Slik fungerer Torzon Market onion routing uten å avsløre IP-en din

En vanlig misforståelse er at å åpne en .onion-adresse fungerer som en vanlig nettforespørsel: enheten din tar kontakt, serveren svarer, og begge parter ser hverandre. Med løkruting slik det brukes av markeder som Torzon Market, er forbindelsen bevisst indirekte. Trafikken din går aldri rett fra datamaskinen din til målserveren. I stedet beveger den seg gjennom en liten rekke frivillig drevne reléer, og bare det siste reléet tar faktisk kontakt med den skjulte tjenesten på dine vegne.

Denne utformingen endrer hva «å besøke et nettsted» i det hele tatt betyr. Ved en direkte forbindelse loggfører serveren kilde-IP-en din fordi TCP-håndtrykket skjer mellom maskinen din og serveren. Med en .onion-adresse ser serveren en innkommende forbindelse fra det siste reléet i banen – aldri fra enheten som opprinnelig klikket på lenken. Det er grunnen til at bare det å åpne en skjult tjeneste-side ikke kan avsløre IP-en din av seg selv: serveren har ingen nettverkspakke fra deg å inspisere.

Reléene velges fra en distribuert katalog, og ingen enkelt relé vet både hvor forespørselen kom fra og hvor den skal. Fordi kretsen bygges før markedssiden i det hele tatt bes om, fungerer .onion-adressen mer som en rutingetikett enn en serverplassering. Lenken bygger ikke inn eller eksponerer nettverksidentiteten din; den forteller bare Tor-klienten din hvilken skjult tjeneste som skal nås i enden av en allerede anonymisert bane.

En vanlig misforståelse er at et relé «leser» trafikken din fordi den passerer gjennom det. I praksis skiller Tor-kretsen hvem du er fra hva du sender og fra hvor det skal, slik at ingen enkeltreléer sitter med hele bildet.

Brukeren bygger en krets med tre hopp. Det første releet — vakten — kjenner brukerens IP og adressen til midtreleet, men selve forespørselen er fortsatt kryptert. Midtreleet kjenner vakten og det tredje releet, men det kan ikke se brukerens IP eller målet. Det tredje releet kobler seg til Torzon-onion-tjenesten gjennom møtemekanismen, så selv det får ikke vite brukerens virkelige plassering.

1. Vaktreléser brukerens IP, kjenner midtreleet, kan ikke lese innholdet
2. Midtreléser bare reléadresser, fungerer som et skille mellom inngang og utgang
3. Møtesidenser onion-tjenestetrafikk, ikke besøkerens opprinnelige nettverksadresse

Dette skillet er viktig fordi onion-tjenester ikke er avhengige av en vanlig utgangsnode. I stedet for å forlate Tor-nettverket for å nå et offentlig nettsted, forblir tilkoblingen ende-til-ende-kryptert mellom den besøkende og .onion-målet. Markedsserveren mottar aldri IP-en din som en del av den banen.

Hvorfor tre hopp i stedet for to

To hopp ville fortsatt tillatt det første releet å se brukeren og det andre releet å se målet, noe som gjør korrelasjon enklere for én enkelt observatør som kontrollerer begge. Det tredje hoppet setter inn et midtpunkt som har som eneste oppgave å bryte den korrelasjonen.

Noen åpner onion-adressen i en herdet Tor Browser-økt, men klikker så på en clearnet-sporingslenke fra en markedsmelding, eller logger inn på en http://-versjon av samme side, eller lar ved et uhell «husk historikk» stå på i en tilknyttet profil. Selve onion-stien er fortsatt intakt. Det som bryter sammen, er grensen rundt den — en forespørsel eller en identifikator lekker utenfor den krypterte kretsen fordi brukeren ga den ene siden av økten en måte å nå den andre på uten å gå gjennom relayene.

Hovedpoenget er at en onion-lenke ikke har noen innebygd mekanisme for å avsløre en IP. Den er ikke et script, en sporingsmekanisme eller en forbindelse; den er en rutinginstruksjon. Avsløring kommer nesten alltid fra en annen kanal: DNS-spørringer sendt til en vanlig oppslagstjener i stedet for gjennom Tor-nettverket, IPv6-lekkasjer, mediefiler åpnet i en ekstern spiller, eller en feilkonfigurert bro. Når den andre kanalen fyrer av, har ikke markedslenken sluttet å beskytte deg — du har rett og slett gått rundt den.

Forstå forskjellen mellom stiintegritet og sesjonshygiene. Onion-rutingdesignet bevarer stiintegriteten så lenge trafikken går inn gjennom Tor-inngangsnoden og ut gjennom rendezvous-punktet for den skjulte tjenesten. Hvert relay i mellom ser bare kryptert last. Men hvis et program genererer trafikk som aldri går inn på den stien — en bakgrunnsoppdateringssjekk, en talesamtale, et geolokaliserings-API — reiser den trafikken under din virkelige adresse, og onion-laget kan ikke beskytte data som ikke befinner seg inne i det.

