id: Гость   вход   регистрация
текущее время 19:54 05/02/2025
Владелец: ygrek (создано 30/10/2006 11:34), редакция от 18/10/2018 13:45 (автор: Frank) Печать
Категории: софт, анонимность, tor
https://www.pgpru.com/Софт/Tor
создать
просмотр
редакции
ссылки

Tor


Оглавление документа:
О программе
Obfsproxy
Меры предосторожности
Полезные дополнения и пакеты


Официальный сайт | Скачать | Документация
Поддерживаемые ОС: Windows / MacOS X / Linux / BSD / Unix

О программе


Tor — это анонимизирующая сеть. Клиент сети Tor с дополнительными программами Tor Browser Bundle (с сайта проекта можно скачать отдельно клиент и компоненты, затем настроить вручную) Tor обеспечивает скрытное нахождения в интернете, защищает от анализа и прослушивания трафика, скрывает IP адрес. Названные свойства достигаются за счет "многослойного" зашифрования передаваемого трафика для нескольких произвольно выбранных узлов сети Tor и последовательной трансляции через эти узлы к получателю (в итоге, последний Tor-узел и получатель не знают, кто передавал им трафик, а первый Tor-узел в цепочке не имеет представления о месте назначения).


!Внимание: Tor не станет каким-то волшебным образом защищать весь ваш трафик только за счет того, что вы его установили. Вам потребуется определенным образом перенастроить используемые программы, а также, возможно, пересмотреть свое поведение в Сети. Некоторые рекомендации приведены ниже.

Следует отметить, что анонимность достигается не "бесплатно". В частности, пропускная способность сети Tor ниже, чем при прямых соединениях, передача через сеть вводит определенные задержки, но, тем не менее, скорость остается, как правило, выше, чем при коммутируемом модемном подключении. Кроме того, Tor налагает некоторые ограничения на содержание передаваемых данных: к примеру, не прибегая к особым ухищрениям, через него невозможно отправить простое письмо из мэйл-клиента, что сделано для предотвращения использования сети для рассылки спама.

Obfsproxy


Obfsproxy — версия клиента Tor с маскировкой трафика, при её использовании найти установленное соединение с Tor сложнее. Блокировка трафика при использовании этой версии Tor маловероятна.
Обратите внимание, что на момент написания версия помечена, как alpha следовательно может содержать опасные ошибки.

Меры предосторожности


Важное предупреждение заключается в том, что Tor обеспечивает анонимность только на транспортном уровне, т.е. скрывает ваш IP-адрес от получателя и не позволяет выделить в потоке передаваемого через сеть трафика конкретно ваш. В то же время, Tor не волнует протокольный уровень и содержимое передаваемых вами данных. Вот что вам нужно иметь в виду перед установкой Tor, если вы рассчитываете получить достаточный уровень анонимности:


  • Если изменить настройки без понимания последствий плагины и различные надстройки для браузера могут тривиально раскрыть ваш IP (например, плагин Adobe Reader, позволяющий читать документы PDF в окне браузера, может обойти параметры прокси-сервера и открыть документ напрямую, минуя Tor, что разрушит вашу анонимность). Такие же действия могут выполнять Java-апплеты, компоненты ActiveX и Flash и др.

  • Для работы через Tor необходимо использовать последнюю версию TorBrowser из стандартного пакета. Простой установки дополнений из сборки на стандартный Firefox недостаточно и настройки недостаточно. В форке Firefox от проекта Tor пропатчен код.

  • Параметры прокси можно указывать и в других программах. В таком случае нужно:
    1. Указать socks-адрес Tor в соединяемой программе. Или указать все типы поддерживаемых протоколов (включая FTP, Gopher и др.) при использовании локального прокси – программы-посредника между Tor и программой (такая программа используется, если соединяемая не поддерживает socks). Настройка на примере COMODO Firewall.
    2. В Windows для направления соединения программы в Tor можно использовать программы проксификаторы. Для linux средства самой системы.
    Внимание. В этом случае следует понимать, что может выдать о вас соединяемая программа. Кроме этого появляются дополнительные способы обноружить пользователя Tor.
    Примечание. К сети Tor для большей анонимности можно подключать Torrent клиент, но это засоряет сеть Tor и может негативно на ней сказаться (на сети в общем).

