Tag: tor

讓 Tor 的 .onion 支援 HTTPS

看到 Tor 官方的「Get a TLS certificate for your onion site」這篇，查了一下發現先前漏掉一些資訊...

首先是 2020 年二月的時候 CA/Browser Forum 就已經在投票是否有開放 v3 .onion 的憑證：「[Servercert-wg] Voting Begins: Ballot SC27v3: Version 3 Onion Certificates」，而結果也順利通過：「Ballot SC27v3: Version 3 Onion Certificates - CAB Forum」。

而一直到今年才有消息，希臘的 Harica CA 在月初時正式支援 v3 .onion：「Harica CA now supports issuance of DV .onion certificates」，不過拿 SSL Lab 的工具翻了一下，發現不是所有的平台都有認 Harica CA：「SSL Report: www.harica.gr (155.207.1.46)」，裡面可以看到 Java 的 trust store 裡面沒有 Harica CA：

實際測了一下流程，Harica CA 的網站會等到認證完後收費，看起來可以透過信用卡，但我就沒走下去了：

想要看看的人可以看 Kushal Das 的 kushaldas.in 與 kushal76uaid62oup5774umh654scnu5dwzh4u2534qxhcbi4wbab3ad.onion 就可以了。

另外查了一下 Certificate Transparency，可以看到我自己的 onion server 先被簽出來了：「5g4ukauwohjqjpydwqnkfkxxtcxkgtusr5twji53stfdzbz54xrmckid.onion」。

等 Let's Encrypt 出來後再說吧，目前看起來「Support for FQDNs under .onion」這邊沒有什麼進度...

Cloudflare 拔掉使用 Cookie 分析的功能

這兩則應該可以一起看，雖然相差了兩個多月。

首先是今年九月底的時候提供隱私優先的分析系統：「Free, Privacy-First Analytics for a Better Web」，接下來是最近 (十二月) 宣佈要把 __cfduid 這組 cookie 拔掉：「Deprecating the __cfduid cookie」。

文章裡面沒有提到現在是怎麼偵測的，但我猜是瀏覽器的 fingerprint 資料已經足夠辨識了，不需要用到 cookie，這點可以參考 EFF 的「Cover Your Tracks」。

所以 privacy-first 這件事情也只是程度上而已，為了要防禦 bot，還是得正確辨識出不同的使用者，也就是說，現在不用 cookie 不代表 privacy 就高很多。不過這的確是試著在技術上努力降低疑慮就是了...

真的想要在 internet 上隱藏身份的人還是用 Tor 吧，基本上最少應該拿 Tor Browser，更小心一點應該用 Tails 這類軟體。

Tor 在德國的 Relay 節點比重過高的問題

在「The German Problem with Tor」這邊提到了 Tor 在德國的 Relay 節點比重過高的問題，遠超過第二名的法國：

This is where we come to Germany, which has the highest amount of Tor relay capacity in the World at 167Gbps, in contrast France is in 2nd place with 64.5Gbps of capacity aka more than 100Gbps lower than Germany.

從 Welcome to Tor Metrics 這邊可以拉資料出來看，在「rs.html#aggregate/cc」這頁可以看到差距，現在德國的 Relay 是第一名，比重約 37.7%，法國則是第二名，但卻只佔了 16.7%。

主要還是頻寬費用的關係吧？畢竟網路上租主機時也可以感覺到，德國的頻寬真的很便宜...

Onion Service 第二版的退場計畫

Tor 這邊給出了 Onion Service v2 的退場計畫：「Onion Service version 2 deprecation timeline」，關於 v2 與 v3 的差異，可以參考之前寫的「下一代的 Tor Hidden Service」，裡面有提到 v3 的 spec。

v2 與 v3 最大的差異就是本來 v2 的 hostname 是 16 個英數字 (大約是 80-bit security)，現在 v3 變成是 56 個英數字 (大約是 280-bit security)，大幅降低 collision 的機會。

目前公佈的時間表是在 2020 年九月先拋警告出來，2021 年七月拔掉 server 支援，2021 年十月拔掉 client 支援：

1. September 15th, 2020
0.4.4.x: Tor will start warning onion service operators and clients that v2 is deprecated and will be obsolete in version 0.4.6.

2. July 15th, 2021
0.4.6.x: Tor will no longer support v2 and support will be removed from the code base.

3. October 15th, 2021
We will release new Tor client stable versions for all supported series that will disable v2.

差不多是十五個月的計畫...

在 Ubuntu 下安裝 Tor Browser

因為 Tor Browser 會自己更新，所以不想裝 package 版本。網路上比較多人寫的是 torbrowser-launcher，但這幾天好像炸掉了，會一直說憑證有問題 (在 Issues 的頁面上可以看到一些回報)，所以還是找了一下有沒有官方推薦的方法...

官方提供的是免安裝的執行檔案，結果在下載解開後，就看到了 start-tor-browser.desktop 這個檔案，如果打開來看，裡面就直接講到 --register-app 這個功能：

# After first invocation, it will update itself with the absolute path to the
# current TBB location, to support relocation of this .desktop file for GUI
# invocation. You can also add Tor Browser to your desktop's application menu
# by running './start-tor-browser.desktop --register-app'

他會自動把程式註冊到 ~/.local/share/applications/ 下，這樣用 Launcher 搜尋也找的到了，比想像中簡單不少...

