Tor Security для Android и настольного Linux

1. Вступление Интернет-провайдеры в Соединенных Штатах только что учитывая зеленый свет продать...
2. Сеть Tor: теория работы
3. Tor для настольного Linux
4. Заключение

Вступление

Интернет-провайдеры в Соединенных Штатах только что учитывая зеленый свет продать историю использования своих подписчиков SJ Res 34 , открывая ворота для частных данных подписчика, чтобы стать публичными. Похоже, что закон предписывает интернет-провайдерам предоставлять подписчикам механизм «отказа» для частного контроля их истории использования, который должен заполнять каждый подписчик.

Это происходит в интересное время для нового президентства Трампа, поскольку он, кажется, готовит Министерство юстиции к преследовать Сьюзен Райс за доступ к телефонным записям его соратников, когда она была советником по национальной безопасности администрации Обамы. Иронично и недобросовестно, что президент Трамп решил подорвать конфиденциальность использования Интернета для своих избирателей, яростно защищая телефонные записи самых близких ему людей.

Проект Tor представляет эффективную контрмеру против враждебных и неискренних носителей и интернет-провайдеров, которые на правильно укоренившемся и работающем устройстве Android или системе Linux могут форсировать весь сетевой трафик через зашифрованные точки входа Tor (защитные узлы) с настраиваемыми правилами для iptables. Это действие делает всю сетевую активность устройства непрозрачной для вышестоящей несущей - за исключением исключительного вмешательства, все попытки отследить пользователя впоследствии бесполезны.

Orbot для Android

Устройство Android с рутованным доступом требуется для обеспечения высочайшего уровня обслуживания Tor и теперь является обязательным для пользователей, которые ценят конфиденциальность. Стандартные Android-устройства (где root контролируется производителем оригинального оборудования [/ OEM] и / или оператором) могут использовать сеть с приложениями, которые осведомлены о локальном клиенте Tor, но предварительным корневым контролем нулевого идентификатора пользователя является предварительное условие для полной запутанности сетевого трафика устройства. Операторы и OEM-производители очень усердно работают над блокировкой устройств и предотвращением рутирования пользователей, но они также довольно ленивы в применении обновлений безопасности, и появилась процветающая индустрия для владельцев Android, которые используют привилегированный доступ, используя недостатки безопасности. Вот несколько важных ресурсов для укоренения: Sunshine, KingRoot а также KingoRoot , В зависимости от модели оборудования, эти программы могут быть эффективными для освобождения систем Android бесплатно. Исследование этих инструментов и методов лучше всего проводить на дискуссионных форумах для Разработчики XDA ,

Не все рутированные устройства могут использовать все сервисы Tor. Особого внимания заслуживает Samsung Galaxy S7, который не способен работать со стандартным клиентом Orbot и будет использовать только основные режимы работы сети. с более новым альфа-релизом даже когда укоренился. Если ваше устройство так ограничено, возможно, пришло время рассмотреть возможность понижения.

Обратите внимание, что Android Pay и Samsung Pay не будут работать на рутованных устройствах. Производительность сети заметно снизится при использовании Tor. Веб-страницы Google также будут представлять постоянные «капчи», которые затрудняют доступ при запуске через Tor. Эти ограничения в настоящее время представляют собой небольшую цену в свете текущих событий.

Правильная установка Tor на Android включает в себя как Orbot, так и Orfox, оба продукта The Guardian Project , Orbot является агентом управления клиентом Tor и может предоставлять либо локальный прокси-сервер для приложений, поддерживающих Tor, либо, предоставляя root-доступ, перенаправлять весь трафик в точки входа Tor (защитные узлы). Orfox - это пользовательская версия веб-браузера Firefox с несколькими дополнительными надстройками и пользовательскими настройками конфиденциальности. Проект Tor рекомендует Orfox не должны быть изменены добавив или удалив надстройки или изменив настройки конфиденциальности, загрузите классический Firefox для этого действия.

Лучший способ загрузить программное обеспечение Tor на любое Android-устройство (с рутированным или нет) - использовать F-Droid Repository , который принимает вклады только в форме исходного кода и создает пакеты для своего двоичного репозитория. Orbot также доступен в Google Play, но источник F-Droid заслуживает большего доверия. F-Droid будет предоставлять уведомления об обновлении для своих установленных приложений, что является ценной функцией для Orbot и Orfox.

