id: Гость   вход   регистрация
текущее время 15:10 28/03/2024
Владелец: unknown (создано 03/02/2010 09:23), редакция от 05/10/2013 21:57 (автор: Гость) Печать
Категории: сайт проекта, faq
создать
просмотр
редакции
ссылки

Сетевая анонимность: сеть Tor


Вычеркнутые вопросы перенесены в FAQ


Оглавление документа:

Как использовать Tor в качестве DNS-сервера (посылать DNS-запросы через Tor)


Ниже приведены следующие варианты прозрачного проксирования (торификации) DNS-трафика:


Tor как системный DNS-сервер:


Добавьте в файл настроек torrc строки
DNSListenAddress 127.0.0.1
перезапустите Tor и пропишите в системных настройках подключения к интернет «DNS сервер: 127.0.0.1». Чтобы это работало в системах Linux или *BSD, Tor должен запускаться от root'а (возможен сброс привелегий до умолчального пользователя tor после запуска).
Для работы нужно указать DNSPort (смотрите ниже).

Tor как DNS-сервер для конкретной программы, поддерживающей собственные настройки DNS:


Примером такой программы является uTorrent. Добавьте в файл настроек torrc строки
DNSPort 5300
DNSListenAddress 127.0.0.1
перезапустите Tor и пропишите в настройках программы «DNS сервер: 127.0.0.1, порт 5300».

Принудительное использование Tor как DNS-сервера для конкретных пользователей или программ:


Добавьте в файл torrc строки
DNSPort 5300
DNSListenAddress 127.0.0.1
а затем средствами firewall'а или другой программы "заверните" запросы к DNS от нужных пользователей или программ на адрес 127.0.0.1:5300. Разделение по пользователям доступно только в системах Linux и *BSD, а разделение по программам (учтите, что оно не является надёжным) — только в Windows.

Примечание: в последних двух вариантах вместо порта 5300 можно использовать любой другой незанятый порт (число) в промежутке от 1025 до 65535.

Как удлинить цепочку Tor с помощью программы polipo (использовать с Tor программы без поддержки socks-прокси)


Внимание. При смене цепочек для polipo по сигналу NewNym от vidalia через Tor, polipo удерживает соединение, что Tor воспринимает как долговременную цепочку и не меняет исходящий узел. Это возможно некритично при данном сценарии использования, но послужило одной из причин отказа от polipo в проекте Tor. Надо это учитывать, в случае если вы захотите приспособить polipo для чего-то другого.


  1. Качаем старую сборку Tor Browser c Polipo из архива Tor Project, например:

Либо только polipo (в этом случае конфигурационный файл брать из сборок по ссылкам выше или настроить самостоятельно):
Windows
– Linux — из репозитория.
Подробнее: http://www.pps.univ-paris-dide.....jch/software/polipo/
Содержимое файла настроек polipo polipo.conf (создайте файл по указанному в пункте 3 пути и скопируйте содержимое туда):

  1. Распаковываем архив, находим там подкаталог old_tb/App и копируем из него в tb/App файлы:
    – для Windows polipo.exe и libgnurx-0.dll
    – для Linux polipo
    где tb – каталог Tor Browser, а old_tb – каталог старой сборки.

  1. Создаем каталог tb/Data/Polipo и копируем в него конфигурационный файл old_tb/Data/Polipo/polipo.conf

  1. Дописываем в файл tb/Data/Vidalia/vidalia.conf в разделе [General] строки:

Удаляем строку (если есть):

  1. В файле tb/Data/Tor/torrc заменяем строку (если есть)

на

  1. В настройках плагина TorButton браузера (ПКМ по значку луковицы вверху -> настройки ...) выставляем метку "Установить параметры прокси вручную" и забить во все поля http-прокси, ssl-прокси, ftp-прокси, gopher-прокски параметры Polipo: хост 127.0.0.1 и порт 8118.

  1. Перезапустить Tor Browser.

  1. Для добавления прокси в конец цепочки в polipo.conf дописать строку:

где proxy_host: proxy_port – адрес внешнего прокси. После добавления прокси Tor Browser надо перезапустить. Отследить подключение к этому прокси можно в окне цепочек Vidalia или в IP-анализаторах типа ipligence.