  • Небезопасное использование cookies способно разрушить анонимность, несмотря на использование Tor. В лучшем случае cookies следует полностью отключить или грамотно контролировать.

  • DNS-запросы программ, идущие в обход сети Tor к DNS-серверу провайдера, столь же опасны. Следует заблокировать фаерволом доступ TorBrowser (форк firefox из сборки) ко всем адресам кроме локального (127.0.0.1) на порт используемый для связи с Tor.

  • И, наконец, будьте внимательны к тому, что публикуете в Сети. Если вы используете Tor, но при этом сообщаете в каком-нибудь форуме свое реальное имя или никнэйм, которым пользуетесь при неанонимных подключениях, то винить Tor будет не в чем.

См. также /FAQ/Анонимность

Полезные дополнения и пакеты


Tor BrowserКоманда разработчиков Tor и Стивен Мёрдок из Кэмбриджа поддерживают собственный дистрибутив браузера Firefox, преднастроенного на безопасную работу через сеть Tor. Помимо Firefox пакет Tor Browser включает сам Tor-клиент, контроллер Vidalia, локальный прокси Polipo и расширение Torbutton (укреплённая экспериментальная версия) для браузера. Все программы настроены на совместную работу и запуск одним кликом мыши. Пакет особенно рекомендован начинающим пользователям.
TailsTails – это "живая" (live) операционная система, которая направлена на сохранение вашей конфиденциальности и анонимности. Она помогает вам использовать Интернет анонимно и обходить цензуру практически в любом месте, где бы вы ни находились, и на любом компьютере, но не оставлять никаких следов, если вы явно этого не попросите. Это полная операционная система, предназначенная для использования с USB-накопителя или DVD-диска независимо от исходной операционной системы компьютера. Это бесплатное программное обеспечение, основанное на Debian GNU/Linux. Tails поставляется с несколькими встроенными приложениями, предварительно настроенными с учетом безопасности: веб-браузер, клиент обмена мгновенными сообщениями, почтовый клиент, офисный пакет, редакторы изображения и звука и т.п.
PortableTorСществовал в прошлом, сейчас является стандартным для систем Windows. Портативный пакет Tor, не требующий инсталляции на компьютер. Работает с флэшки или любого другого носителя, позволяя сохранять сетевую анонимность, находясь за общественным компьютером или там, где недоступна установка программ.
JanusVMПредставляет собой виртуальную машину (на базе Linux), действующую в роли локального прокси-сервера. Внешнее соединение с провайдером устанавливается из виртуальной машины JanusVM (которая принудительно заворачивает весь проходящий трафик в Tor), а пользовательская host-система (Windows или Linux) подключается к виртуальной по внутреннему VPN-соединению. Следует понимать, что при этом виртуализируется только сетевой адаптер, а не браузер, поэтому плагины всё равно нужно отключать.

 
На страницу: 1, 2, 3, 4, 5, 6, 7 След.
Комментарии [скрыть комментарии/форму]
— Гость (20/03/2014 15:21)   <#>

Можно версию 1.4.16 взять по там приведённой ссылке.
— Гость (20/03/2014 18:10)   <#>
Установил gnupg-w32cli-1.4.16 в директорию с программой (C:\Program Files\GNU\GnuPG) положил torbrowser-install-3.5.3_en-US.exe.asc и torbrowser-install-3.5.3_en-US.exe.asc
Создал батник с текстом:
cd "%d0\%~p0"
gpg --verify torbrowser-install-3.5.3_en-US.exe.asc
@echo off
pause > nul
После запуска, получился такой текст:

C:\Program Files\GNU\GnuPG>cd "C:\\Program Files\GNU\GnuPG\"

C:\Program Files\GNU\GnuPG>gpg --verify torbrowser-install-3.5.3_en-US.exe.asc
gpg: Signature made 03/19/14 21:25:40 using RSA key ID 63FEE659
gpg: Can't check signature: public key not found

В чём проблема?
— unknown (20/03/2014 20:58)   профиль/связь   <#>
комментариев: 9796   документов: 488   редакций: 5664
У вас ни в чём, всё правильно показывает, просто вы, возможно, не разбирались в работе gpg и не импортировали правильный открытый ключ для проверки.

