Юрий Стручков - Установка и настройка Tor

Кстати, рядовые пользователи могут легко проверить подменяется ли их IP-адрес на конечном ресурсе, но не могут проверить насколько защищена шифрованием информация, которую они отправляют. Приходится верить на слово!? Т.о., пользователь фактически получает бесплатного кота в мешке. (Подходит и аналогия с бесплатным сыром, который, как известно, находится только в мышеловке.)

Разработчики системы Tor (правильнее было бы назвать их администраторами проекта) утверждают, что программное обеспечение имеет открытый код и всякий, мол, может проверить, что там нет возможности отслеживать и перехватывать проходящий трафик.

Во-первых, далеко не всякий может это проверить, да большинство и не станет. А во-вторых, никто не может проверить того программного обеспечения, которое находится на серверах системы Tor. Имеются ввиду не серверы созданные волонтёрами, а корневые директории сети Tor (Directory Authority servers). Кто знает какие ключи шифрования имеются там и как они используются?

Далее. Система Tor сначала разрабатывалась по федеральному заказу, якобы для министерства обороны США. Интересно, а чем она не подошла американским военным? Они якобы отказались от неё и в 2002 году отдали каким-то якобы независимым разработчикам. Странная история.

А может она разрабатывалась по заказу ФБР или ЦРУ, а потом по вышеизложенной легенде началась её эксплуатация в качестве той самой приманки, о которой говорилось в вопросе о спецслужбах.

Всё это конечно на уровне гипотезы, но в серьёзных случаях, где требуется настоящая анонимность, я бы Tor использовать не стал. А с другой стороны, и полностью отказываться от него не нужно. Например, Tor вполне пригоден для посещения заблокированных провайдером сайтов. Он может защитить и от перехвата информации провайдером, при условии, конечно, что ваш провайдер не сотрудничает с американскими (или другими западными) спецслужбами. Т.е., при решении внутренних и не денежных вопросов (точнее тех, которые не заинтересуют западные спецслужбы и Интерпол) использование Tor не только не противопоказано, но даже рекомендовано.

При этом не следует забывать, что сеть Tor вовсе не является неуязвимой. А, кроме того, традиционные полицейские методы также могут быть достаточно эффективными против сервиса Tor.

На сайте Torproject.org имеется следующее обращение разработчиков системы Tor к пользователям:

Хотите чтобы Tor заработал по настоящему?

... тогда пожалуйста поймите, что не достаточно просто установить его и начать использовать. Вы должны изменить ваши некоторые привычки и должным образом настроить программное обеспечение! Tor сам по себе НЕ сможет обеспечить вашу анонимность. Есть несколько основных узких мест, на которые следует обращать внимание:

a. Tor защищает только те сетевые приложения, которые посылают свой трафик через Tor — он не может волшебным образом сделать весь ваш трафик анонимным просто потому, что вы установили Tor. Мы рекомендуем использовать Firefox с расширением Torbutton.

b. Torbutton блокирует такие плагины обозревателей как Java, Flash, ActiveX, RealPlayer, Quicktime, Adobe PDF и другиe: использованы для раскрытия вашего IP-адреса. Например, это означает, что по умолчанию Вы не можете пользоваться Youtube. Если вам действительно нужен доступ к Youtube, вы можете перенастроить Torbutton, чтобы разрешить доступ к Youtube, но знайте, что тем самым вы открываете себя для потенциальных атак. Кроме того, такие расширения как панель инструментов Google узнают дополнительную информацию о сайтах, которые вы посещаете: они могут идти в обход Tor и/или разглашать приватную информацию. Некоторые предпочитают использовать два разных браузера (один для Tor, и другой - для работы в сети без Tor).

c. Будьте осторожны с куки: если вы использовали браузер без Tor и сайт выдал вам куки, оно может идентифицировать вас, даже если вы начнете использовать Tor снова. Torbutton пытается обработать куки безопасно. CookieCuller может помочь в сохранении тех куки, которые вы не хотите потерять.

d. Tor анонимизирует источник вашего трафика, и шифрует всё между вами и сетью Tor, и всё внутри сети Tor, но он не может зашифровать ваш трафик между сетью Tor и конечным получателем информации. Если вы передаете конфиденциальную информацию, вам следует дополнительно позаботится о шифровке передачи информации, как если бы вы работали без Tor — HTTPS или или иной способ шифровки и аутентификации из конца в конец. HTTPS Everywhere - расширение Firefox, разработанное совместно Tor Project и Electronic Frontier Foundation. Оно шифрует ваши связи с рядом крупных веб-сайтов.

e. Хотя Tor и блокирует атаки на вашу локальную сеть с целью выявления вашего расположения и воздействия на него, следует сказать о новых рисках: злонамеренные или неправильно настроенные выходные узлы Tor могут переслать вам неверную страницу, или даже послать вам встроенный Java-апплет так, как будто он от домена, которому вы доверяете. Будьте осторожны и не открывайте приложения и документы, скачанные через сеть Tor, предварительно не убедившись в их целостности.

f. Tor пытается предотвратить, чтобы атакующие узнали, к какому компьютеры вы подключаетесь. Это не мешает кому либо, наблюдающему ваш трафик, понять, что вы используете Tor. Вы можете смягчить (но не в полном объеме устранить) этот риск с использованием моста реле Tor , а не непосредственного подключения к сети общего пользования Tor; но в конечном итоге лучшей защитой здесь является социальный подход: чем больше пользователей Tor рядом с вами и более разнообразны их интересы, тем менее опасным будет тот факт, что вы один из них.

g. Do not use BitTorrent and Tor together unless you are using a system like TAILS.

Подойдите к изучению материала с умом. Постарайтесь понять, что Tor может, а чего не может. Неверно думать, что список узких мест предопределён и окончателен, нам нужна ваша помощь в определении и описании всех возможных проблем.

Конфигурационный файл torrcнаходится в папке <���пользователь>\Application Data\Vidalia

Программа Tor при загрузке считывает конфигурационный файл и устанавливает рабочие параметры в соответствии со значениями команд в файле torrc.

Здесь приводится простейший (базовый) вариант конфигурационного файла

# This file was generated by Tor; if you edit it, comments will not be preserved

# The old torrc file was renamed to torrc.orig.1 or similar, and Tor will ignore it

# If set, Tor will accept connections from the same machine (localhost only)

# on this port, and allow those connections to control the Tor process using

# the Tor Control Protocol (described in control-spec.txt).

ControlPort 9051

# Where to send logging messages. Format is minSeverity[-maxSeverity]

# (stderr|stdout|syslog|file FILENAME).