Чтобы загрузить F-Droid, сначала включите установку стороннего приложения (Настройки → Безопасность → [Включить] Неизвестные источники), затем Скачать F-Droid и установите его, затем откройте. Нажмите на настройки в правом верхнем углу и настройте репозитории.

Включите запись для проекта Guardian. Включите их все, если хотите. Нажмите круговую перезагрузку и дайте F-Droid несколько минут для повторной синхронизации.

Найдите слово «tor» и найдите Orbot и Orfox в списке (в алфавитном порядке). Обратите внимание, что «Orweb» не рекомендуется и не рекомендуется из-за соображений безопасности. Выберите Orbot.

Ниже приведен подробный экран Orbot. Установите это.

Ниже приведен подробный экран Orfox. Установите это.

Запустите Orbot. Нажмите на второй значок в правом верхнем углу (столбцы с точками).

Если у вас есть рутированное устройство, выберите опцию запроса корневого доступа.

Предоставьте доступ, если вы можете.

Включите прозрачный прокси и запустите все через Tor. Возможно, потребуется вернуться назад и заново ввести настройки.

Использовать код страны ограничить ваши узлы выхода Tor. Сделайте то же самое для ваших входных (охранных) узлов, если хотите.

Обратите внимание, что есть также меню для выбора определенных приложений для запуска через Tor. Потоковые сервисы или другие приложения с высокой пропускной способностью замедляют Tor для всех - исключите их, если можете, и они не являются проблемой конфиденциальности.

Вернитесь к основному элементу управления и нажмите и удерживайте центральную кнопку, чтобы активировать Tor.

Как только Tor активен, запустите проверку браузера. Обратите внимание, что вы загрузили новый браузер и, скорее всего, увидите диалоговое окно доступных браузеров. Если вы не выберете Orfox, вы подключитесь с предупреждением об отпечатке пальца / JavaScript («не похоже на браузер Tor»).

После завершения проверки браузера проверьте консоль Tor. Это даст некоторую справку, когда я буду обсуждать теорию сети.

Сеть Tor: теория работы

Tor предназначен для проникновения враждебных сторон с огромными ресурсами. Это важно понимать и требуется для безопасного использования сети. Не используйте Tor для подключения к открытым текстовым сервисам, размещающим конфиденциальный контент. Если вы используете Tor для открытого текста, imap, ftp, telnet, smb или http, имейте в виду, что ваш трафик, скорее всего, будет записан враждебным агентом, а ваши учетные данные (пароли) вполне могут быть использованы сторонами, действующими против ваших интересов. , как было установлено в испытаниях honeypot исследователем Хлоя , Tor спроектирован так, чтобы почти ничего не доверять и почти никому - вы должны сделать то же самое, чтобы безопасно его использовать.

Если вас не интересует криптография, пропустите этот абзац. Связь Tor начинается с «рукопожатия ed25519», основанного на известном криптографе Дэниеле Дж. Берштайне и его знаменитом простом (2255 - 19). Симметричные обмены появиться использовать AES-CTR, но AES-CCM и chacha20-poly1305 всплыли в последних заметках о выпуске. Столь же удивительно дальновидный, как сеть Tor для своего возраста, sha1 был выбран для ряда функций MAC, но усилия по исправлению положения уже идут полным ходом.

Теперь будет полезно представить графическую помощь (с нашими старыми друзьями, Алиса и Боб ), который просто просит больше подробностей.

Атрибуция: Electronic Frontier Foundation, незначительные изменения мной. (https://www.torproject.org/about/overview.html.en) [CC BY 3.0 (http://creativecommons.org/licenses/by/3.0)], через Wikimedia Commons

Первый столбец вышеперечисленных серверов известен как сторожевые узлы (по-разному называемые точками входа или узлами входа). Они являются серверами, которые общаются напрямую с Алисой, и они должны быть единственными серверами в цепочке, обладающими какими-либо подробными сведениями о ней.