 
На страницу: 1, 2, 3 След.
Комментарии [скрыть комментарии/форму]
— Гость (03/02/2010 10:12)   <#>
А чем может быть плоха предложенная мною схема для мобильных подлкючений использовать чистый файл /var/lib/tor/state?
Вроде бы ничего не меняется как если бы входил в сеть с только что установленным tor?
И такой еще вопрос. Со слов некоторых научных работников, мне известно, что ФСБ последнее время поднимало очень много tor-нод. С какой целью, правда, они затруднились ответить.
Возникает вопрос, как проконтролировать, чтобы входные узлы не имели российских ip-адресов, т.к. в этом случае велика вероятность, что входные узлы уже контролируются ФСБ.
И второе. Могут ли сервера, находящиеся в России, иметь ip-адрес, выделенный другому государству? Понятное дело, что в случае тайного сговора между ФСБ и АНБ (или на более высоком уровне) – могут, и это невозможно отследить, а вот помимо воли американских структур, распределяющий ip-адреса по регионам (не помню как этот институт у них там называется) – могут? Или подменять ip, но так, чтобы обратный трафик тоже до них доходил?
P. S. Конечно, можно предположить, что российские спецслужбы имеют сервера Tor и за границей, как вариант. Если бы были хорошие мысли по поводу их вычисления, тоже неплохо было бы их услышать. Только, имхо, в этом последнем случае они вообще становятся "неуловимыми", и спасти ситуацию могут лишь только толпы добровольцев, запускающих в частном порядке сервера Tor.
Которых почему-то в России не наблюдается.
— unknown (03/02/2010 11:10, исправлен 03/02/2010 11:17)   профиль/связь   <#>
комментариев: 9796   документов: 488   редакций: 5664

В последние версии стали включать Tor GeoIP-db, чтобы примерно учитывать географическое положение узлов при построении цепочки.


Это элементарно вопрос денег. Поднять tor-сервер можно на платном виртуальном хостинге, коих тысячи по всему миру.


Допустим это не слухи. Прозревается заговор.


Допустим точка "пользовательский провайдер — вход в сеть Tor" всегда прослушивается (тут даже guard-узел малополезен), количество экситов в сети мало и большинство из них принадлежит трёхбуквенным агентствам. Тогда снимая трафик в двух точках ("ISP-пользователя") – ("подконтрольный Exit"), можно делать атаку пересечения и смотреть, куда пошёл пользователь. Чем больше подконтрольных экситов, тем выше вероятность собрать данные о пользователе.


Кстати, ФСБ (или кому-там) необязательно запускать свои Tor-узлы в Росии (или где-там) — для проведения атак корреляции достаточно прослушивать трафик поступающий и исходящий с этого узла со стороны провайдера, через которого работает этот узел. МОжно ещё поковырять трафик на магистральных узлах — это работа для систем эшелоноподобного типа.


Ответ на ваш вопрос добавлен в другой список раздела вопросов-кандидатов в FAQ, в пункте об атаках подтверждения и пересечения. Гость, вы задали хороший темп работ и дали много поводов для конструктивных размышлений в попытках ответить на все ваши вопросы!

— Гость (03/02/2010 11:30)   <#>
С какой целью, правда, они затруднились ответить.
На поверхности могли бы лежать 2 цели: получение информации о IP, пользующихся Tor, или, что вероятнее, изучение трафика на выходе из эксит-нод, и забота о скорости работы сети, если они сами ею пользуются.

Возникает вопрос, как проконтролировать, чтобы входные узлы не имели российских ip-адресов, т.к. в этом случае велика вероятность, что входные узлы уже контролируются ФСБ.
Есть excludenodes-опция, но она полумера (в статистике могут внезапно появиться новые IP-дреса из РФ, которые вы ещё не перечислили в списке). Есть подобные опции, которые фильтруют по стране, но они тоже не до конца надёжны, т.к. трудно всегда и однозначно сказать кому принадлежит адрес (в общем случае). Т.е. всё это полумеры.

Могут ли сервера, находящиеся в России, иметь ip-адрес, выделенный другому государству?
Да, могут. Я скажу даже большее: есть такие IP-адреса, которые не ассоциированы ни с каким государством, и не числятся ни в каких базах данных. Некоторые умельцы в некоторых странах могут себе их установить и работать на них до поры до времени.

не помню как этот институт у них там называется
ICANA?

Или подменять ip, но так, чтобы обратный трафик тоже до них доходил?
Если вы выбрали их сервер в цепочке, то через него идёт и прямой и обратный трафик, если же не выбрали, то никакой не идёт. Выбирает всегда сам клиент Tor'а.

