Могут ли отследить браузер тор

Обновлено: 07.07.2024

Случаи из опыта разработки различных WEB проектов. Интересные факты, статьи, впечатления. Программирование и все о нем в сфере WEB.

Для чего эта статья? Для того чтобы популязировать TOR, чем больше участников тем лучше каждому из нас.

Но для начала давайте разберем описанную в википедии атаку.

Тайминг-Атака на TOR

Чесно говоря не знаю, как это объяснить понятно. Но все же попробую. Суть данной атаки заключается в том, что можно вычислить пользователя который передает большое колличество данных через сеть TOR, к примеру качает что то с торрентов, либо скачивает крупный файл.

Представьте, вы, используя TOR, качаете что-либо с торрентов. Этим самым вы забиваете свой канал, а также каналы между нодами. Предлагаемый способ помогает установить какие сервера в данный момент нагружены и по-очереди дойти от получателя до отправителя.

Достаточно запомнить правило:

Для защиты от потенциальных атак подобного рода рекомендуется не перегружать сеть, например, участием в онлайн-играх или файлообменом с пиринговыми сетями.

Протокол TOR

Ну а теперь разберем протокол передачи данных. Не буду вдаваться во все детали и попробую изобразить схематично.

Устройство сети TOR

Для начала напомню то как работает TOR, в общих чертах его работа выглядит вот так:

После того как пакет составлен он пересылается первому серверу в выбранной цепочке:

После чего первый сервер снимает свой шифр, узнает куда надо его передавать дальше и передает его:

То есть первый сервер знает адрес отправителя и второго серверов. Он не знает что передается в основном пакете, для этого нужно снять еще два шифра, также он не знает адреса третьего сервера и адреса получателя.

Протокол TOR

Сервер номер 2 снимает свой шифр и осуществляет передачу пакета к третьему серверу:

Второй сервер не знает адреса отправителя и получателя, также не знает содержимого пакета, т.к. остался еще один шифр. Он знает лишь адрес первого и третьего серверов.

Протокол TOR

И собственно передача данных к отправителю:

Третья нода в итоге знает адрес получателя, адрес второго сервера и само содержимое пакета, а также ответ получателя.

Ни одна из нод не имеет полной информации, чтобы восстановить цепочку от получателя до отправителя обратно. Таким образом алгоритмически TOR абсолютно анонимен.

Немного математики

Для того чтобы разоблачить отправителя нужно контролировать все ноды через которые осуществляется соединение. Нет, я не спорю что реально собрать сеть из большого колличества нод, чтобы кто-то с приемлимой вероятностью мог контролировать все ноды для каждого соединения.

На данный момент (2013 год) в сети TOR насчитывается

4000 нод. Достаточной вероятностью будем считать хотябы 50% полностью контролируемых соединений. Для того чтобы обеспечить это, согласно теории вероятности, нужно иметь контроль над приблизительно 80% серверов, т.е. 3200 серверов из 4000, т.е. чуть больше чем 3 сервера из 4. Реально? Мне кажется нет. И заметьте это обеспечит всего лишь 50% контролируемых соединений.

При таком подходе вероятность при 1000 из 4000 серверов того что именно ваше соединение будет под колпаком составит всего 6%. Что в общем опять, на мой взгляд, показывает не целесообразность попыток такого контроля.

Так и что в итоге?

Давайте подведем итоги:

  • есть возможность деанонимизации при скачивании больших файлов, но я считаю это возможность больше теоретическая, и доступна лишь в лабораторных условиях, об этом я писал выше
  • есть возможность деанонимизации при контроле входной и выходной ноде в цепочке, но усилия приложенные к этому, не оправдывают результат, так что я считаю что это не реально

Предлагаю решить вам насколько существенны эти минусы, я лишь попытался изложить все как можно объективнее.

Также сведу все рекомендации по пользованию TOR в один список:

  • шифруйте передаваемый трафик
  • не грузите черезмерно канал
  • меняйте переодически цепочку серверов

Но в конечном счете решать Вам.

Смотрите также

Я надеюсь вы читали одну из моих предыдущих статей Ассимитричное шифрование. Как это работает?. Если да, то давайте продолжим погружаться.

