Всё о TBB (Tor Browser Bundle)

Обсуждалось приблизительно отсюда и далее по треду, сам документ тоже читайте.

Спасибо, но в "отсюда и далее" не удалось обнаружить внятную пошаговую инструкцию по установке TBB, вместо нее там какое-то разношерстное месиво, имхо.

Вопрос несколько не по адресу. Профи не пользуются ярлыками, если что.

Да я понимаю, просто проинформировал о своей причине, которая подвигнула меня на поиски нормального Howto по установке TBB. А так конечно, о вкусах не спорят – кому ярлык, кому консоль, а кому свиной хрящик :)

В любой, какой хотите, который открыт на чтение и запись. Обычно выбирают каталог из пользовательского $HOME.

Так я же и говорю – до этого момента так и делал, закидывая в домашнюю папку/.tor-browser/ содержимое архива.
Но так можно/нужно поступать с т.н. portable-версией, скачиваемой отсюда, и так до недавнего времени поступал и я, когда работал в Gnome-2.

Но сейчас перешел на LXDE, и заинтересовался установкой TBB не в portable-варианте, а как стандартного deb-пакета.
Хотя бы для того, чтобы не ставить его каждый раз в новый линукс-акаунт, а чтобы он был заранее доступен из любого из них, как нормальное приложение, установленное из пакета (обычно устанавливаемого в /user/bin/ ).

Вот на этой страничке вроде нарыл такую рецептуру.
Но она работает плохо или вовсе не работает, как в Option one, так и в Option two.
Смотрите сами, что получается:

1. Дистрибутив Debian 8.2 (jessie) /64
2. Пытаюсь выполнить под рутом Option one:

Tor on Debian stable, Debian sid, or Debian testing If you're using Debian, just run apt-get install tor и получаю следующее:

Как видите, в процессе установки было получено неприятное сообщение:

ВНИМАНИЕ: Следующие пакеты невозможно аутентифицировать! tor tor-geoipdb Установить эти пакеты без проверки? [y/N] на которое был вынужден ответить утвердительно.
Но это же неправильно! Вначале где-то должен был быть импорт ключа, чтобы проверялась подпись и такого сообщения не возникало – где он?
Нету.

Стало быть, инструкция недоработана, и приходится заведомо идти на определенный риск – а зачем он нам в таком важном деле, как безопасность и анонимность??

Переходим теперь к Option two.
Готовим в предлагаемой форме данные:

I run Debian (jessie)
and want Tor version
stable

впихиваем полученные строки

deb http://deb.torproject.org/torproject.org jessie main deb-src http://deb.torproject.org/torproject.org jessie main
в /etc/apt/sources.list и пытаемся выполнить импорт ключей -

gpg --keyserver keys.gnupg.net --recv 886DDD89 gpg --export A3C4F0F979CAA22CDBA8F512EE8CBC9E886DDD89 | sudo apt-key add -
– и получаем вот такие две фиги:

gpg --export A3C4F0F979CAA22CDBA8F512EE8CBC9E886DDD89 | sudo apt-key add - gpg: запрашиваю ключ 886DDD89 с hkp сервера keys.gnupg.net ?: keys.gnupg.net: Host not found gpgkeys: HTTP fetch error 7: couldn't connect: Connection refused gpg: не найдено данных формата OpenPGP. gpg: Всего обработано: 0
и
gpg --export A3C4F0F979CAA22CDBA8F512EE8CBC9E886DDD89 | sudo apt-key add - gpg: ВНИМАНИЕ: нечего экспортировать gpg: не найдено данных формата OpenPGP.
Скажите – я что-то сделал не так, или это мануал такой неправильный?

Откровенно говоря, я так до конца и не понял, о чем в этом мануале идет речь :(
Если об установке Tor-сервиса – это одно дело, если об установке TBB – совсем другое.
Мне-то вообще нужно второе – TBB, но в этом мануале о нем вроде речь не идет, или как?