Второй столбец серверов называется узлами ретрансляции - в меню конфигурации Orbot есть запись, которая станет ретрансляционным узлом. Вам рекомендуется делать это, если у вас жесткое подключение к Интернету и дополнительная пропускная способность. Узлы ретрансляции, которые демонстрируют высокую и надежную пропускную способность сети, продвигаются на Защитные узлы путем голосования на основе консенсуса, о котором я вскоре расскажу.

Третий столбец серверов называется узлами выхода . Похоже, что незашифрованный трафик, исходящий из Tor, приходит из выходных узлов. Это включает враждебные нападения, преследования и различные незаконные и аморальные действия. Некоторые операторы Exit Node - альтруистичные люди и группы, которые ценят конфиденциальность любой ценой. Другие враждебные актеры. Узлы выхода обычно участвуют в судебном процессе, и Tor предоставит реабилитационные услуги для операторов выходного узла и в противном случае сделать каждую попытку юридическая помощь те, кого вызывают перед судьей.

Программное обеспечение Tor, работающее на компьютере Алисы, создаст Circuit через системы в каждом из столбцов. В трассе будут задействованы как минимум три отдельных сервера. Благодаря ключам ed25519 Алиса сможет отправлять секретные сообщения на каждый отдельный сервер в своей цепи. Алиса отправит секретное сообщение на узел ретрансляции, содержащее идентификационные данные выходного узла, и при этом она не позволит охранному узлу узнать, откуда ее трафик будет выходить из Tor. Алиса отправит секретное сообщение на выходной узел, содержащий пароль сеанса, к ее трафику AES, и при этом узлы Guard и Relay не смогут увидеть свои зашифрованные сетевые данные. Цепи разомкнуты и постоянно перестраиваются для обеспечения максимальной конфиденциальности. Такое поэтапное удаление / добавление шифрования при прохождении трафика через канал обычно называется Onion Routing .

В этом графическом пособии не показаны узлы доступа к каталогам , которые аналогичны корневым серверам DNS. Узлы DA работают в нескольких странах, и Tor создан для выживания до четырех из десяти Узлы каталогов, попадающие в руки враждебной стороны , Обратите внимание, что Соединенные Штаты, кажется, принимают четыре Узлы DA. Узлы DA проводят голосование один раз в час, а затем публикуют консенсус, который продвигает / понижает Guard Nodes и устанавливает политику для ряда других мероприятий Tor.

Целенаправленно скрытые от графической помощи узлы моста . Это «неопубликованные» защитные узлы, которые предоставляются автоматическим запросом для пользователей под носителями, интернет-провайдерами и другими силами, которые блокируют трафик на опубликованные охранные узлы, чтобы запретить доступ к Tor. Есть ряд процедур для Запрос доступа к узлу моста. Любой, кто делает такой запрос, должен соблюдать большую осторожность при выборе общедоступных / анонимных сетей для доступа Tor, чтобы избежать обнаружения и наказания.

*** Примечание: приведенный ниже URL (http://3g2upl4pq6kufc4m.onion/) не работает. по электронной почте Чарльз 4/11. Также в графической справке не показаны скрытые сервисы , которые неофициально известны как «темная паутина». Эти сервисы видны только внутри сети Tor. Каналы Tor, включающие скрытые сервисы, никогда не достигают выходного узла. В качестве примера Утка утка идти поисковая система работает как скрытая служба Tor, как сайт http: //3g2upl4pq6kufc4m.onion - все, что заканчивается суффиксом .onion, является скрытой службой Tor, которая не видна в открытом Интернете. Краткий список популярных скрытых сервисов можно найти по адресу https://thehiddenwiki.org , Tor предназначен для того, чтобы пользователи не могли узнать личность или местонахождение поставщиков скрытых услуг. Узлы охраны не получают никакой прямой информации о том, что пользователь ищет доступ к скрытой службе, а не к узлу выхода, но они могут проводить анализ трафика вяло определить это.

С этим словарным запасом для Tor, я сейчас решу конкретные проблемы безопасности:

• Охранные узлы в течение короткого времени общаются с вами через установленный канал. Вы не можете доверять им, и вы должны предполагать, что кто-то будет сканировать порт на вашем компьютере и в конце концов попытаться взломать его, поэтому, если это вообще возможно, обновляйте исправления безопасности. Узлы охраны также бесплатно анализировать ваш трафик вежливо определить, что вы делаете.