Что делать если перегревается ноутбук. Разборка, чистка и замена термопасты в ноутбуке Toshiba Satellite A300.

Буду отходить от сложившегося мнения, что у меня в блоге только содержательные статьи) Здесь ничего интересного нет, простой рассказ о.

FastVps - это хорошо. Sweb - это плохо.

Собственно вот почему: Не то чтобы это реклама FastVPS, скорее это антиреклама Sweb. Ни для кого не секрет что мой.

Как избавится от коллизий хеш функций. Защита от полного перебора хеш суммы. Хеш функция на основе ассиметричного шифрования.

А разве СОРМ не может перехватывать тор-пакеты?

СОРМ ведь устанавливается на оборудовании провайдера. Пакет от вас до первой ноды идет зашифрованным как минимум трижды. То есть перехватить пакет то можно, но он зашифрован, и его содержимое получить на этом этапе невозможно.

Но, согласитесь, не TOR виноват в том что в большенстве случаев людей находят. Виноваты сами люди и, в большинстве случаев, их глупость =)

Не по теме, но в чём ты рисуешь такие красивые схемы?

Gadwin Diagramm Studio 5.4

А по теме есть что-нибудь? =)

Спасибо)
Ну а по теме: я tor юзаю крайне редко. Предпочитаю vpn на своём сервере. Благо, ничем таким не занимаюсь, что бы это скрывать.

Видимо вы не читали статью совсем, а первым делом решили написать комментарий.

Уважаемый Денис, у Вас очень талантливые и интересные статьи, читать одно удовольствие!
У меня вопрос по теме, а что Вы можете сказать о AdvOR с кучей полезных настроек автоматизации и фичей, и об google_com/ncr (Всегда было интересно, стоит ли доверять энкрипту и ssl у Гугл)? Спасибо)

Спасибо за отзыв! =)

Всегда пожалуйста, рад если помог :)
Как-то читал, что шифровать запросы первым, стал именно этот адрес, а потом уже прикрутили букву s и к основному поиску. По другой же версии, энкрипт-гугл сделали для блокировки в учебных заведений, чтобы под раздачу не попали остальные продукты гугл, вот статьи на эту тему:
за 19 октября 2011 года
и
за 28 июня 10 года
Не знаю, но мне почему то приятнее пользоваться именно энкрипт-гугл, наверное сантименты, хе-хе..))

такой вопрос: если ничего не скачивать, не оставлять коммернтариев, а просто серфить deep web, есть возможность спалиться?
просто тупо интерес: что-там в этом глубокой интернете есть.
и после скачивания тора нужны ли какие еще действия с ним? или просто запускаешь и юзаешь?

А так, да, скачиваешь и запускаешь. Этого вполне достаточно.

Не могу вам подсказать что либо однозначное. Суть в том что все адреса нод TOR известны, и соответственно можно определить что человек пользуется им. Гугл, википедия и наверное кто то еще блокируют обращения с этих IP.
Попробуйте VPN.

Спасибо за ваш комментарий, довольно интересно было почитать.

Никто не спорит, вероятность она есть всегда.

Просто суть в том что TOR обгажен чуть ли не на каждом углу, что мол он небезопасен и т.д. В данной статье я пытался переубедить пользователей в обратном. Но да, суть в том что проблема может лежать гораздо-гораздо глубже. Так, например, в ошибках в реализации криптографии, в закладках в алгоритме и т.д. (я читал эти и другие статьи на эту тему). Да и кто его знает как все обстоит на самом деле в спецслужбах.

1.Какова вероятность вычислить меня если я просто исследую сайты, но не произвожу скачивание и общение на сайтах. А то есть серфинг?

Пожалуй я отвечал уже на первый вопрос и в статье и в комментариях. Прочитайте пожалуйста внимательнее.

Цепочку формирует клиент на основе всего списка нод.

А почему не написали, что для пущей анонимности можно и нужно прописать в файле torc следующие строки?:

Кроме того, чтобы скрыть от следящей системы СОРМ-2 и от своего провайдера сам факт использования вами TOR`а, нужно запускать его только после поднятого VPN`а, пусть даже любого бесплатного.

Вопрос на самом деле спорный. Исключив ru ноды вы, находясь в России, очень сильно потеряете в скорости.

