Kernepunktet: Hvad “skjult” egentlig betyder i en Tor onion-tjeneste
De fleste går ud fra, at en skjult tjeneste må skjule selve serveren. I virkeligheden kan serveren stå i et helt almindeligt rum på en helt almindelig forbindelse. Det, der ændrer sig, er, at klienten aldrig behøver at vide, hvor det rum er. Onion routing løser et bestemt problem: at nå en tjeneste uden at skabe en direkte, observerbar sti mellem din enhed og serverens fysiske placering. Kommunikationen finder stadig sted. Opdagelsen af placeringen behøver ikke at gøre det.
Tænk på det som at ringe til en virksomhed, der bruger et viderestillingsnummer. Du taler med virksomheden, og virksomheden svarer, men det nummer, du ringede til, er bare en mellemmand. Virksomheden viser dig aldrig sin rigtige linje. En Tor onion-tjeneste gør den digitale version af det: .onion-adressen er viderestillingsnummeret, og kredsløbet er telefoncentralen, der forhindrer de to ender i at ringe direkte til hinanden.
Hvad klienten faktisk har brug for
- En fungerende
.onion-adresse - En Tor-kompatibel klient
- Et mødested inde i netværket
Serveren offentliggør sin tjenestebeskrivelse i Tor-netværket. Klienten henter denne beskrivelse ved at bruge onion-adressen som opslagsnøgle. Beskrivelsen indeholder introduktionspunkter og nøgler — ingredienserne til at bygge en sti — men den indeholder ikke en IP-adresse, som klienten kan læse. Klienten er blind for serverens placering ved design, ikke ved et tilfælde.
.onion-adressenDenne adskillelse er kernepunktet: klienten og serveren udveksler aldrig IP-adresser med hinanden. Hver side ser kun det relæ, den er direkte forbundet til. Stien findes, trafikken flyder, og tjenesten er tilgængelig — men det placeringslag, som almindelig browsing afslører, er ganske enkelt fraværende i det, begge endepunkter kan observere om hinanden.
Udtrykket “skjult tjeneste” betyder ikke en usynlig tjeneste. Det betyder, at tjenesten er tilgængelig, mens den fysiske oprindelse af tjenesten holdes ude af netværksruten. Du kan interagere med den; du kan bare ikke pege på, hvor den bor.
Et skjult marked er ikke skjult, fordi dets server er under jorden. Det er skjult, fordi netværket ikke længere kræver en adresse for at rute trafik til det.
Tor-kredsløb trin for trin: Entry-, middle- og exit-relæer som observeret adfærd
Når din Tor-klient starter en session, sender den ikke bare en forespørgsel direkte til destinationen. Den vælger først en kæde af tre relæer og bygger lagdelt kryptering op omkring trafikken. Tænk på det som at skrive en besked, lægge den i en låst kasse adresseret til relæ C, derefter lægge den kasse ind i en anden adresseret til relæ B, og den igen ind i en tredje adresseret til relæ A. Hvert relæ fjerner ét lag — og kender kun det lag, der var beregnet til det.
Entry-noden ved, hvem du er, men ikke hvor trafikken er på vej hen. Middle-noden ved hverken, hvem du er, eller hvad destinationen er. Exit-noden ser destinationen, men kan ikke knytte den tilbage til dig. Den adskillelse af viden er kernen i onion routing.
- Yderste lag — bygges mellem din klient og entry-noden og afslører kun, at du taler med Tor
- Mellemste lag — bygges mellem din klient og middle-noden og afslører kun, hvordan man når det næste hop
- Inderste lag — bygges mellem din klient og exit-noden, indeholder den endelige destination, men kan kun læses ved exit
For en skjult tjeneste som Torzon Market har destinationssiden også sit eget kredsløb. Tjenesten vælger introduktionspunkter og et mødepunkt på forhånd, så trafikken aldrig forlader Tor-netværket overhovedet. Exit-noden er fraværende; i stedet mødes begge sider inde i netværket. Det er grunden til, at serverens rigtige IP aldrig placeres på en offentlig rute.
