Прозрачная торификация рута

unknown, а в случае с прозрачной торификацией отдельных юзеров, как в faq нашего сайта и в wiki Tor'а – тогда надо такое правило в таблицу nat вставлять?
-A OUTPUT -p udp -m udp --dport 123 -j ACCEPT
Причем первой из записей, над всеми, касающимися прозрачной торификации:
-A OUTPUT -o lo -j RETURN -A OUTPUT -d 127.0.0.1/32 -j RETURN -A OUTPUT -m owner --uid-owner debian-tor -j RETURN -A OUTPUT -p tcp -m owner --uid-owner root -m tcp --tcp-flags FIN,SYN,RST,ACK SYN -j REDIRECT --to-ports 9040 -A OUTPUT -p udp -m owner --uid-owner root -m udp --dport 53 -j REDIRECT --to-ports 53 и т.д.
Хотя недавно где-то читал, что "новомодная" тенденция закрывать фаерволом всю систему (прозрачно торифицировать в смысле), и затем открывать для отдельных юзеров, т.е. наоборот.
Однако в вику тора этого не внесли, при этом.

Хотя fingerprinting remote devices (была тут статья на тему)

Вот она, кстати. Проблема «что делать с NTP» на форуме всплывает... регулярно.

Хотя недавно где-то читал, что "новомодная" тенденция закрывать фаерволом всю систему (прозрачно торифицировать в смысле), и затем открывать для отдельных юзеров, т.е. наоборот.

Каждый городит правила в меру своей испорченности[создать]. В официальной вики на тему правил тоже можно поспорить — там скорее PoC дан, а доделывать их под себя каждый сам должен, включив мозги. Из давних обсуждений с линуксоидами инструкций unknown'а в FAQ помню, что ругались на него. Сразу скажу, что деталей не помню: то ли были претензии как использованию полуdepricated-опций, то ли к некоторым самим правилам (не деанон, а просто «грязно»). Сам я iptables не знаю настолько хорошо, чтоб судить.

Если почитать общие книжки по файерволлам, можно узнать общие рекомендации. Есть, кстати, 2 способа изложения правил:

1. Разрешить всё, и потом пометить руками что запретить.
2. Запретить всё, и потом руками внести правила, которые разрешат необходимое (всё, что не рзарешено, должно быть запрещено).

Для Tor'а 2ой способ больше подходит (что не мешает в инструкциях в официальном Tor-вики писать правила по 1ому методу). Ну и гайки позавинчивать стоит.

По последним новомодным тенденциям разработчики вообще забили на прозрачную торификацию. А один из них даже робко осуждает сам торовский проект — "Tor router" или "Onionbox" — где тор вынесен на отдельную машину. И судя по всему, любое использование тора вне рамок торбраузера также под вопросом. Потому как это делает пользователя псевдонимным, а не анонимным, а пользователи таких тонкостей не понимают. Ради популяризации тора и роста базы стабильных бриджей, на запуск которых агитируют пользователей таких роутеров, пока на это скорее всего закрывают глаза.

Вообще, прозрачная торификация — не стандарт. Что пропишете в конфиге, то и будет. Можно резать, можно заворачивать на DNS-порт Tor'а и т.д.

А что будет, если все udp заворачивать на DNS-порт Tor'а? Они будут выходить из Tor в публичный Интернет? Т.е. можно ли таким образом "научить" SIP Tor'у?!

И судя по всему, любое использование тора вне рамок торбраузера также под вопросом. Потому как это делает пользователя псевдонимным, а не анонимным, а пользователи таких тонкостей не понимают.

Неужели все-таки угробят прозрачную торификацию? Будет очень плачевно, так как такая псевдониность зачастую более безопасна, чем анонимность. Например, если что-то активно делаешь через Tor (управляешь антиправительственными серверами, например), где крайне нежелательно в первую очередь раскрытие физического местоположения, а не связывание одних твоих действий с другими).
Да и я не совсем понимаю, а как, например, можно профилировать ssh-соединения?!
P.S. А в чем состоит пседонимность, если, например, юзаешь тот же TBB не через локальный Tor, а через системный и прозрачную торификацию?

Поэтому для особо продвинутых применений скорее всего не угробят.

Проблема в том, что помимо TBB в одном сеансе может быть другое соединение от другой программы и пользователь не будет за этим следить (нет единого механизма для всех). А эксит (или их сотрудничающая злоумышленная фракция) будет. И может выделять этого пользователя среди остальных: профилирование, разделение одного большого множества анонимов на кучки мелких, особо выдающихся своей навороченностью и продвинутостью, но невнимательных. Поэтому псевдонимность какбы плохо всем — нарушается принцип: "чем больше пользователей в сети Tor, тем больше анонимность"; нагрузка на сеть растёт с меньшей пользой.