Скажем так, руководствовался принципом необходимого и достаточного.


У меня в моем клиенте была такая настройка:

У меня такого нет. Это, что? Видалия? У меня просто тор браузер и ничего более.

Да, она самая. С другими клиентами я к сожалению не работал, поэтому не знаю что и как там устроено, к сожалению(

Нет. Боюсь эта информация у меня появится только после того как я воспользуюсь торбраузером) Но я пока не планирую. У меня собственная связка тор клиента и браузера.
Но опять же повторюсь, по дефолту режим ноды должен быть отключен. Да я для того чтобы стать нодой нужно удовлетворить несколько условий, в т.ч. белый IP (что большая редкость, практически у всех провайдеров).

А что значит белый IP? Статический или это разные вещи?
Насчет связки Тор+браузер и собственно готового браузера, в чем преимущество первого?

Вот тут гляньте про белый/серый IP:

Я понятнее не объясню)

А насчет связки. Сложно сказать, преимуществ особых нет. Я изначально пользовался оперой, а фаерфокс у меня вызывал (и вызывает) только отвращение. Торбраузер поставляется вроде как только с фаерфоксом, поэтому было решено использовать свой браузер.

Правильно ли я понимаю? У провайдеров стоит СОРМ, соответственно если выходная нода будет в России, она тоже будет подсоединена к СОРМ. Таким образом СОРМ может анализировать трафик перед входом и на выходе (если нода окажется в рф) и проводить тайминг атаки

А о сети I2P вы какого мнения?

Сложно сказать. У меня предвзятое отношение к JAVA как к чему то жутко дырявому. Но вроде как последнее время в нем находят все меньше и меньше дырок. Так что я не думаю что это особо критично.

А что тогда не дырявое?

Самому знать бы)

Кстати, рассчёт в статье я немного не понял. Почему именно 80% серверов, а не 50?

Соединений Серверов % Серверов шт.
80% 90% 6260
50% 70% 4900
30% 54% 3840
10% 32% 2214
5% 22% 1565
1% 10% 700

Честно сказать, не знаю, никогда не задавался этим вопросом) точнее не ставил себе цель заморачиваться прям настолько)

Да черт его знает. Мне кажется это подвижки в сторону реализации аналога великого китайского фаервола.

Трафик от пользователя до последней ноды тора идет зашифрованным. Нет, система не может заглядывать внутрь зашифрованных пакетов.

А как правильно искать что то запрещенное через Tor?

Не боитесь закон нарушать то?)

Брутальный Дядя, Все элементарно Ватсон …, в адресной строке набираете к примеру, торрент орг, и можете зайти в него, хотя он в бане рсоскомнадзора …. Тор – вкусен и скор ))) Все дело в том, что по закону, де-юре, банят не сам ресурс де-факто, а наоборот блокируют доступ провайдеров по адресу ресурса и его домена соответственно, принцип постановки в ЧС ! PS Только если что я Вам ничего не говорил а это Вы сами придумали )))

Ух какой у вас слог непростой)

-Зачем нам контролировать все ноды в цепочке? Так например вполне достаточно контролировать входную и выходную ноды, вне зависимости от их колличества в цепочке. Почему? Контролируя поступающие и уходящие пакеты, можно сопоставить отправителя и получателя по времени получения пакетов. Это, конечно сложнее, и предполагает возникновение ошибок, но вполне реализуемо, а затем гм… доказуемо.

Как можно сопоставить получателя по времени получения пакетов? Хотелось бы узнать подробнее. Для этого необходимо вести не только логи подключения (определённые ip во время подключения), но и хранить трафик пользователей, а это огромные объёмы информации.

В общем то имея достаточные на это вычислительные ресурсы, с помощью статистического анализа можно сопоставить отправителя и получателя. Весь трафик хранить не надо, достаточно хранить информацию о приблизительном объеме пакетов.
Далее делаем выборку и ищем кто отправлял пакеты с похожим объемом в это время. Имея достаточный объем данных для анализа, соответствия найти не составит труда.

В общем то имея достаточные на это вычислительные ресурсы, с помощью статистического анализа можно сопоставить отправителя и получателя. Весь трафик хранить не надо, достаточно хранить информацию о приблизительном объеме пакетов.
Далее делаем выборку и ищем кто отправлял пакеты с похожим объемом в это время. Имея достаточный объем данных для анализа, соответствия найти не составит труда.