Гораздо хуже то, что они развели бардак с подписями, хоть не скачивай новую версию теперь.
— Гость (20/03/2014 21:39)   <#>

Под Linux у меня всё ОК проверилось:
$ gpg --verify tor-browser-linuxXX-3.5.3_XXXX.tar.xz.asc
gpg: Signature made Wed XX Mar 2014 XX:XX:XX XX XXX using RSA key ID 63FEE659
gpg: Good signature from "Erinn Clark <erinn@torproject.org>"
gpg:                 aka "Erinn Clark <erinn@debian.org>"
gpg:                 aka "Erinn Clark <erinn@double-helix.org>"
gpg: WARNING: This key is not certified with a trusted signature!
gpg:          There is no indication that the signature belongs to the owner.
Primary key fingerprint: 8738 A680 B84B 3031 A630  F2DB 416F 0610 63FE E659
Я не знаю, кто должен заверять все хэши (sha256sums.txt), но TBB традиционнно заверяла Erinn. Сорсы Tor'а заверял кто-то другой.


Импортируйте на связку ключ: gpg --import FILE, где FILE — содержимое страницы начиная с -----BEGIN PGP PUBLIC KEY BLOCK-----. Отпечток (т.е. вывод команды gpg --fingerprint 0x63FEE659) должен быть тем же, что написан выше, и тем же, что приведён по ссылке unknown'а.
— Гость (21/03/2014 00:10)   <#>
Спасибо всем, теперь проверка получилась.
Как Вы и посоветовали, скопировал содержимое начиная с
BEGIN PGP PUBLIC KEY BLOCK
и до конца страницы в текстовый файл FILE (без расширения). Для удобства импортирования сделал ещё один батник:
cd "%d0\%~p0"
gpg --import FILE
@echo off
pause > nul
его нужно запускать первым.

А вторым этот:
cd "%d0\%~p0"
gpg --verify torbrowser-install-3.5.3_en-US.exe.asc
@echo off
pause > nul

После запуска второго батника появился текст:

C:\Program Files\GNU\GnuPG>cd "C:\\Program Files\GNU\GnuPG\"

C:\Program Files\GNU\GnuPG>gpg --verify torbrowser-install-3.5.3_en-US.exe.asc
gpg: Signature made 03/19/14 21:25:40 using RSA key ID 63FEE659
gpg: Good signature from "Erinn Clark <erinn@torproject.org>"
gpg: aka "Erinn Clark <erinn@debian.org>"
gpg: aka "Erinn Clark <erinn@double-helix.org>"
gpg: WARNING: This key is not certified with a trusted signature!
gpg: There is no indication that the signature belongs to the owner.
Primary key fingerprint: 8738 A680 B84B 3031 A630 F2DB 416F 0610 63FE E659


И вопросы у меня добавились.
Получается на каждую программу должен быть публичный ключ?
Тогда где (как) искать публичные ключи для проверки программ (файлов)?
Хотел так-же проверить скаченную программу Gpg4win, облазил весь сайт и публичного ключа не нашел.
— Гость (21/03/2014 08:16)   <#>
Гость (21/03/2014 00:10), научитесь оформлять куски кода как код, чтобы PGP-заголовки не портили форматирование (%%код%%).


Да, PGP-ключ разработчика. В крайнем случае — PGP-ключ мейнтейнера, который добавляет пакет в систему.