PS. В конце вообще две команды, которые почему-то исполняются уже не от рута, а от пользователя – почему??

$ apt-get update $ apt-get install tor deb.torproject.org-keyring

Я постарался и опубликовал свои неудачные попытки установить TBB как пакет, которые возможно, иллюстрируют методику "как не надо делать".
Поэтому будет очень интересно и познавательно всем, если найдется человек, который разъяснит все эти неудачи и расскажет, можно ли, и как установить TBB в систему как нормальный debian-пакет.

Потому, что с выходом каждой новой версии что-то ломается, поэтому обсуждают не новую инструкцию, а только патчи к старой. Вытянуть оттуда конструктив при желании можно.

Вопросы о ярлыках смотрелись бы уместно на форумах по LXDE (или хотя бы на общих Linux-форумах, на худой конец).

TBB состоит из патченного firefox'а, torbutton'а и собственно Tor'а. Вы это всё не видите, это внутренние процессы, но от TBB можно отщепить Tor, т.е. привязать патченный firefox с torbutton'ом (так называемый TorBrower) к системному Tor'у — тому, который установлен через deb-пакет в систему централизованно. Заметьте, это никакого отношения не имеет к тому, что вы напридумывали: нет никакого deb-пакета для собственно TBB или TorBrowser'а (может, такое когда-то и было, но не слышал, чтоб этот способ использования официально рекомендовался), так что да, вам придётся в каждый аккаунт устанавливать "portable" TBB. Единственное, что можно сделать — это отцепить его от локального Tor'а и привязать к системному, именно этому и были посвящены обсуждения по ссылкам (и моим и вашим). Такую привязку делают, заметьте, для безопасности, а не для удобства. Удобно — это ничего не менять: скачал, проверил PGP-подпись, распаковал, запустил.

Другое дело — что Tor может использоваться не только TorBrowser'ом, но и другими программами. Если у какого-то пользователя только такие программы, а сам TorBrowser ему не нужен, ставить TBB ему не надо — достаточно зацепить его программы на системный Tor. Впрочем, если не повышать безопасность, можно зацеплять и на тот Tor, который в TBB в связке.

Очень странно, раньше это работало без проблем. Если вы ставите Tor с умолчального репа, он, как и любой другой пакет в репе, должен идти с подписью. Либо в последнее время там что-то сломали, либо вы где-то ранее что-то сломали у себя в настройках.

В вашем случае это лишнее, и в «Option Two» этой строчки нет.

Мануал написал для людей, для начала, т.е. предполагается, что вы примерно представляете смысл производимых действий. Вы ошиблись, даже когда сюда ошибки перепечатывали. Ваша первая ошибка относится, так понимаю, к результату команды

$ gpg --keyserver keys.gnupg.net --recv 886DDD89

Команда --recv лично у меня работает, так что я не знаю, чем был вызван ваш «Host not found»: либо это были временные проблемы на сервере, либо у вас неправильно настроен DNS, либо этот сервер забанен вашим ISP. В любом случае, получить правильный ключ, когда известен его отпечаток — не проблема, есть же множество web-сервисов. Например, на keyserver.rayservers.com можно зайти как на web-страницу, ввести в поиск key id или полный отпечаток, получить результат и сам ключ. Ключ сохраняете в файл, потом импортируете в нужный keyring командой (под рутом) apt-key add /path/to/file.

Уж во всяком случае вы должны понимать, что если команда поиска и получения ключа репа не отработала, то выполнять вторую команду по загрузке этого ключа в apt бессмысленно.

Естественно, речь идёт только об установке системного Tor'а, TorBrowser тут ни при чём.

В инструкции не написано, что их надо выполнять от пользователя. Естественно, обе исполняются от рута. По логике той инструкции там вообще всё от рута исполняется.