Конечно, можно предположить, что российские спецслужбы имеют сервера Tor и за границей, как вариант. Если бы были хорошие мысли по поводу их вычисления, тоже неплохо было бы их услышать. Только, имхо, в этом последнем случае они вообще становятся "неуловимыми"
Да у нас любой громодянин может поднять свой Tor-сервер в банановой республике, чем здесь спецслужбы-то выделены? :)

спасти ситуацию могут лишь только толпы добровольцев, запускающих в частном порядке сервера Tor.
Да, и об этом уже сто раз писали.

Которых почему-то в России не наблюдается.
Общее число подключенных к интернету юзеров в РФ мало по сравнению с другими странами – с этим всё и связано.
— Гость (03/02/2010 12:57)   <#>


"Я щас взорвусь как тыща тонн тротила
Во мне заряд нетворческого зла
Меня сегодня муза посетила..." (В. Высоцкий)

Прошу прощения за оффтоп
— SATtva (03/02/2010 13:06)   профиль/связь   <#>
комментариев: 11558   документов: 1036   редакций: 4118
Которых почему-то в России не наблюдается.

Общее число подключенных к интернету юзеров в РФ мало по сравнению с другими странами – с этим всё и связано.

А ещё меньше широкополосных безлимитных тарифов в замкадье.
— Гость (03/02/2010 13:37)   <#>
... и нет такой жёсткой системы прессинга псевдоасоциальных элементов (терриристов/экстремистов/нацистов/ксенофобов/антисемитов/педофилов/некрофилов, кем бы они ни были) как в европах и америках :-D
— Гость (09/02/2010 13:25)   <#>
При таком сценарии атаки пересечения будут давать на выходе IP-адрес Tor-сервера и не будет возможности подтверждения — исходит ли трафик от этого сервера непосредственно как от клиента сети Tor или это трафик, пропущенный от других пользователей.
Не всё так просто. Если у противника есть внешний способ контролировать присутствие пользователя (например, онлайн в джаббере), то разрыв нужной цепочки между Tor-нодами всё проявит (наблюдаемо выкинет пользователя из джаббера). То, что при этом ещё какие-то соединения у каких-то юзеров порастут – дело уже третье. Т.е. вам бы как-то надо понятнее прояснить этот момент, без неоднозначностей чтоб было.
— unknown (09/02/2010 14:37, исправлен 09/02/2010 14:53)   профиль/связь   <#>
комментариев: 9796   документов: 488   редакций: 5664

1) {previous nodes, clients} -> {Client + Server} -> {entry} -> {middleman} -> {exit} -> {service}


2) {previous nodes, clients} -> {Client + Server} -> {middleman} -> {exit} -> {service}


В первом варианте если противнику принадлежит {service} и {entry}, то по корреляциям он упирается в {Client + Server}, но не зная длину цепочки не может сказать, от кого она исходит. А если противнику принадлежит {entry} и {exit}, то он не только установит корреляцию, но и определит наличие и точное название {middleman} в цепочке, следовательно зная её длину, он может предположить, что инициатор {Client}.


И не важно, будет он при этом рвать цепочки или получит корреляции активно, похоже, что запуск сервера даёт относительно немного примуществ.


Зато во втором варианте определить не сможет.


Вопрос в FAQ под вопросом? :)

— Гость (09/02/2010 21:48)   <#>
Вопрос в FAQ под вопросом? :)
Ну если запуск сервера не ухудшает анонимность, то можно сказать что "полезно", т.к. при каких-то атаках и впрямь улучшает защиту (есть какой-то псевдопокрывающий трафик от других юзеров Tor-сети).
— unknown (10/02/2010 12:38, исправлен 10/02/2010 12:44)   профиль/связь   <#>
комментариев: 9796   документов: 488   редакций: 5664
В первом варианте если противнику принадлежит {service} и {entry}, то по корреляциям он упирается в {Client + Server}, но не зная длину цепочки не может сказать, от кого она исходит.

Неправильно. На сервисе виден IP эксита, На {entry} есть корреляция в этой цепоче с {service} и определяется, что цепочка пошла из {Client + Server}, но не на {exit}, а на {middleman}, значит {Client + Server} в этой цепочке работает в режиме {Client} и эта цепочка не порождена другими пользователями.


Что имели ввиду разработчики, когда говорили, что запуск сервера повышает анонимность — неясно. По крайней мере от атак пересечения это также не защищает. Может они имели ввиду только запуск экситов?