• Выходные узлы удаляют последний уровень шифрования Tor и могут анализировать и записывать весь ваш трафик. Еще раз, не используйте Tor для подключения к открытым текстовым сервисам, размещающим конфиденциальный контент. Вредоносные узлы выхода были пойманы воровство и использование паролей в испытаниях honeypot исследователем Хлоя ,

• Протокол bittorrent небезопасно и обескуражен над Тор.

• JavaScript отключен в браузере Tor. Если вы включите его или используете другой браузер, в котором он включен, ваша анонимность может быть нарушена. Если ваша единственная цель состоит в том, чтобы лишить вашего оператора или интернет-провайдера данных отслеживания, это может быть разумной жертвой.

• Браузер Tor - это единственная проверенная и надежная программа для Tor, которая не будет непреднамеренно раскрывать ваш IP-адрес или другие личные данные, когда трафик покидает выходной узел. Такая уверенность уменьшается, если вы используете другие программы с Tor. Tor может скрывать активность большинства программ от вашего оператора или интернет-провайдера с равными возможностями - проблема заключается в том, чтобы добраться до выходного узла до пункта назначения.

• Важно поддерживать вашу систему в актуальном состоянии с помощью исправлений безопасности. ФБР является известен эксплуатировать пользователей Tor, которые этого не делают. Он захватил машины за скрытыми сервисами и установил вредоносное ПО «Операция Торпедо», чтобы нарушить анонимность Tor. АНБ имеет использовал подвиги нулевого дня и собственные узлы Tor для этих целей.

Опять же, Tor предназначен для того, чтобы почти никому и почти никому не доверять - вы должны сделать то же самое, чтобы безопасно его использовать.

Tor для настольного Linux

Простой ответ Tor на настольном Linux - использовать фрак пользовательский дистрибутив, производный от Debian, который направляет весь трафик в узлы Tor Guard. Пожалуйста, обратитесь к Кайл Рэнкинс предыдущая статья журнала Linux о хвостах , В предыдущих версиях Tails были критические недостатки, поэтому важно быть в курсе.

Учитывая, что функциональность Tor желательна в дистрибутивах не-Tails, позвольте мне исследовать установку компонентов Tor в Oracle Linux 7 (аналогично CentOS / Red Hat / Scientific Linux).

Предварительно настроенный браузер и прокси-сервер Tor доступны из веб-сайт проекта , Браузерный пакет Tor - это самый безопасный способ использовать Tor на Linux-клиенте (не TAILS). Загрузите пакет, переместите его на рабочий стол и распакуйте:

$ tar xvJf tor-browser-linux64-6.5.1_en-US.tar.xz ... $ head tor-browser_en-US / start-tor-browser.desktop #! / usr / bin / env ./Browser/execdesktop # # Этот файл является самоизменяющимся файлом .desktop, который можно запустить из # оболочки. Он сохраняет аргументы и среду для скрипта start-tor-browser #. # # Запустите './start-tor-browser.desktop --help', чтобы отобразить полный набор # опций. # # При вызове из оболочки этот файл всегда должен находиться в корневом каталоге Tor Browser #. При запуске из файлового менеджера или настольного графического интерфейса, он # перемещаем.

Используйте графический файловый менеджер, чтобы перейти в каталог tor-browser_en-US и запустить Tor. Появится диалоговое окно с вопросом, требуются ли узлы моста до запуска браузера.

Если вы хотите использовать выходить из узлов в коде конкретной страны , закройте ваш браузер Tor и добавьте этот параметр в ваш torrc:

$ cd tor-browser_en-US / Браузер / TorBrowser / Данные / Tor / $ echo -e "ExitNodes {us} \ nStrictNodes 1" >> torrc

После перезапуска браузера ваши узлы выхода должны быть ограничены выбранными странами.