Bruddet ser vanligvis ut som ett ekstra trinn

1. Onion-siden lastes normaltkretsen er komplett; ingen IP avsløres
2. Brukeren klikker på en lenke som åpnes i en systemnettleserden nye forespørselen har opprinnelse utenfor Tor
3. En hjelpeapp henter et forhåndsblide, favicon eller kartruteappen bruker clearnett-nettverksstakken
4. Markedsøkten forblir åpen i bakgrunnenmen appen har allerede sendt sin egen forespørsel med en ekte kildeadresse

Dette er grunnen til at lenkefokusert sikkerhetsrådgivning ofte føles ufullstendig. Folk inspiserer onion-adressen nøye, verifiserer signaturen dens og ender likevel opp synlige fordi den minst beskyttede applikasjonen på enheten opprettet én forbindelse på deres vegne. Lenken var aldri det svake elementet; programvaren rundt den var det.

Fra markedsplassens side begynner en forespørsel som en kryptert celle som ankommer møtepunktet, ikke som en brukeridentitet. Den skjulte tjenesten får aldri vite IP-adressen din, nettleserfingeravtrykket ditt eller hvilken geografisk utgangsnode du bruker; den ser bare kretsen som ble bygget for den økten og innholdet du selv velger å sende inn.

• AdresseoppslagTor-klienten din spør et katalogsystem etter onion-deskriptoren som er signert med tjenestens langsiktige nøkkel
• KretsbyggingTre reléer velges, og en møtekrets kobler seg til et punkt som ikke har noen anelse om hvilken onion-tjeneste som skal bruke det
• IntroduksjonshåndtrykkTjenesten mottar en engangsnøkkel gjennom introduksjonspunktet sitt og bygger sin egen krets til samme møtested
• Ende-til-ende-strømAll videre trafikk går gjennom en seks-hopps bane der krypteringen ligger lagvis fra klienten din helt frem til den skjulte tjenesten
• SvarleveringTjenesten svarer med siden, og den samme lagdelte banen bærer den tilbake uten at noen av endepunktene ser den andres nettverksplassering

Det markedets logger i prinsippet kan inneholde, er begrenset til: tidspunktet en økt begynte, hvor lenge den holdt seg åpen, hvilke sider eller API-endepunkter som ble bedt om, og alt du skriver inn i skjemaer. Det som forblir ukjent, er den virkelige IP-adressen din, hvilken versjon av Tor-klienten du bruker, operativsystemet ditt, og om to separate besøk kom fra samme person — med mindre du gjenbruker et brukernavn, en betalingsadresse eller en gjenkjennelig skrivestil på tvers av økter.

Hvorfor tjenesten ser en økt, ikke en person

Møtepunktet fungerer som et møterom som både den besøkende og tjenesten går inn i fra hver sin skjulte inngang. Ingen av sidene ser gangen den andre brukte. Denne arkitektoniske atskillelsen betyr at tjenesten kan registrere at «noen ba om en selgerprofil klokken 14:32 og forlot etter ni sekunder», men den kan ikke knytte hendelsen til et sted eller en enhet.

Konkrete vaner holder relélogikken i gang. Løkstien beskytter deg bare så lenge adressen, nettlesertilstanden og dine egne svar er i samsvar med den. En eneste avstikker – å lime inn en ubekreftet lenke i en vanlig nettleser, følge en omdirigering fra en chat eller justere sikkerhetsinnstillingene fordi en side «ser ødelagt ut» – flytter tillitsgrensen utenfor relékjeden.

En brukerside-gjennomgang av kontrollene

1. Bekreft adressen før du kobler tilLøkadressen bør komme fra en kilde du allerede stoler på, og den må stemme nøyaktig. Phishing-kloner skiller seg ofte med ett eller to tegn; rutingslaget kan ikke oppdage den forskjellen, fordi det bare kobler til dit adressen peker.
2. Hold nettleseren isolert og renBruk en Tor Browser-instans med standard sikkerhetsinnstillinger. Unngå utvidelser, pålogginger fra andre nettsteder og filnedlastinger i samme økt, siden disse kan skape sidespor som avslører identitet utenfor løkkretsen.
3. Les advarsler som stisignalerSertifikatlignende advarsler, manglende favikon eller en side som ber om ekstra data utover markedsinnloggingen din, er ikke «småfeil». De indikerer at du enten er på en klone, eller at noe prøver å gå utenfor løktransportmodellen.
4. Bekreft det du skriver, ikke det du huskerBokmerker er bare så gode som øyeblikket de ble lagret. Sjekk hele adressen på nytt etter enhver periode uten aktivitet, fordi roterte eller utløpte lenker gjør gamle bokmerker farlige.
5. Hold all aktivitet innenfor samme kretskontekstHvis en side ber deg åpne en «vanlig lenke» eller bruke en annen nettleser for å fullføre en handling, stopp. Den instruksjonen er en utgang fra den beskyttede stien.

Tillitsgrense

linjen mellom det løkrutingen kan garantere, og det dine egne handlinger kan bryte

Klone

en falsk side laget for å se ut som markedet, ofte på en lignende adresse

Sidespor

enhver handling utenfor den isolerte nettleserøkten som kan eksponere din virkelige IP eller identitet

Se også