Предполагается сделать разные подключения и построение отдельных цепочек для разных программ, в общем нужен встроенный механизм разруливания ситуаций под такие требования, одна прозрачная торификация может принести больше вреда, чем пользы. Поэтому её статус пока неясен.

Предполагается сделать разные подключения и построение отдельных цепочек для разных программ, в общем нужен встроенный механизм разруливания ситуаций под такие требования, одна прозрачная торификация может принести больше вреда, чем пользы. Поэтому её статус пока неясен.

Я лично из-под разных профилей с одного компа одновременно не работаю. Да и трудно это физически.
А если поднять несколько демонов tor'а от разных системных тороюзеров и распихать по каждому из них прозрачно торифицированных юзеров с тем, чтобы каждый профиль прозрачно торифицированного юзера лез в Сеть через свои собственные цепочки?!

Можно, главное не запутаться.

https://lists.torproject.org/p.....12-April/023907.html – а как вам это решение?!
Правда, у человека из 7 раза два раза не сработало...

А, так это уже значит реализовали в альфа-версии. Возможно, криво реализовали, подождём ответ с разъяснением. Альфа по-определению — это для тех, кому экспериментировать и участвовать в отладке интереснее.

что не мешает в инструкциях в официальном Tor-вики писать правила по 1ому методу

Очевидно, необходимость того, чтобы работало у всех и во всех конфигурациях с минимальными телодвижениями настраивающих это пользователей.

И судя по всему, любое использование тора вне рамок торбраузера также под вопросом. Потому как это делает пользователя псевдонимным, а не анонимным, а пользователи таких тонкостей не понимают.

Да, но если TorBrowser ходит во внешнюю сеть и на скрытые ресурсы, а сторонний трафик того же клиента Tor (например, XMPP) идёт только на скрытые ресурсы, то экситы в пролёте, как и администраторы скрытых ресурсов Tor — никакого профайлинга не получится, т.к. нет точки, через котрую весь трафик проходит расшифрованным. Более того, это даже работает как антипрофайлинг — владельцам тор-энтри будет труднее фингерпринтить сайты, на которые ходят пользователи.

в чем состоит пседонимность, если, например, юзаешь тот же TBB не через локальный Tor, а через системный и прозрачную торификацию?

Если через тот же системный Tor не идёт трафик других приложений (не TBB), то ни в чём.

одна прозрачная торификация может принести больше вреда, чем пользы. Поэтому её статус пока неясен.

Я чувствую, они однажды докаркаются подобно Debian OpenSSL. Вот найдут однажды нормальную дыру в FireFox, от которой TBB не спасает, загрузят её на самые злачные места, посещаемые анонимами, соберут статистику. Вот вы и узнаете зачем нужна прозрачная торификация и контроль на уроне firewall'ов, когда тысячи одновременных арестов по всем странам пройдёт. С катанием бочки на прозрачную торификацию (точнее, на firewall-контроль Tor'а) надо быть очень, очень аккуратным — это та последняя миля, которая реально страхует утечку реального IP от полного фейла.

А что будет, если все udp заворачивать на DNS-порт Tor'а? Они будут выходить из Tor в публичный Интернет? Т.е. можно ли таким образом "научить" SIP Tor'у?!

Нельзя. Tor не проксирует DNS трафик через Tor — он редиректит только DNS-запросы, причём своими методами, на эксит, и DNS-разрешение производит эксит на тех DNS-серверах, которые у него прописаны в настройках (у всех разные, в общем случае). Что при этом прописано у клиента в качестве DNS-сервера не влияет ни на что — firewall сливает в Tor либо режет всё, что идёт по DNS-порту и/или UDP.

я не совсем понимаю, а как, например, можно профилировать ssh-соединения?!

Вы когда-нибудь логинились на какой-нить OpenSSH-сервер неанонимно? Или у вас есть серверы, куда вы до сих пор так логинитесь? Поздравляю, значит, эти серверы знают точно ваш name string. Включайте ssh -v и ищите в выводе строчку «debug1: Local version string». Итак, ssh-сервера, посещаемые анонимно и неанонимно знают о вас нечто общее. Можно, конечно, завести 2 ssh-клиента, один для анонимных, а другой — для неанонимных соединений, это слегка сгладит проблему. В частности, в BSD помимо ssh из базы есть gnu-порт ssh в портах — они дают разные version string.

а как вам это решение?!

Очень интересно. Могли бы создать отдельную ветку или новость на эту тему, с объяснением зачем это надо, введением и заключением. А то потом фиг найдёшь этот ваш пост, чтобы сослаться в ответе другим. И да, конечно, вы (и не только вы) уже конкретно затрахали с вставкой ссылок как есть. Что, синтаксис ссылок не судьба посмотреть? Надо засрать форум кишками ссылок длиной во всю страницу? Ссылка вставляется так: [[http://адрес имя_ссылки]].

