рукой его сейчас нет, так что не могу сказать точно.

Как использовать прокси после tor?

Мы не нашли, а они нашли.

В доках к privoxy это есть.

Можно поднять свой HTTPS-прокси и использовать HttpsProxy host[:port] и
HttpsProxyAuthenticator username:password

для аутентификации своих пользователей. Вроде и "open-relay", но и пароль по https никто не перехватит.

Только к изначальному вопросу это отношения не имеет.

Как можно бороться против этого?
Часто менять пароли?
Или в качестве пароля использовать Hash(Пароль+время), вычисляемый в локальной программке и на сайте проверять как давно был введен пароль?

Вообще, если бы что-то было так-же безопасно, как SSL, но стоило дешевле, это бы уже давно изобрели.

Это точно. GraDeа, вот один из таких "велосипедов". :-)

Как использовать прокси после tor?
Мы не нашли, а они нашли.

Да, я как раз об этом и упомянул, только синтаксис директивы не назвал бы по памяти.

Все варианты не очень...
Есть более практичные?

Зафиксируйте в качестве exit-node Tor-сервер какой-нибудь солидной нерусскоязычной организации.

А как это сделать, не подскажите. И где взять список?

И еще смежный вопрос.
Как тор загружает страницы?
Как вообще происходит загрузка: при обычной работе работает так (примерно): посылается запрос, запрос обрабатывается сервером, назад идет html. браузер получает html, парсит ее, смотрит какие дополнительные ресурсы нужны и подгружает их (картинки, звуки и прочее, если они не отключены в браузере). Здесь также? То есть, если в браузере отключены картинки, то тор их даже не грузит?
Имею давнюю привычку смотреть сайты без графики, на днях серфил, не очень много по времени и открытым страницам. Смотрю в Vidalia трафик – 2 метра, вот и возникло сомнение. Может тор загружает всю страницу целиком себе, а браузеру уже отдает, то что надо...

>>Зафиксируйте в качестве exit-node Tor-сервер какой-нибудь солидной нерусскоязычной организации.

А как это сделать, не подскажите.

Элементарное решение: в конфиг torrc вписать опции

ExitNodes nickname1, nickname2,...

и

StrictExitNodes 1

Тогда tor будет ходить всё время через исходящие узлы nickname1, nickname2

Другой вариант использовать опцию:

MapAddress address newaddress

adress – это адрес того сервера на который Вы хотите ходить
newadress – это adress.nickname.exit

Тогда при обращению к сайту adress, в браузере он будет заменяться на adress.nickname.exit
и для работы с ним будет использоваться исходящий узел nickname.

(Варианты подмены злоумышленным exit-узлом адресов по не HTTPS соединению не рассматриваем, так как Вы выбрали "доверенный" узел).

И где взять список?

список узлов можно взять здесь

Смотрю в Vidalia трафик – 2 метра, вот и возникло сомнение. Может тор загружает всю страницу целиком себе, а браузеру уже отдает, то что надо...

Tor работает как обычный прокси. А трафик жрёт на загрузку статистики, построение цепочек и др. особенно вначале запуска и раз в сутки. Ну и упаковка целевого траффика в заведомо большие для неразличимости пакеты
с тройным шифрованием, согласование ключей уменьшению его объёма никак не способствуют.

Вопрос:
Вот у нас в сети есть шлюз, через этот шлюз выход в инет, этот шлюз прослушивается другой машиной, т.е трафик идет через шлюз, потом на ту машину, а потом только в инет, при выходе с моей машины трафик поступающий на шлюз будет уже зашифрован?

Да.