- Entry-noden ser din IP, men ikke destinationen
- Middle-noden ser ingen af endepunkterne, kun de tilstødende hop
- Exit-noden ser destinationen, men ikke afsenderen
- Skjulte tjenester fjerner exit-noden helt og mødes ved et rendezvous-punkt
Når du aflæser et kredsløb i Tor-browseren, ser du relæ-fingeraftryk og placeringer valgt til netop denne session. En anden fane kan bruge et andet kredsløb, så det, der ligner en stabil rute, faktisk er per forbindelse.
Kredsløbet er ikke en tunnel kontrolleret af én part. Hvis en observatør driver både entry- og exit-noden, kan tidsanalyse stadig korrelere trafik. Tor reducerer den chance, men gør den ikke umulig.
Onion-adressering kontra almindelige URL’er: Hvad ændrer sig under overfladen
Ved et almindeligt websitebesøg sender browseren først værtsnavnet til en DNS-opløser, modtager en IP-adresse og åbner derefter en forbindelse til det numeriske mål. Navnet er en opslagsnøgle; IP-adressen er selve mødestedet. En .onion-adresse kollapser den proces til en enkelt kryptografisk identifikator, der aldrig forlader det krypterede kredsløb som en DNS-forespørgsel. Der er ingen opløser, intet offentligt svar og ingen server-IP nogen steder i klientens synsfelt. Det er grunden til, at en .onion-adresse kan være tilgængelig uden at kunne lokaliseres: routing afhænger ikke af at finde ud af, hvor maskinen befinder sig, kun af at vide hvad den beviser, at den er.
Den offentlige nøgle er adressen
Strengen efter .onion er afledt af den skjulte tjenestes identitetsnøgle. Når en klient vil nå den tjeneste, bruger den adressen som routing-etiket: Tor-netværket behandler den som en sti-specifikation hen imod et rendezvous-punkt, hvor serveren allerede har registreret sig selv. Serveren behøver ikke at offentliggøre sin placering i noget register — den annoncerer sin tilgængelighed gennem selve Tor-netværket. Det vender den normale model på hovedet: i stedet for at opløse et navn til et sted opløser klienten et navn til et kryptografisk bevis på identitet.
| Egenskab | Almindelig URL | .onion-tjeneste |
|---|---|---|
| DNS-opslag påkrævet | nej ;; Serverens IP eksponeres for klienten |
For at mærke forskellen kan man forestille sig en låst postboks. Et almindeligt domæne er som en gadeadresse: alle med adressen kan se, hvilken bygning man skal besøge. En .onion-adresse er som en nøglekode til et skab, som skabsnetværket selv ved, hvordan man finder — du giver koden til leveringssystemet, og systemet bærer din besked til det fysiske skab, der aktuelt rummer modtagerens private nøgle. Du ser aldrig gaden.
Det forklarer også, hvorfor .onion-navne ligner tilfældige base32-strenge snarere end ord, man kan huske. De er ikke valgt af hensyn til markedsføring; de er kompakte kodninger af tjenestens identitetsnøgle. Hvis en markedsplads skifter adresse, offentliggør den reelt en ny identitet for den samme underliggende butik — en kendsgerning, der er værd at huske, når man sammenligner to adresser, der hævder at være den „samme“ skjulte tjeneste.
Hvis nogen viser dig en IP-adresse og kalder den serverens „rigtige“ .onion-placering, skal du betragte det som folkevandringshistorie: i den normale Onion Services v3-opsætning har klienten ingen rute, hvorigennem den kan lære den IP fra selve adressen.
Antag aldrig, at en .onion-adresse med en lignende streng er den samme tjeneste. Fraværet af synlig IP-geolokalisering gør tastefejl og kloner lettere at forveksle med originalen.
