Tag: onion

Debian 提供 Tor Hidden Service 更新 Apt

Debian 與 Tor Project 都宣佈了這個消息，兩邊的稿子都一樣：「Debian and Tor Services available as Onion Services」、「Debian and Tor Services available as Onion Services」。

站台列表在 https://onion.debian.org/ 這邊可以看到，當你有安裝 apt-transport-tor 時，可以透過 Tor 更新：

deb tor+http://vwakviie2ienjx6t.onion/debian jessie main
deb tor+http://vwakviie2ienjx6t.onion/debian jessie-updates main
deb tor+http://sgvtcaew4bxjd7ln.onion/debian-security jessie/updates main

Tor Hidden Service 本身就有一定的安全強度，而透過 APT 抓 Debian 套件的安全性還有 GnuPG 驗證把關，這樣看起來頗不賴...

讓 Tor 的流量變大也是讓 Tor 的隱私性變得更好的一種方法 (因為目前看到新的攻擊都是靠分析 traffic pattern，所以流量變大有機會讓雜訊變多一些)。

不知道 Ubuntu 有沒有機會也上一份...

RFC7686：保留 .onion 給 Tor 的 Hidden Services 使用

看到 Tor Project 很高興的宣佈 .onion 這個 TLD 在 RFC 7686 成為 Standards Track：「Landmark for Hidden Services: .onion names reserved by the IETF」。

而且也因為成為 IETF 的標準，在 CA/Browser Forum 上更有依據討論在上面的 CA 架構：

With this registration, it is should also be possible to buy Extended Validation (EV) SSL/TLS certificates for .onion services thanks to a recent decision by the Certification Authority Browser Forum.

.onion 的域名保護

.onion 被用在 Tor 的 hidden service，而現在從不同的面向要保護這個 root domain 不被註冊，在 IETF 的 blog 上看到「.onion」這篇文章就是其中一個方向。

這邊的計畫是把 .onion 域名當作像是 .local、.localhost、.example 這樣的特殊域名保護 (參考 RFC 6761「Special-Use Domain Names」) 而提了一個新的 RFC (目前是 draft)：「The .onion Special-Use Domain Name」。

如果通過的話，就有一個標準可以遵循，不然現在對 .onion 一直都是 De-facto standard...

關於 .onion SSL Certificate 的表決 (Tor Network)

關於 .onion 的 SSL Certificate，在 CAB Forum 這邊提出來表決了：「Ballot 144 – Validation rules for .onion names」。

有些時間限制與一般的 SSL Certificate 不太一樣：

CAs MUST NOT issue a Certificate that includes a Domain Name where .onion is in the right-most label of the Domain Name with a validity period longer than 15 months. Despite Section 9.2.1 of the Baseline Requirements deprecating the use of Internal Names, a CA MAY issue a Certificate containing an .onion name with an expiration date later than 1 November 2015 after (and only if) .onion is officially recognized by the IESG as a reserved TLD.

然後：

On or before May 1, 2015, each CA MUST revoke all Certificates issued with the Subject Alternative Name extension or Common Name field that includes a Domain Name where .onion is in the right-most label of the Domain Name unless the Certificate was issued in compliance with this Appendix F.

等投票結束後再來看...

DigiCert 考慮開放 .onion 的 SSL certificate 簽章

前陣子 Facebook 提供 Tor 的 hidden service 時還提供了 SSL certificate，是由 DigiCert 簽的：「Supporting the Anonymous Use of Facebook via Tor」。

而 DigiCert 打算開放給一般人申請 .onion 的 SSL certificate：「DigiCert Considering Certs for Hidden Services」。

這件事情除了在技術的角度很特別外，在政治面的角度也值得被拿出來討論，也就是 DigiCert 承認 .onion 的 TLD。

各家搜尋引擎 (像是 Google 與 DuckDuckGo) 開始爬 .onion 的資料也應該是遲早的事情？

Facebook 證明 Tor 的 Hidden Service 不安全

Facebook 宣佈了 https://facebookcorewwwi.onion/ 這個 Tor hidden service：「Making Connections to Facebook more Secure」，讓人可以直接在 Tor 的網路裡連上 Facebook。

Facebook 的人用的方法與其他人一樣，是透過 brute force 算出這個 hidden service。

但這也直接證明了 Tor Hidden Service 不安全：(參考這個註解的說明)

If Facebook has the resources to brute force their own full key, then you better believe the NSA and GCHQ do too. Which means that you will no longer know if the hidden service you're connecting to is the real one or the NSA/GCHQ version. Tor hidden services are now dead.

這次未免太精彩了 XDDD

行動平台上的 Tor browser

在「The problem behind mobile TOR browsers' ip disclosure」測了四個行動平台的 Tor 瀏覽器，其中三個是 Android 上的，一個是 iOS 的。

四個瀏覽器測試的結果中，只有 iOS 上的 Onion Browser (要 USD$0.99) 可以在修改設定後達到最低限度「隱藏 real ip」的標準：

作者的建議是不要在行動平台上有太多期望，隱藏 real ip 只是其中一個環節...