— Гость (10/02/2010 13:19)   <#>
Да, вы правы.
Может они имели ввиду только запуск экситов?
Может быть существуют другие предположения о том, какие точки съёма трафика контролирует противник, при которых анонимность будет всё же повышаться...
— Гость (25/11/2012 01:14)   <#>

Этот вариант перекрывается с
Если нужно, чтобы перенаправлялись только DNS-запросы каких-то конкретных программ
Становится непонятно: если вариант с «конкретной программой» уже рассмотрен, то зачем её снова повторно рассматривают ниже. Дело-то в том, что есть принудительное заворачивание (программа об этом сама не знает) и конвенциональное (программа имеет настройки для этого). Короче, описывать все эти детали, следя за понятностью для тех, кто вообще не в теме, желания нет, потому лучше убрать ту оговорку. Более того, я не видел ни одной программы, которой можно указать DNS-сервер в настройках, т.е. отличный от системного.

Кто конкретно понимается под DNS-резволингом, мне тоже не до конца ясно. Где-то в районе /comment53198 это косвенно упоминалось, вроде как имеются блокирующие и неблокирующие резолверы, у firefox свой резолвер и т.д. Резолвер — это DNS-клиент? И, опять же, если какая-то программа имеет свой резолвер, то что это значит? Может быть, просто есть много отдельных программ — DNS-клиентов/резолверов, и разные программы просто используют разные резолверы? man dig тот же... Т.е. если программа шлёт DNS-запрос, с точки зрения ОС от кого шлётся запрос? Если она использует какой-то внешний неконвенциональный DNS-клиент, то и программа, чей трафик надо будет завернуть на 127.0.0.1:5300, получается, будет другой (нужно заворачивать трафик от резолвера, а не от целевых программ, его использующих).

Есть сомнения в правильности терминологии. Является ли Tor на соответствующем порту DNS-сервером? Фактически он не резолвит, а просто перенаправляет DNS-запросы на exit-ноды, а раз так, значит, с точки зрения exit-нод Tor является DNS-клиентом?.

Добохозяйки могут не понять, что вместо PORT надо указать число из промежутка 1025-65535, а рассказывать, как устроена ОС в рамках FAQ — долго, муторно и совсем не к месту, не хочется писать все эти пояснения и предостережения, превращая один абзац в статью. Имхо, лучше указать конкретное число и сделать оговорку.


Тут, к минимум, три замечания:

  1. DNSPort 53 — это избыточно, т.к. значение по умолчанию. Т.е. опция включается сама, если DNSListenAddress включено. Я привык для себя писать кое-что избыточно, но делать так во всех инструкциях — значит, неправомерно усложнять их.
  2. 53 — привелегированный порт (по крайней мере, в юниксах). Т.е. сторонний пользователь не запустит ничего на портах, кажется, 0-1024. Если запускается от рута и потом присходит дроп привелегий, то, думаю, тоже всё ОК, но если тупо запустить Tor-клиент от кого попало, никто ему 53ий порт не даст заюзать.
  3. Кто-нибудь это вообще тестировал, особенно на виндах?

Собственно, все эти правки применил.
— Гость (25/11/2012 14:19)   <#>
1. Тем не менее кому-то будет полезным, а одно слово ничего не переусложнит.
2б 3. На винде работает, пробовал и без прав. Про никсы добавлю в примечание.
— Гость (25/11/2012 16:57)   <#>
Для нормальной работы Tor надо DNS, поэтому когда ставишь DNS как Tor, то при нерабочем Tor (через него dns), Tor не может подключиться. Как сделать так, чтобы для подключения к сети не нужны были dns?
— unknown (25/11/2012 17:13)   профиль/связь   <#>
комментариев: 9796   документов: 488   редакций: 5664
Сейчас в Tor есть три порта для разруливания клиентского трафика — SOCKSPort, TransPort, DNSPort, которые могут повторяться в конфиге множество раз и к каждому из которых может применяться определённый набор опций по изоляции протоколов. Всё это может быть разрулено файрволлом по потребностям, главное усложнёнными настройками не нарушить безопасность.

Если у пользователя есть понимание этих возможностей, то DNS — это частный случай "продвинутых настроек". Если понимания нет, то может случиться так, что он неправильно поймёт зачем это нужно. Например, услышит про проблему "утечки DNS", DNS порт прокинет правильно, а с SOCKS или TransPort'ом сделает что-нибудь не так и будет думать, что защитился от всех утечек трафика. К примеру "анонимно" заторит какую-нибудь программу, в которой только DNS будут завёрнуты в Tor, а TCP-трафик пойдёт в сеть напрямую.
На страницу: 1, 2, 3 След.
Ваша оценка документа [показать результаты]
-3-2-1 0+1+2+3