На самом деле, в инструкции упущен один очень важный момент — как верифицировать отпечаток, предоставленный на сайте, но у вас этот вопрос почему-то даже не возник. Можете заглянуть сюда и в эти обсуждения.

Если будете переделывать, сначала удалите установленный Tor, добавьте ключ, а дальше всё сделайте по инструкции. Чтобы зацепить TorBrowser на системный Tor на дефолтном порту TorBrowser'а, достаточно:

1. Добавить строчку SOCKSPort 9150 в /etc/tor/torrc и перезапустить Tor.
2. Распаковать TBB, удалить файл tor-browser_xx-XX/Browser/TorBrowser/Data/Browser/profile.default/extensions/tor-launcher@torproject.org.xpi (исправьте путь для своего случая).
3. Зайти в директорию [cd tor-browser_xx-XX/Browser (исправьте для своего случая)] и запустить TorBrowser:

   $ ./start-tor-browser --debug

Если порт не дефолтный, всё немного усложняется. Помимо добавки порта в torrc (также рекомендуется опция «AutomapHostsOnResolve 1») в TorBrowser'е нужно зайти в about:config и указать 127.0.0.1 в качеств хоста, а номер порта в качестве порта для опций (допустим, 9000):

extensions.torbutton.custom.socks_host  127.0.0.1
extensions.torbutton.custom.socks_port  9000
extensions.torbutton.socks_host         127.0.0.1
extensions.torbutton.socks_port         9000
network.proxy.socks                     127.0.0.1
network.proxy.socks_port                9000

extensions.torbutton.settings_method    custom

В edit → preferences → advanced можно отключить словарь (spelling), сняв галку, ибо не поймёшь, как он работает и насколько безопасно. Важно там же в «update» переставить галку на пункт «проверять обновления, но не устанавливать их». Понятно, что автоматические обновления, включенные по умолчанию, вряд ли подружатся с таким способом использования TBB, так что как только окна о появлении новой версии всплыли, идём и повторяем всю вышеописанную процедуру раздербанивания и настройки TBB снова (системного Tor'а это не касается). На луковице в браузере есть слайдер. Если не нужны скрипты, его можно выставить на «high», а потом в about:config отключить JavaScript: javascript.enabled поменять на false. Вроде всё.

Нельзя, проверил по официальным репам. Можно только системный Tor так установить. Может быть, ещё в Tor-овском репе есть такой пакет, но ничего такого не ищется. В пакетах есть только torbrowser-launcher, но это не то, что вы хотите — это просто бирюлька с окошечком, которая за вас скачивает под данным юзером TBB, проверяет подпись, сама его распаковывает куда-то и потом оттуда запускает. Насколько я знаю, централизованного TorBrowser'а как deb-пакета нету, только portable-версия.

Лучше, чтоб не путаться, качать с таблицы «Stable Tor Browser» по этой ссылке — она открывается, когда щёлкаешь в исходных на «learn more». Там полная таблица для всех архитектур и языков, есть файлы с подписью, всё понятно.

Даже связываение TorBrowser'а с системным Tor'ом сейчас делается очень кривым, нештатным и неудобным обраом, фактически — с помощью хаков, причём эту последовательность хаков они постоянно ломают, из-за чего время от времени приходится выдумывать новую.

Есть подвижки делать это не так криво.

Безопасности для кого? Очень размытое понятие, а с учётом ограниченных ресурсов — тем более. Когда-то обсуждалось [1], [2].

Точно, а мейнтейнеры пакетов по свою ОС не знают особенностей своей ОС — это только Tor project умеет. Нет этих проблем, просто не делают. Один из плюсов — более быстрые обновления. Не нужно ждать, пока мейнтейнеры (обычно через несколько дней) снизойдут и исправят пакет.

С сетью вообще работать не безопасно. Если NIT входит в модель угрозы, глупо доверять скриптам. Кардинальное решение — Tails или правильно настроенные виртуалки, после чего об ошибках в браузере можно не сильно беспокоиться.