-Возможно, но для этого нужно контролировать входную и/или выходную ноды, без этого сопоставить не удастся, так?

Все верно, процитирую свою же статью:

Так например вполне достаточно контролировать входную и выходную ноды, вне зависимости от их колличества в цепочке. Почему? Контролируя поступающие и уходящие пакеты, можно сопоставить отправителя и получателя по времени получения пакетов

Здравствуйте, в википедии о торе написано следущее:
Раскрытие отправителя
`Техническая информация о сетевом адресе сервера-получателя может выдаваться клиентом путём DNS-запросов к своему DNS-серверу[281], легко перехватываемых интернет-провайдером[К 15].
`Сервером может запрашиваться, а клиентом выдаваться техническая информация о сетевом адресе клиента и конфигурации его операционной системы и браузера. Запрос может идти как через исполнение в браузере сценариев ActiveX, JavaScript, Java-апплетов и Adobe Flash[291], так и другими способами[292][К 16].
Можете ли вы прокомментировать это? Известно ли вам что-то об этих уязвимостях?

Добавить комментарий Отменить ответ

Я обыч­ный веб-раз­ра­бот­чик. Пи­шу здесь о том, что мне ин­те­рес­но, с чем я вы­нуж­ден стал­ки­вать­ся в сфе­ре WEB, свои мыс­ли, рас­суж­де­ния, раз­ме­щаю соб­ствен­ные ста­тьи.

Не забывайте подписываться:

И очень про­шу, не за­бы­вай­те остав­лять ком­мен­та­рии к про­чи­тан­ным за­пи­сям.

Студент заминировал университет

20-летний студент признался, что написал письмо в надежде избежать итогового экзамена, для верности письмо с угрозой продублировал в адрес отдела безопасности университета и университетской газеты. Хотя здесь он добился успеха: из-за эвакуации все утренние экзамены были отложены, но теперь у парня появились более серьезные проблемы.

Tor не спасет от вычисления спецслужбами

Ким предпринял меры, чтобы избежать идентификации. Он завел анонимный адрес электронной почты и воспользовался сервисом для анонимизации Tor. Тем не менее, его все равно удалось вычислить. Судя по показаниям агентов ФБР в документах, поданных для суда, спецслужбаполучила список пользователей локальной компьютерной сети в общежитии университета. Они изучили трафик и определили, кто из студентов пользуется сервисом Tor. Как известно, трафик Tor можно определить по характерным признакам. Затем ФБР допросило всех пользователей анонимной сети одного за другим. Таких оказалось не слишком много, поэтому вычислить преступника оказалось довольно просто.

Общественный Wi-Fi лучше Тора

Tor от полиции не спасет

Тем не менее, история демонстрирует слабость относительно редких инструментов информационной безопасности, пишет известный криптограф Брюс Шнайер. «Та же самая вещь, которая позволяет скрыть свою причастность, делает тебя главным подозреваемым». ФБР не пришлось взламывать Tor, они просто использовали стандартные полицейские методы для выявления отправителя письма. Другими словами, даже в самой в мощной криптографической защите имеется слабое место – это сам человек. Если не можешь сломать код, то всегда можно сломать человека.

Провайдеры выявляют пользователей Tor

Аналогичные методы по выявлению пользователей Tor подходят для использования на уровне любого провайдера. Не стоит удивляться, если у спецслужб уже есть список пользователей Tor в каждом городе.

Можно ли отследить человека, если он пользуется Тором?

Проще простого. Во-первых, у спецслужб есть ключи в черному в ходу в операционных системах. Это значит, что пользователь может сидеть за Тором и считать себя в полной безопасности, а в это время по параллельной линии сливается его реальный IP-адрес. Во-вторых, Тор гарантирует безопасность только при строгом соблюдении правил. Вы уверены, что знаете эти правила на 100%? Например, нельзя включать JavaScript. Но некоторые сайты без него не работают. Включил — и твой IP уже известен всем.

Tor не скрывает IP

Очень часто сайт требует включить JavaScript и отказывается работать дальше, пока пользователь не выполнит это требование. Ну так знайте, что если вы включили в Торе исполнение JavaScript, то ваш IP — уже не тайна для постороннего сайта.