摸進俄羅斯的外包廠商，意外發現的專案：降低 Tor 匿名性的工具

俄羅斯政府的外包廠商 SyTech 被摸進去後，被發現裡面有些「有趣」的軟體：「Hackers breach FSB contractor, expose Tor deanonymization project and more」。

這次被放在標題的軟體叫做 Nautilus-S，透過被加過料的 Tor server 與 ISP traffic 交叉分析，試著找出俄羅斯內的 Tor 使用者：

Nautilus-S - a project for deanonymizing Tor traffic with the help of rogue Tor servers.

這不是新東西，之前就有被提出來，但並沒有這次直接給整包軟體出來：

The first was Nautilus-S, the one for deanonymizing Tor traffic. BBC Russia pointed out that work on Nautilus-S started in 2012. Two years later, in 2014, academics from Karlstad University in Sweden, published a paper detailing the use of hostile Tor exit nodes that were attempting to decrypt Tor traffic.

而且看起來有不少節點正在運行：

Researchers identified 25 malicious servers, 18 of which were located in Russia, and running Tor version 0.2.2.37, the same one detailed in the leaked files.

不知道 Tor 會不會有行動...

Tails 裡的注音輸入法終於修好了...

Tails 是一個獨立的 Debian 作業系統，強調匿名性，裡面有很多環境的預設值是為了避免 IP 位置以及其他資訊洩漏而設計。另外因為是獨立完整的作業系統，可以找台電腦用 USB 開機直接跑起來，避免 OS 被埋木馬的問題 (當然如果硬體有問題的話還是沒辦法)。

大多數人用 Tails 的人應該還是拿來跑 Tor Browser，不過我在用的時候發現注音輸入法有問題 (大約三年前？)，就跑去開了一張 bug ticket 回報：「Bopomofo input for Chinese is not working」，從裡面的討論可以看到中間有 ping 我，但是我忘記回應了... 直到最近動了起來剛好有看到，就抓了 snapshot ISO 幫忙測了一下，畢竟沒幾個用注音的人在上面可以確認 :o

目前看起來輸入法本身的問題修差不多了，而且有機會在下個版本看到 (或是下下個版本，要看會不會進這次的 merge window)。

想要測試的人，除了要抓這個版本的 snapshot ISO 外 (在 bug ticket 裡有連結)，在 Tails 開機時，要記得要在 Language 的地方選擇台灣：

開進去後就可以看到注音輸入法了，用 Super + Space 可以切換輸入法：(Super 通常指的是微軟鍵，或是 Mac 右邊的 Command 鍵，因為左邊的 Command 可能被當 Host key 了)

還有一些小 bug 要另外再處理 (像是切換輸入法的 input focus 會跑掉)，不過比以前完全不能用好多了...

Tor Browser 繁體中文版

Twitter 上看到 Tor Browser 在宣傳繁體中文版，不過這篇的翻譯有點...：

不過這算是個里程碑啦...

Cloudflare 提供的 DNS Resolver 服務拓展到 Tor 上

Cloudflare 宣佈 DNS Resolver 提供 Tor 的版本，讓使用者可以在不暴露自己的 IP address 的情況下，使用 Cloudflare 提供的 DNS Resolver 服務：「Introducing DNS Resolver for Tor」。

不過沒看懂，如果使用者想要透過 Tor 保護自己的話，本來就可以透過 Tor 存取 1.1.1.1 與 1.0.0.1 甚至是其他家有提供 DNS-over-TLS 或是 DNS-over-HTTPS 的服務了？(像是 Google 的 8.8.8.8)

好像找不到什麼使用的理由...

義大利政府的反貪組織用 Tor 的 Onion (Hidden Service) 接受檢舉

在「Italian Anti-Corruption Authority (ANAC) Adopts Onion Services」這邊看到，義大利政府因為法令要求必須保護告密者，而不只是在需要提供身份的階段才保護：

Many national laws (such as Italian Dlgs. 231/2001) require companies to adopt corporate governance structures and risk prevention systems, which can include allowing whistleblowing submissions. However, most whistleblowing laws only protect whistleblowers when their identity is disclosed, which can put the person reporting corruption at risk.

In 2016, the International Standards Organization (ISO) released a new model for organizations setting up and operating anti-bribery management systems, ISO 37001:2016. To meet ISO standards, organizations or companies implementing anti-corruption procedures must allow anonymous reporting, as explicitly indicated in point 8.9 of section C of ISO 37001:2016.

Furthermore, national laws (such as recent Italian 179/2017) require the adoption of IT systems for whistleblowing, leading to the practical integration and use of Tor for its technological anonymity features.

而義大利政府的系統選擇用 Tor 的 Onion (Hidden Service) 提供服務接受檢舉：

To comply with these standards, the Italian Anti-Corruption Authority (ANAC), an administrative watchdog, just launched their national online whistleblowing platform using onion services, giving whistleblowers who come forward a secure way to report illegal activity while protecting their identities.

這使用了 hidden service 的特性，讓伺服器端完全無法得知 client 的位置，對於使用有足夠保護的 browser 來說 (像是 Tor Browser)，這可以完全讓 server 端無法得知身份，即使政府的伺服器都入侵也沒辦法知道告密者是誰。

這點頗先進的...