Tor роутер
Как сделать такое на базе старого компа? Есть ли, готовые программные решения? Насколько такая система надежна? Какие у неё преимущества и недостатки? У кого есть опыт, или какие-то соображения по этому вопросу, высказывайтесь, не стесняйтесь!
Ваш вопрос уже давно вынесен в один из кандидатов в FAQ. Ссылки на имевшие место обсуждения были приведены здесь.
Смотря что называть готовым решением. При надлежащей сноровке устанавливается нужная ОС и настраивается под свои нужды рутинг с файерволлнигом за вечер. Конфиг под похожую задачу висит у нас в FAQ'е, примеры конфигов в точности под эту задачу есть на официальной Tor-вики здесь (см. секции Anonymizing Middlebox).
А что если использовать такую модель:
есть реальная машина и в ней сеть из виртуальных машин. Одна виртуальная машина из которых будет tor-роутером, а вторая (и последующие, если нужно напр. несколько разных ОС) непосредственно для работы.
Что Вы об этом думаете?
/comment36129 Эта оговорка как раз и предполагала, что конфигурация железа не будет совпадать с той, на которой вы работаете с сетью неанонимно, что затрудняет отождествление ваших анонимной и неанонимной личностей. Полноценной защиты от этого нет, ею было бы что-то типа ОС которая полностью эмулирует самую распространённую конфигурацию железа. Можно на каждой машине, используемых для работы с Tor, поднять по виртуалке внутри, в которую поставить стандартную ОС со стандартными настройками. Однако следует понимаить, что внешний рутер – это защита от случая, когда программа получает очень много привелегий в системе где она выполняется. в таком случае она могла бы и историю браузерного поиска (анонимно) в сеть переслать и много ещё чего, что всё равно будет содержаться на скомпрометированной машине, так что сокрытием одной лишь конфигурации железа дело не решается.
Следует различать атаки приводящие к деанонимизации, и те, которые всего лишь сужают область поиска. От вторых защититься намного сложнее, но они и не так опасны как первые. Настраивайте под свой уровень паранои.
/comment36432 Я уже давал ссылку сюда, не помогло? Учитесь читать: чтение убивает зрение и опьяняет чистое ясное сознание. Ответ очевидно следует из тех же соображений: в случае, если виртуалка оказывается взломанной, программа получит какие-то права на целевой системе, но на ней же крутится и тор в виртуалке и соединения с реальной сетью, так что добраться до них будет намного проще, чем до другой машины по сети с использованием remote-code-execution-vulnerability (remote root) [если настраивать парвильно, никаких аккаунтов тор-машины не должны иметь на рутере].
комментариев: 11558 документов: 1036 редакций: 4118
Да. Ибо в FAQ сказано: /FAQ/Проект#h47-12, п.2.
У меня роутер под dd-wrt, ядро 2.4.37, за которым несколько ноутов под линукс Debian и Ubuntu.
Соответственно, хотелось бы сохранять возможность ходить в сеть и не через Tor, а когда надо – в целях обеспечения строгой анонимности – через Tor на роутере.
И, в последнем случае, надо ли сносить или хотя бы просто останавливать тор на клиентских машинах?
Что для этого надо сделать?
P. S. Было бы неплохо сделать по этому вопросу раздел в FAQ.
комментариев: 9796 документов: 488 редакций: 5664
И двух пользователей с файрволлом отправлять по разным VPN на одной машине. Только уровень безопасности будет ненамного выше чем при использовании Tor без роутера, ну разве что злобный скрипт, выполнивший эксплойт от имени заторенного пользователя увидит локальный айпишник 192.168.0.1.
А разве не есть наша цель добиться того, чтобы злонамеренный скрипт не мог послать вражьей силе не больше, чем указанную инфу?
P. S. А в случае, когда машина с tor просто за nat, поднятом на роутере – разве не тот же эффект по общему правилу? Или в данном случае повышенная безопасность в связи с тем, что скрипт локально не сможет послать запрос в обход tor, если не способен также захватить удаленный контроль над рутером?
Может быть вам поможет прояснить вопрос вот этот FAQ.
А насколько такая схема пригодна?
В torrc на роутере прописываем SocksListenAddress 192.168.1.x – ip хоста в локальной сетке (кстати, можно записать – 192.168.1.0:9050, чтобы он прослушивал всю локальную сетку, а не отдельный хост из нее?), а тор на клиентах в приложениях на хосте в локальной сети натравливать на порт сокса не по ip 127.0.0.1, а по ip 192.168.1.1 или какой там ip в локалке у роутера?
Соответственно, если роутер позволяет (у меня вроде хоть и предусмотрен один пользователь root по дефолту в dd-wrt, вроде как можно из OptWare установить утилиту adduser) – создать отдельного tor-юзера, прозрачно торифицировать его и пускать через него? Или это лучше делать на хостах, только поменяв настройки iptables с учетом того, что вместо ip локалхоста юзается ip роутера?
комментариев: 9796 документов: 488 редакций: 5664
Можно и так и по-другому.
Лучше тот вариант, где вам проще всё настроить и убедиться в отстутствии утечек.
Вопрос только, для прозрачной проксификации нужно ли фаерволить на домашней машине, или на удаленном сервере или роутере-гейтвее (в сабжевом случае)?
Видимо, натравливать пользовательские приложения типа браузеров, MUA etc. можно на роутер, находящийся под твоим физ. контролем, который ты админишь (например, при домашней сетке), а скажем прописывать в браузере ip вдс в качестве http-прокси и порты привокси и сокс 8118 и 9050 уже будет архинебезопасно, т.к. до вдс траф пойдет открытым и будет отслежен провом и сорм? Причем видимо даже https-траф?