Всё о TBB (Tor Browser Bundle)

Хорошо переводит между прочим, зря обижаете.

В сети Тор наблюдается затор.

Правильное название ТВВ: Тор + Мозилла = Тормозилла.

Айтупи. Подключайся, не тупи.
Фринет. Перерыв на обед.

Роджер отчитался. Переводить смысла нет, т.к. много терминов, требующих разъяснения. Вкратце: ботнет существовал предположительно с 2009 года (как дискутируется в комментах), но вышел из под контроля; ботнет вызывает множество соединений только со скрытыми сервисами, поэтому трафик на выходных узлах не увеличивается; использование тор для прикрытия управления ботнетом через скрытый сервис — плохая идея для ботоводов, эффективнее им было бы построить анонимную сеть на основе самого ботнета; после обновлений клиентов и узлов активность ботнета может стихнуть, если его самого не обновят; могут прикрутить капчу на вход в Tor (правда непонятно как торифицировать всякие программы помимо TBB и пускать трафик через tor-роутеры).

Остальное вроде как уже обсудили.

SATtva, я не дурак. Весь пост был прочитан внимательно, но логики я так и не понял. Последняя версия стабильного TBB — 2.3.25-12, она была выпущена ещё до начала атаки, поэтому призыв обновиться на ещё более новый стейбл бессмысленен (сообщение в блоге сподвигает именно к этому и потому вызывает непонимание).

После протирания хрустальных шаров я понял, что они рекомендуют всем перейти со стейбла на β-версию TBB, а обновлять Tor в стабильном TBB они так и не решились. Стоит ли переходить на β'у просто так — вопрос открытый. Вот чего они боятся стабильную ветку TBB обновить?

В последнем анонсе написали про β для TBB явно, раньше говорили только намёками.


А unknown запостил баян:

Новый апдейт в блоге: «How to handle millions of new Tor clients».

Предлагаю обсуждать не баяны, а последний анонс от TorProject, который сводится к ссылке на вот это summary. Там приведено название ботнета и сказано о том, что он имеет русский след. Кроме того, по результатам обсуждений в блоге и рассылке у меня сложилось мнение, что ботнет не использует Tor для своего функционирования, а целево его DDoS'ит через известную ранее опубликованную уязвимость.

Трудно ожидать от АНБ (несмотря на всё остальное) атаки на Tor, т.к. последний получает финансирование от государственых источников США. А раз есть русский след, объяснение, что за атакими на Tor стоит ФСБ, становится не такой уж и конспирологией (особенно в контексте новых готовящихся законов о его запрете). Логика говорит о том, что никаким криминальным и склонным к privacy кругам не может быть выгоден шатдаун сети Tor.


По второму разу флудить не будем, ОК? Уже всё сказано. Считайте, что это профессиональный ресурс для общения между теми, кто глубоко в теме, а на ламеров и школьников здесь всем покласть. Поищите форумы попроще. Я серьёзно.

Многие, пищущие тут посты, шли к своим навыкам, знаниям, квалификации (называйте, как угодно) по 5-10 лет. Новичок тут будет себя чувствовать, как инвалид на олимпийских играх среди мастеров спорта международного класса.

Может, хватит этого снобизма в каждом втором посте, при этом в таком виде, словно это позиция проекта?

Да, можно было смайликов наставить, а то вдруг неправильно поймут. :)

:)

Есть те, кто действительно не понимает, но прикладывает усилия к изучению — таких стоит поддержать, а вот тех, кто наглеет и требует, чтобы ему разжовывали и в рот ложили тривиальные вещи, стоит посылать в гугл.

С этим согласен.

Действительно, я пробаянил :)

По поводу обновления пока только общие соображения: они неуверены в его стабильности, у них могли быть какие-то другие планы по тестированию и порядку внедрения патчей, другая политика смены релизов и т.д. Решение сделано внепланово и наспех, мало ли что ещё.

Добавлю ещё одно соображение в копилку: те, кто во время атаки сидели на последних девелоперских версиях, были уязвимы, а те, кто на последней стабильной — нет.

Может быть, вопрос глупый, но мало ли: а знание положения окна относительно экрана браузеру доступно? Может ли он его тоже передавать куда-то? Когда TBB запускается, я заметил, что окно TorBrowser каждый раз располагается в случайном месте экрана. Так работать неудобно, и приходится его перетаскивать в левый верхний угол, но безопасно ли это? Речь идёт не об изменении размеров окна, а о его перемещении по экрану, если что.

а знание положения окна относительно экрана браузеру доступно?

Да.

Жесть какая. А без JS эта информация никуда не передаётся? Или сайтам её тоже можно, как и размер окна, из CSS выуживать?

Получается, лучше не переносить окно с места на место, иначе это приведёт к дополнительному профилированию... Странно, что браузер всегда открывает окно в разных местах, а не в каком-то одном и том же, статически вычисляемом для конкретного размера экрана...

браузер всегда открывает окно в разных местах, а не в каком-то одном и том же, статически вычисляемом для конкретного размера экрана...

Совместно с размером окна (даже и случайно меняющемся в некотором интервале) это бы позволило прикинуть размер экрана.

А он вообще скрывается согласно дизайну? У меня сложилось впечатление, что нет (юзер деанонимизируется по этому параметру только среди группы тех, кто имеет такой же размер экрана):

/comment69347: Они для TBB должны отличаться только если разные экраны, а экраны зависят от настроек десктопа, но округляются. Таким образом набор отпечатков должен быть сравнительно небольшим, особенно если пользуется альфа TBB в которой более новый Torbutton.

Кто из вас прав?

wwwДа.

Тема про TBB.

Кто из вас прав?

Прав тот у кого больше прав на коммиты в код, и архитекторов продукта. Об этом, в отношении экранов и окон, упоминалось тут:

report an effective size of 0 for all border material, and also report that the desktop is only as big as the inner content window.

Если у вас экран размером с окно, с точки зрения репортов сайтам, тогда нет "положения окна относительно экрана"?