Можно ли вычислить пользователя VPN?

Можно. Это сделать сложнее, чем вычислить пользователя TOR. Но дело в том, что настройка VPN — весьма сложный процесс и здесь часто случаются ошибки. Недавно было проведено исследование на эту тему. Оказалось, что примерной 40% существующих сервисов VPN позволяют довольно легко вычислять IP пользователей — из-за грубых ошибок в конфигурации.

Для чего нужен Тор браузер?

Для сокрытия своего IP-адреса при посещении сайтов. Вторая задача браузера Тор — предоставить доступ к тем сайтам, которые были заблокированы на территории России.

Почему Тор не анонимен?

Как скрыть использование TOR

Никак. Ваш реальный IP будет заменен на IP выходной ноды ТОРа. Этот IP можно проверить по списку узлов сети TOR и установить факт использования.

Как качать файлы через TOR

Можно настроить качалку файлов на работу через прокси, но делать этого не рекомендуется — TOR слишком медленный для скачивания файлов. К тому же, вы забиваете канал и мешаете тем, кому действительно нужна анонимность. Хотите тайно качать файлы — используйте не TOR, а VPN.

Почему Tor небезопасен

В безопасность Tor верят только пионеры, причем именно верят, а не пытаются проанализировать насколько это средство действительно обеспечивает анонимность. А вот эксперты предупреждают о ненадежность Tor уже давно:

Особо следует отметить, что использование Tor без изучения всех нюансов данной системы может обернуться серьезными неприятностями даже для законопослушных пользователей. Например, в декабре 2012 года полиция ворвалась в дом к 20-летнему оператору Tor-узла и предъявила обвинения, предусматривающие от 10 лет тюрьмы. И это при том, что пользователь не совершал противоправных действий, а только предоставил свой компьютер для прохождения анонимного трафика.

Действительно ли браузер Tor обеспечивает полную анонимность?

Насколько вас волнует анонимность ваших действий в интернете? Предпочитаете ли вы оставлять как можно меньше следов вашей активности в Сети? Браузер Tor, одно из самых популярных средств для достижения конфиденциальности при работе в интернете, был подвергнут тщательнейшему анализу, чтобы ответить рядовому пользователю лишь на одни вопрос — действительно ли Tor гарантирует вам полную анонимность.

Введение

Принято считать, что браузер Tor является полностью анонимным и безопасным средством веб-серфинга, которое не дает никому возможности отслеживать местоположение пользователей этого браузера. Но так ли это на самом деле?

Tor не гарантирует полную анонимность, и есть много способов деанонимизировать его трафик. Ниже мы рассмотрим наиболее часто используемые методы отслеживания интернет-трафика Tor.

Отслеживание выходного узла ( Exit Node )

Принцип обеспечения анонимности браузера Tor заключается в том, что интернет-трафик пропускается через случайно выбранные ретрансляционные узлы в его сети, и только потом достигает запрашиваемых веб-страниц. Гипотетически эта схема не позволяет проследить происхождение трафика. Компьютер в данной схеме может как инициировать соединение для просмотра веб-содержимого, так и выступать в качестве узла для ретрансляции зашифрованного сетевого трафика другим узлам сети Tor.

Однако большая часть трафика все же выходит из сети Tor. Например, если вы заходите на сайт Google через браузер Tor, трафик маршрутизируется через многие ретрансляционные узлы, но в итоге он должен покинуть сеть Tor и подключиться к серверам Google. Так вот узел, где трафик покидает сеть Tor для того, чтобы отобразить веб-страницу, может быть отслежен.

Плагины, JavaScript и другие приложения выдадут ваш IP-адрес

По умолчанию браузер Tor имеет довольно безопасные настройки: Javascript отключен, плагины нельзя запустить, а если вы попытаетесь загрузить файл или запустить его с помощью другого приложения, Tor непременно вас оповестит.

Как правило, JavaScript не представляет собой уязвимость системы безопасности, но если для вас важно скрыть свой IP-адрес, вам не следует использовать его. Движок JavaScript, надстройки вроде Adobe Flash, внешние программы вроде Adobe Reader, даже видеоплееры могут выдать ваш IP-адрес. Большой риск использования вышеперечисленных технологий обусловлен тем, что на многих вредоносных сайтах есть эксплоиты, использующие бреши в них.