Sådan aflæser du et Tor-kredsløb uden at stole på marketingpåstande
Du kan inspicere et Tor-kredsløb direkte fra browseren uden at stole på nogens markedsføring. I Tor Browser skal du klikke på hængelåsen eller webstedsinformationen for et onion-site og derefter åbne kredsløbsvisningen. Du vil se en kæde: Guard → Middle → Onion service rendezvous point, nogle gange med et ekstra relay vist som introduction point. De præcise node-navne er ikke beviset; mønstret er det afgørende. Et nyt kredsløb for hvert site, som roterer over tid, viser, at routinglaget gør noget observerbart i stedet for blot at påstå privatliv.
Hvad kredsløbsvisningen kan og ikke kan bevise
Visningen beviser, at din forbindelse til en .onion-adresse ikke brugte en direkte browser-til-server-sti. Den viser entry guard som første hop og relayet på onion-siden som den sidste navngivne node før den skjulte tjeneste. Hvad den ikke beviser, er, at operatøren af den skjulte tjeneste ikke kan se dig på applikationslaget. Kredsløbet skjuler netværksstien; det skjuler ikke noget, du skriver på en side, uploader eller afslører gennem din adfærd.
- Åbn kredsløbsvisningenKlik på hængelåsikonet nær
.onion-adressen i Tor Browser - Læs relaykædenTjek, om den første node er en guard, og om det sidste hop er et onion-relay, ikke et almindeligt exit
- Genindlæs og sammenlignEt nyt kredsløb efter kort ventetid viser, at kredsløb roterer uafhængigt af sitets markedsføring
- Adskil, hvad du har bevistDu bekræftede relaybaseret routing, ikke at selve sitet er harmløst eller uden lækager
Hvis et påstået “privat marked” nægter at indlæse, medmindre scripts, skrifttyper eller tredjepartsdomæner er aktiveret, skal du betragte det som et valg på applikationslaget, ikke en fejl i Tor-routing.
- Guard
- det langvarige første relay, din Tor-klient vælger; det ser din IP, men ikke destinationen
- Rendezvous point
- et relay valgt til en bestemt forbindelse til en skjult tjeneste; det kender hverken din IP eller tjenestens IP
- Kredsløbsvisning
- Tor Browsers visuelle kæde af relays for den aktuelle forbindelse
Et kredsløb, der ser rent ud, betyder ikke, at sitet ikke kan indsamle det, du indsender, tildele dig en pseudonym profil eller plante sporingsscripts inde på siden.
Praktiske grænser: Hvad onion routing ikke kan skjule for en påpasselig bruger
Anonymitet i Tor stopper ved applikationslaget: netværket ved måske ikke, hvem du er, men den tjeneste, du taler med, registrerer ofte, hvad din browser eller klient frivilligt afslører. Hvis du logger ind på et skjult marked og derefter åbner en clearnet-side i samme browsersession, kan cookies, local storage eller endda cachelagrede skrifttyper gøre de to identiteter korrelerbare. En forsigtig bruger betragter den onion-routede forbindelse som beskyttelse af stien, ikke nyttelasten.
Gå aldrig ud fra, at adgang via .onion skjuler dine handlinger for webstedsoperatøren. Serverlogfiler, ordrehistorik, depositumadresser og endda skriverytme kan forblive synlige for tjenesten. Onion routing skjuler din netværksplacering — det gør dig ikke anonym over for den modpart, du handler med.
Den klassiske misforståelse er synlighed ved exit-noder. Når du browser på det almindelige web gennem Tor, kan exit-noden se ukrypteret HTTP-trafik eller DNS-forespørgsler. Men når du besøger en onion-tjeneste, er der ingen exit-node i traditionel forstand: forbindelsen ender inde i Tor-netværket ved et mødested. Det, der i stedet lækker, er mere subtilt — overdimensionerede billeder, usædvanlige browserdimensioner, aktiverede JavaScript-funktioner, sprogheadere og tidszonedata, der sendes gennem selve siden.