На сайте той программы, подпись к которой хотите проверить. Если такой подписи там нет, это твёрдый намёк на то, что программа — говно. На практике ручная проверка используется не так часто, потому что в порядочных системах типа Debian Linux она встроена в менеджер пакетов и происходит автоматически при установке — вам остаётся лишь проверить подписи для самого инсталляционного iso-образа, с которого вы устанавливаете операционную систему.


По указанной здесь ссылке иду сюда и вижу файлы
gnupg-w32cli-1.4.16.exe        18-Dec-2013 08:50     1.5M
gnupg-w32cli-1.4.16.exe.sig    18-Dec-2013 08:50     287
Скачиваю их оба. Выполняю
gpg --verify gnupg-w32cli-1.4.16.exe.sig gnupg-w32cli-1.4.16.exe
gpg: Signature made Fri XX Dec 2013 XX:XX:XX XX XXX using RSA key ID 4F25E3B6
gpg: Can't check signature: public key not found
и получаю ID ключа, которым это подписано: 0x4F25E3B6. Иду теперь сюда, в поле «найти ключ» ввожу 0x4F25E3B6. Движок возвращает мне ссылку с ключом. Импортирую его через gpg --import как выше описано. Теперь команда gpg -k показывает, что ключ на связке есть. Повторяю проверку:
gpg --verify gnupg-w32cli-1.4.16.exe.sig gnupg-w32cli-1.4.16.exe
gpg: Signature made Fri XX Dec 2013 XX:XX:XX XX XXX using RSA key ID 4F25E3B6           
gpg: Good signature from "Werner Koch (dist sig)"
gpg: WARNING: This key is not certified with a trusted signature!
gpg:          There is no indication that the signature belongs to the owner.
Primary key fingerprint: D869 2123 C406 5DEA 5E0F  3AB5 249B 39D2 4F25 E3B6
Осталось только выяснить, действительно ли ключ с указанным отпечатком принадлежит тому, кто должен подписывать софт GnuPG. Смотрю, кто его подписывал:
gpg --list-sigs 0x4F25E3B6
pub   2048R/4F25E3B6 2011-01-12 [expires: 2019-12-31]
uid                  Werner Koch (dist sig)
sig          58DFC608 2011-06-11  [User ID not found]
sig          30B94B5C 2012-02-29  [User ID not found]
sig          1E42B367 2011-01-12  [User ID not found]
sig          3B180E81 2011-02-13  [User ID not found]
sig          8CA41631 2013-06-17  [User ID not found]
sig          1CE0C630 2011-01-12  [User ID not found]
sig          B7FCA900 2012-12-08  [User ID not found]
sig          C9E8E428 2013-01-27  [User ID not found]
sig          6093D23C 2013-11-08  [User ID not found]
sig 2        2AAA5C3B 2011-01-22  [User ID not found]
sig 2        E3F1D8F7 2012-01-31  [User ID not found]
sig 3        4F25E3B6 2011-01-12  Werner Koch (dist sig)
sig          FDE2759C 2012-09-09  [User ID not found]
sig 1        46EB581F 2011-10-29  [User ID not found]
sig          F80D46AB 2011-06-10  [User ID not found]
sig          A3B53998 2011-06-14  [User ID not found]
sig          046F070A 2013-04-22  [User ID not found]
sig          567BF1C2 2014-01-13  [User ID not found]
sub   2048R/AC87C71A 2011-01-12 [expires: 2019-12-31]
sig          1CE0C630 2011-01-12  [User ID not found]
sig          4F25E3B6 2011-01-12  Werner Koch (dist sig)
У меня на связке ключей нет ни одного, который бы подписал данный, но можно вручную поискать, что за ключи его подписывали. Поидее ключ должен быть подписан мейнтейнерами Debian'а, хотя бы некоторыми. Есть способы автоматической провреки того, как связаны ключи: /servisy/wot, но почему-то проверка не работает. Изучить матчасть можно по ссылкам [1], [2], [3], [4].
— unknown (21/03/2014 09:46, исправлен 21/03/2014 12:34)   профиль/связь   <#>
комментариев: 9796   документов: 488   редакций: 5664

Начиная с третьей версии список хэшей заверяли Erinn, Linus Norberg и Mike Perry. Вообще, чем больше заверяющих, тем лучше.