Как уже упоминалось выше, настройки браузер Tor по умолчанию позволяют избежать этих проблем. Конечно, вы можете включить JavaScript и плагины в браузере самостоятельно, но если анонимность является вашим приоритетом, делать это не рекомендуется.

Чтобы показать на примере, что данные риски отнюдь не являются теоретическими, вспомним один случай. В 2011 году группе исследователей в области безопасности удалось заполучить IP-адреса около 10 000 человек, использовавших BitTorrent-клиенты через Tor. Как и другие приложения, клиенты BitTorrent представляют уязвимость, которая может выдать ваш реальный IP-адрес.

Не меняйте настройки Tor по умолчанию. Не используйте Tor с другими браузерами. И не пытайтесь использовать какие-либо приложения, плагины или надстройки с браузером Tor. Он изначально был сконфигурирован наиболее безопасным образом, позволяющим избежать многих проблем с конфиденциальностью.

Риск запуска Exit Node

Как уже упоминалось ранее, запуск выходного узла (или Exit Node) может иметь некоторые юридические последствия. Если кто-то будет использовать Tor для противозаконных действий и трафик будет выходить из вашего выходного узла, этот трафик будет прослежен до вашего IP-адреса, после чего вы можете запросто получить визит от представителей власти. Так арестовали мужчину в Австрии, ему предъявили обвинения в публикации детской порнографии. Он был арестован за то, что у него был запущен выходной узел.

У проекта Tor есть ряд инструкций для запуска Exit Node. Наиболее важным является запуск узла на выделенном IP-адресе через Tor.

Выводы

Еще в мае компания FingerprintJS, занимающаяся технологиями отслеживания на основе JavaScript, обнаружила уязвимость типа scheme flooding («затопление схемы»), которая делает возможным отслеживание пользователей на основе приложений, установленных на устройстве.

Для отслеживания пользователей создается профиль отслеживания на основе попыток открыть различные обработчики URL-адресов приложений, например zoommtg:// , после чего проверяется передает ли браузер запрос установленному приложению, например Zoom.


Если запрос приложения отображается, можно предположить, что соответствующее приложение установлено на устройстве. Проверяя многочисленные обработчики URL-адресов, уязвимость позволяет создать идентификатор на основе уникальной конфигурации установленных на устройстве пользователя приложений.

Затем данный идентификатор можно отслеживать в разных браузерах, включая Google Chrome, Edge, Tor Browser, Firefox и Safari.

Данная уязвимость является особенно критичной для пользователей Tor, которые используют браузер для сокрытия своей личности и IP-адреса. Поскольку эта уязвимость отслеживает пользователей в разных браузерах, то она позволяет веб-сайтам и даже правоохранительным органам отслеживать реальный IP-адрес при переключении на обычный (не анонимизирующий) браузер, такой как Chrome.

В Tor Browser 10.0.18 организация Tor Project представила исправление этой уязвимости, установив для параметра network.protocol-handler.external значение false.

Этот параметр по умолчанию не позволяет браузеру передавать обработку определенного URL-адреса внешнему приложению и, таким образом, запросы приложений больше не запускаются.

Полный список изменений Tor Browser 10.0.18

  • Все платформы
    • Обновление Tor до версии 0.4.5.9
    • Обновление Fenix до 89.1.1
    • Обновление NoScript до 11.2.8
    • Ошибка 40055: применен rebase патчей для Android-компонентов на 75.0.22 для Fenix 89
    • Ошибка 40165: объявление о прекращении поддержки службы onion onion v2 на about:tor
    • Ошибка 40166: скрытие вкладки «Обычный» (снова) и вкладки «Синхронизация» в TabTray
    • Ошибка 40167: скрытие «Сохранить в коллекцию» в меню.
    • Ошибка 40169: применен rebase патчей fenix на fenix v89.1.1
    • Ошибка 40170: ошибка при создании tor-browser-89.1.1-10.5-1
    • Ошибка 40432: предотвращение проверки установленных приложений.
    • Ошибка 40470: применен rebase патчей 10.0 на 89.0