Пока запущен браузер Tor, вы найдете два новых процесса: ./firefox --class Tor Browser и прокси Tor:

tor-browser_en-US / Браузер / TorBrowser / Tor / tor / torrc DataDirectory tor-browser_en-US / Браузер / TorBrowser / Данные / Tor GeoIPFile tor-browser_en-US / Браузер / TorBrowser / Данные / Tor / geoip GeoIPv6File tor-browser_en-US / Браузер / TorBrowser / Данные / Tor / geoip6 HashedControlPassword xxx __OwningControllerProcess 1234

Если вы хотите присоединиться к сети Tor в качестве узла ретрансляции, вам, вероятно, следует загрузить версию Tor, которая взаимодействует с вашей системой инициализации. Такая версия существует в репозитории EPEL , Загрузите EPEL, затем установите системную версию Tor (обратите внимание, что этот подход не включает Orfox):

# yum install tor Загруженные плагины: langpacks, ulninfo Устранение зависимостей -> Проверка выполнения транзакции ---> Будет установлен пакет tor.x86_64 0: 0.2.9.10-1.el7 -> Зависимость обработки: torsocks для: tor-0.2 .9.10-1.el7.x86_64 -> Выполнение проверки транзакции ---> Будет установлен пакет torsocks.x86_64 0: 2.1.0-1.el7 -> Закончены зависимости разрешения разрешенных зависимостей ======== ================================================== =============== Размер репозитория версии пакета пакета ============================= ================================================= Установка: tor x86_64 0.2.9.10 -1.el7 epel 2.4 M Установка для зависимостей: torsocks x86_64 2.1.0-1.el7 epel 61 k Обзор транзакций ========================= ====================================================== Установить 1 Пакет (+1 зависимый пакет) Общий размер загружаемого файла: 2,5 M Установленный размер: 11 M Это нормально [y / d / N]: y Загрузка пакетов: (1/2): torsocks-2.1.0-1.el7.x86_64 .rpm | 61 кБ 00:09 (2/2): tor-0.2.9.10-1.el7.x86_64.rpm | 2,4 МБ 00:20 --------------------------------------------- ---------------------------- Всего 125 кБ / с | 2,5 МБ 00:20 Выполнение проверки транзакции Выполнение теста транзакции Успешная проверка транзакции Выполнение транзакции Предупреждение: RPMDB изменен за пределами yum. Установка: torsocks-2.1.0-1.el7.x86_64 1/2 Установка: tor-0.2.9.10-1.el7.x86_64 2/2 Проверка: tor-0.2.9.10-1.el7.x86_64 1/2 Проверка: torsocks-2.1.0-1.el7.x86_64 2/2 Установлено: tor.x86_64 0: 0.2.9.10-1.el7 Установлена ​​зависимость: torsocks.x86_64 0: 2.1.0-1.el7 Завершено!

Отсюда вы можете настроить свои политики ретрансляции как изложенные в FAQ ,

Заключение

Verizon и AT & T получили статус «общего перевозчика» в качестве любезности от граждан, но теперь они злоупотребляют этой привилегией. Хотя они признают, что телефонные записи заслуживают конфиденциальности, они утверждают, что сетевой трафик, проходящий через одну и ту же инфраструктуру, должен принадлежать им. Это предосудительно.

Единственный ответ для заинтересованного человека - это ослепить его с помощью Tor. Это связано с затратами: производительность сети снижается, потенциальная подверженность враждебным узлам защиты и выходам требует большей осторожности, и для участия в сети Tor необходимо загружать и обслуживать большое количество программного обеспечения. Это цена, которую мы должны заплатить.

Я избегал обсуждения Tor на системах, отличных от Linux, поскольку документация по этому вопросу существует в другом месте. Несколько соответствующих ресурсов включают Apple iOS а также Майкрософт Виндоус Но теперь это второстепенные платформы, поскольку Linux стала самой популярной операционной системой в Интернете.

Мы можем только надеяться, что, во-первых, значительный процент подписчиков загружают клиентов Tor, а во-вторых, граждане играют гораздо более активную роль в ограничении привилегий, которые были предоставлены этим незаслуженным и оскорбительным корпорациям. Они должны однозначно знать, что это слишком далеко.

Отказ от ответственности: мнения, выраженные в этой статье, принадлежат автору и не обязательно отражают точку зрения Linux Journal .

Похожие

Комментарии