А в этот раз накосячили. Роджер согласился и открыл тикет.


Странно, что две подписи от Эринн имеют время 19 Mar 2014 09:25:30 PM MSK и 19 Mar 2014 09:26:01 PM MSK. MSK — это, понятно, таймзона моей консоли. Но если время никто специально не подгонял, то сами подписи сделаны с интервалом полминуты. Т.е. кто-то один расписался одним ключом и за Эрин, и за Майка. Это не просто ошибка в копировании и переименовании файлов.


На данный момент появилась подпись gk.


На будущее ещё совет. Сохраняйте предыдущую версию TBB со всеми хэшами и подписями. При появлении новой сравнивайте, что поменялось. Так можно выявить подмену подписей или ключей. Саму проверку новой версии TBB также можно делать дважды: сначала не обновляя ключи подписывающих, а затем обновив их с серверов открытых ключей и ещё раз сравнив результат. Если кто-то из подписывающих отозвал или как-то подозрительно поменял свой ключ — есть повод выяснить информацию по этому поводу в рассылке, блоге проекта и т.д.



Короткий KeyID — ненадёжная штука и м.б. подделан.


Если ключ неизвестен, лучше сразу узнать его полный отпечаток:

gpg --list-packets gnupg-w32cli-1.4.16.exe.sig
:signature packet: algo 1, keyid 249B39D24F25E3B6
    version 4, created 1386924735, md5len 0, sigclass 0x00
    digest algo 8, begin of digest 39 bd
    hashed subpkt 2 len 4 (sig created 2013-12-13)
    subpkt 16 len 8 (issuer key ID 249B39D24F25E3B6)
    data: [2048 bits]


И искать уже 0x249B39D24F25E3B6


Находится один ключ:

gpg  --keyserver keys.gnupg.net/ --search-key 0x249B39D24F25E3B6
gpg: searching for "0x249B39D24F25E3B6" from hkp server keys.gnupg.net
(1)     Werner Koch (dist sig)
          2048 bit RSA key 4F25E3B6, created: 2011-01-12
Keys 1-1 of 1 for "0x249B39D24F25E3B6".  Enter number(s), N)ext, or Q)uit >


Выбираем цифру 1, чтобы импортировать:

Keys 1-1 of 1 for "0x249B39D24F25E3B6".  Enter number(s), N)ext, or Q)uit > 1
gpg: requesting key 4F25E3B6 from hkp server keys.gnupg.net
gpg: key 4F25E3B6: public key "Werner Koch (dist sig)" imported
gpg: 3 marginal(s) needed, 1 complete(s) needed, PGP trust model
gpg: depth: 0  valid:   2  signed:   0  trust: 0-, 0q, 0n, 0m, 0f, 2u
gpg: Total number processed: 1
gpg:               imported: 1  (RSA: 1)


Судя по этой ссылке Werner Koch разработчиком Debian не является.

— Гость (21/03/2014 10:49)   <#>

В любом случае, когда доверие такой важной вещи как TBB строится на доверии PGP-ключу одной-единственной женщины, это не очень хорошо. Логично, если бы TBB подписывался ключами нескольких членов Tor-проекта сразу. Сейчас опосредованно это так и есть, но приходится скачивать дополнительный файл, содержащий хэши всего и вся, а не только TBB. Жаль, что нельзя делать подпись несколькими ключами одновременно [1], [2].