Да, но если TorBrowser ходит во внешнюю сеть и на скрытые ресурсы, а сторонний трафик того же клиента Tor (например, XMPP) идёт только на скрытые ресурсы

Это частный случай. Может быть много частных случаев, которые полезны/интересны пользователю. Прекрасно, пусть он и настраивает персонально, если уверен в своих силах. Пусть пользователи обмениваются опытом, экспериментируют в нестандартных настройках, если это потенциально помогает в выработке стандартизированных решений в будущем. У большинства же неразбирающихся пользователей могут возникнуть скорее нежелательные ситуации.

С катанием бочки на прозрачную торификацию (точнее, на firewall-контроль Tor'а) надо быть очень, очень аккуратным — это та последняя миля, которая реально страхует утечку реального IP от полного фейла.

Это так. Но этим пользуется меньшинство, это бывает сложно интегрировать в приоритетные задачи и связать в стандартизированное, неподдающееся профилированию по трафику решение, по аналогии с TBB.

Вначале у разработчиков был большой энтузиазм в этом направлении. На торпроджекте есть слайды и видео выступления Роджера, где он рекламировал прозрачную торификацию, чуть ли ни как "киллер-фичу" для юникс-систем. Но, вероятно, после открытия тем с профилированием трафика и усиления представления о том, что большинство пользователей абсолютно непродвинутые (приём звонков и какие-то программы по непосредственному общению с тор-юзерами их добили похоже окончательно), проект к прозрачной торификации несколько охладел. При этом, скрытые ресурсы тоже не являются приоритетом ни у разработчиков, ни (по мнению разработчиков) у большинства пользователей.

Вот вы и узнаете зачем нужна прозрачная торификация и контроль на уроне firewall'ов, когда тысячи одновременных арестов по всем странам пройдёт.

Возможно, проект не расчитывает на то, что в случае фейла с браузером, незначительное число столь продвинуто подстраховавшихся хоть как-то скрасят общую картину.

это бывает сложно интегрировать в приоритетные задачи и связать в стандартизированное, неподдающееся профилированию по трафику решение, по аналогии с TBB.

Довести до ума Tails и список инструкций к нему «что можно делать» и «что нельзя»?

скрытые ресурсы тоже не являются приоритетом ни у разработчиков, ни (по мнению разработчиков) у большинства пользователей.

Судя по нашим недавним обсуждениям, скрытые ресурсы стремительно набирают популярность (к добру ли это для них в частности и для всего Tor'а в целом — уже другой вопрос).

P.S.: Всё-таки мы некорректно называем страховку firewall'ом прозрачной торификацией. Всё, что нужно, по минимуму, — это системный Tor, работающий как http/https-прокси, слушающий на определённом порту, причём трафик в обход прокси чтоб резался iptables/pf'ом. Здесь нет никаких существенных недостатков прозрачной торификации as is — достаточно, чтобы TorBrowser-девы выпустили сборку, не привязанную к своему Tor'у, остальные бы сами привязали его к системному. Отсутствие такого выпуска — предмет лени, а не нежелания проделывать большую работу, как я понимаю. Более того, подозреваю, что у самих сборщиков TorBrowser'а такая версия TB (без привязки к текущему Tor) даже есть (просто для тестов): при сборке монстра бандла сначала собираются все компоненты по отдельности, тестируются, а потом уже сливаются в один бандл и тестируются вместе. В данном случае их просят выложить предварительный результат, до сливки в бандл, а они не хотят.

Возможно, юниксовая версия будет ещё сильнее отличаться от виндовой. Хотя должны быть и более существенные проблемы. У нас была отдельная тема в форуме и разработчикам мы посылали свои недовольства. Они с нами в чём-то соглашались и что-то отвечали. Где-то на проджекте висит тикет об отвязке TBB от своего тора и привязке его к системному. Если интересно, можно это всё отыскать, чтобы найти конкретный ответ.

Просто, если бы всё было легко и не было подводных камней — это бы сделали. А желания запоминать или разбираться заново, почему что-то не получилось, не вышло, не всегда хватает.

При этом, скрытые ресурсы тоже не являются приоритетом ни у разработчиков, ни (по мнению разработчиков) у большинства пользователей.

ИМХО, зря. Раз СР (скрытые ресурсы) предоставляют куда больше анонимности, чем просто Tor как транспорт, довести их до ума (до приемлемой степени анонимности, какую в принципе могут допускать протоколы реального времени) более реалистично. Ну и уже имеющийся задел у СР впечатляет: есть p2p-инфраструктура, анонимость серверов и клиентов, отсутствие необходимости иметь реальный IP, аутентификация для приватных СР и т.д. Может быть, когда-нибудь популярность СР будет сравнима с оной у обычных интернет-ресурсов. Во всяком случае, то, что любой серьёзный современный протокол должен иметь поддержку шифрования, уже давно осознаётся сообществом — осталось только, чтобы анонимность стала считаться такой же необходимостью.