- Netværkslag — Din rigtige IP er skjult for destinationen, og din destination er skjult for din internetudbyder
- Sessionslag — Browserfingeraftryk, cookies og kontologins kan stadig forbinde separate besøg til én identitet
- Applikationslag — Tekst, tidsstempler, betalingsoplysninger og uploadede filer er synlige for den skjulte tjeneste og alle, der kompromitterer den
Metadata er det mest almindelige fejlpunkt. Et foto taget med en telefon og uploadet til et marked kan indeholde EXIF-data — GPS-koordinater, enhedsmodel, optagelsestidspunkt. Et dokument kan indeholde et forfatternavn i sine egenskaber. Selv tidsmønsteret for dine besøg kan blive et fingeraftryk: Hvis du altid opretter forbindelse på samme lokale tidspunkt, har en observatør, der korrelerer netværksaktivitet med markedslogins, et udgangspunkt.
Fjern metadata lokalt, før du uploader noget: konverter billeder til almindelige formater, fjern dokumentegenskaber, og undgå filer oprettet på konti knyttet til dit rigtige navn.
HTTP — selv gennem en onion-adresse — er et advarselstegn. En korrekt konfigureret skjult tjeneste bør tvinge krypteret applikationstrafik igennem. Hvis en markeds-URL begynder med http:// i stedet for https://, skal du behandle hvert felt, du skriver, som læsbart for enhver relayoperatør, der er i stand til at opsnappe det, uanset hvad Tor-netværket selv lover.
Begrænsningerne løber også i den anden retning. Tor kan ikke skjule, at du bruger Tor, fra en lokal netværksadministrator, en overvågende internetudbyder eller en arbejdsgiver. Formen, timingen og størrelsen af Tor-pakker er karakteristiske nok til grundlæggende detektion. Styrken ved onion routing er uadskillighed, ikke usynlighed: den adskiller, hvem du er, fra hvad du tilgår, men den får ikke nogen af delene til at forsvinde.
Ofte stillede spørgsmål
Gør et Tor-skjult marked mig anonym i sig selv?
Nej. Tor skjuler netværksvejen mellem dig og onion-tjenesten, men det skjuler ikke, hvad du skriver, hvad du downloader, hvordan du betaler, eller hvad du afslører gennem en kompromitteret browser eller dårlige driftsvaner. Anonymitet afhænger af hele opsætningen, ikke af Tor alene.
Hvorfor ser jeg en anden adresse for en onion-tjeneste end for et normalt websted?
Onion-adresser udledes af tjenestens offentlige nøgle, så de er lange, ikke-menneskeligt læsbare strenge efterfulgt af “.onion” i stedet for et domænenavn og TLD. Browseren opløser dem gennem Tor-netværket ved at forbinde til en hidden service directory og derefter bygge et rendezvous-kredsløb, ikke gennem det offentlige DNS.
Hvis jeg åbner et onion-websted, kan min internetudbyder så se, hvad jeg læser der?
Din udbyder kan se, at du bruger Tor, men den kan ikke se onion-adressen, sidens indhold eller forespørgslerne inde i det krypterede kredsløb. Exit-noden er ikke involveret i onion-tjenestetrafik, så det sidste hop før den skjulte tjeneste forbliver inde i Tor-netværket.
Hvad er det største, onion-routing ikke kan beskytte mig imod?
Det kan ikke beskytte dig mod dine egne identitetslækager: at logge ind på en ægte konto, bruge en ægte betalingsmetode, aktivere scripts, der ringer hjem, eller sende en besked, der afslører, hvem du er. Det kan heller ikke skjule, at du kører Tor, for en person, der har adgang til din enhed eller dit lokale netværk på det rigtige tidspunkt.