16-ричный KeyID — тоже не отпечаток. Предлагается доверие выставлять только по отпечатку, при этом, с учётом замечания, все косяки с коллизиями по KeyID'ам всплывут сразу же.
— unknown (21/03/2014 10:53)   профиль/связь   <#>
комментариев: 9796   документов: 488   редакций: 5664
приходится скачивать дополнительный файл, содержащий хэши всего и вся, а не только TBB. Жаль, что нельзя делать подпись несколькими ключами одновременно

Именно так стандартно и делается, когда нужно проставить много подписей на один файл или много подписей на много файлов: создаётся файл со списком хэшей файлов, а его уже подписывают. TorProject в этом плане ничего нового не изобрёл.

Пакетный менеджер Debian работает по такому принципу. Можете использовать вариант скрипта для проверки, который я отправлял в рассылку.
— Гость (21/03/2014 10:54)   <#>

Намекаете не коллизию? Перечитайте свой пост, она уже там:

Если ключ неизвестен, лучше сразу узнать его полный отпечаток:

Если ключ неизвестен, лучше сразу узнать его полный отпечаток:
— Гость (21/03/2014 11:02)   <#>

Спасибо, уже видел.


А кто тогда подписывает GnuPG в Debian? Мейнтейнер пакета? А чему тогда доверяет мейнтейнер пакета, кроме как подписи разработчика GnuPG? А если доверяет, то почему не подпишет его ключ? По любой логике, ключ разработчика GnuPG должен быть, IMHO, подписан кем-то из дебианцев.
— unknown (21/03/2014 11:09, исправлен 21/03/2014 12:39)   профиль/связь   <#>
комментариев: 9796   документов: 488   редакций: 5664

Внезапно, никем. Тор подписан, а Gnupg — нет. Вывод постить не буду. Проверял так:


#! /bin/bash
 
for a in 0x58DFC608 0x30B94B5C 0x1E42B367 0x3B180E81 \
0x8CA41631 0x1CE0C630 0xB7FCA900 0xC9E8E428 \
0x6093D23C 0x567BF1C2 0x2AAA5C3B 0xE3F1D8F7 \
0x4F25E3B6 0xFDE2759C 0x46EB581F 0xF80D46AB \
0xA3B53998 0x046F070A 0x1CE0C630 0x4F25E3B6; do
 
  gpg --keyring /usr/share/keyrings/debian-maintainers.gpg  --list-sigs  $a
 
done



Всё-таки 0x4F25E3B6 совсем короткий отпечаток и коллизия к нему подбирается элементарно, а 0x249B39D24F25E3B6 — длиннее, хотя тоже не очень. Но это по крайней мере максимум длины, по которому можно искать на серверах.



Понял :) Удалил повторяющиеся абзацы.


У разработчика GPG ключ вообще не в сильной связке и мало кем подписан.


Есть три мантейнера gpg в Debian — адреса на странице слева.
В кейринге нашлось два


Никакого пути с Вернером для них не прослеживается. Зато сами разрабы из Debian имеют достаточно сильную связку.

— unknown (22/03/2014 10:53)   профиль/связь   <#>
комментариев: 9796   документов: 488   редакций: 5664
Проблема с подписью файла хэш-сумм TBB 3.5.3 исправлена.
— sentaus (22/03/2014 11:38)   профиль/связь   <#>
комментариев: 1060   документов: 16   редакций: 32
А объяснить, что это было, я смотрю, они не потрудились.
— Гость (22/03/2014 13:21)   <#>
Судя по всему, проверку счаченных файлов (TBB, PGP) по *.sig, *.asc делают не часто, да и такую проверку сможет осуществить далеко не каждый желающий.
Тогда может быть для удобства, на сайтах (TBB, PGP и т.п.) рядом с (*.sig и или *.asc) публиковать контрольные хеш-суммы (например MD5, SHA-1, SHA-256), тогда можно будет убедиться, что файл скачался не поврежденным, а при желании можно будет и подписи проверить.
А то, что программные продукты лучше (безопаснее) скачивать с официальных сайтов, и так понятно.
На страницу: 1, 2, 3, 4, 5, 6, 7 След.
Ваша оценка документа [показать результаты]
-3-2-1 0+1+2+3