Разные сайты-тестеры показывают ограниченное подмножество того, что утекает. Все утечки не знает никто.

Не лезьте руками туда, куда не нужно. Читайте внимательно написанное выше:

Важно там же в «update» переставить галку на пункт «проверять обновления, но не устанавливать их».

Окна будут постоянно появляться, придётся по нескольку раз жать «ask later», но автоматического обновления происходить не будет. Если хочется именно «work offline», просто отключите сеть на уровне файерволла для того юзера, под которым запускается TBB.

При всем уважении к вам как к (со)хозяину сайта вы выражаетесь как гебня про дополнительные возможности/права/информацию для простых граждан. ( так устал выслушивать: "нехрен простому гражданину лезть куда не следует! его задачи вырастить воспитать детей и родину защищать!!!" )
Я просто поставил калочку в выпадающем меню "File" – "Work Offline" и думал, что могу понимать эту функцию буквально!

Чтобы не задавать одни и те же вопросы много раз, задам один. Где можно взять ПОЛНУЮ документацию на линуксовский файрвол (я так понимаю iptables?) в т.ч. с командами управления из консоли? Такой же вопрос касающийся консольного Тор-а. Лучше на русском)

Есть общий запрет: TBB поставляется так, как есть. Ничего там менять не надо. Любое изменение чревато тем, что всё сломаете, подводные камни кругом. Я выше написал развёрнутый комментарий на тему, что всё-таки можно поменять и для чего — это то, к чему тут по согласию пришли в результате многолетних обсуждений, если что. Если всё же лезете внутрь на свой страх и риск, то надо хотя бы понимание внутренностей иметь какое-то, чего я по уровню ваших вопросов не наблюдаю.

В TorBrowser'е попытались что-то вычистить, но от обычного firefox'а там осталось очень много нежелательных действий. Достаточно просто запустить браузер и посмотреть по логам, куда он сразу же полезет. Здесь это поведение обсуждалось.

В штатном TBB TorBrowser пытается на лету обновить NoScript — до сих пор это вижу по логам. Обычными опциями это, похоже, не отключается, а такое обновление чревато проблемами. Я вот не очень доверяю автору каких-то там расширений, по случайности включенных в умолчальную поставку TBB, да ещё и их обновлению на лету без проверки PGP-подписей. И это тоже здесь обсуждалось.

По конвенции полная документация для любой программы должна быть в man этой программы. Соответственно, см. man iptables, man iptables-extensions, man torrc. Всё остальное может быть (имеет право быть) неполным. Обычно сначала читают «неполную» вводную документацию где-то, чтобы уяснить смысл основных понятий, а потом детали уточняют в man. Чтение man-страницы без какой-либо предварительной подготовки — это как оперирование мозга простым обывателем по полному медицинскому справочнику. На практике man иногда написан так, что понять написанное можно, только если уже знаешь это из других источников. По iptables есть хорошие мануалы на разных языках, которых вполне достаточно для введения в курс дела. Есть ли такие по Tor'у, где постоянно всё меняется — мне неизвестно. Специалистам зачастую проще открыть исходный код и посмотреть, как реализована та или иная опция, чем переворачивать горы ссылок в попытках найти ответ на вопрос, как именно сработает код при таких-то или таких-то нетривиальных условиях/опциях.

Tor failed to establish a Tor network connection.
Requesting relay information failed (connection timeout – 213.163.71.135:18123)

Должна, но это в идеале, потом, когда-нибудь:

https://trac.torproject.org/projects/tor/ticket/8725 What is about that information leakage? Should any web site be able to distinguish Windows and Linux TBB users?

On January 28th, 2016 gk said: Ideally not (which is why there is this bug) but we currently don't aim at concealing the platform used (although long-term we want to do that). See: https://www.torproject.org/projects/torbrowser/design/#fingerprinting-linkability 3. Operating System Vendor and Version Differences in the section Sources of Fingerprinting Issues.