专栏首页FreeBuf如何安全的使用Tor网络

如何安全的使用Tor网络

Tor是什么

Tor是互联网上用于保护您隐私最有力的工具之一,但是时至今日仍有许多人往往认为Tor是一个终端加密工具。事实上,Tor是用来匿名浏览网页和邮件发送(并非是邮件内容加密)的。

今天,我们要讨论一下Tor的是如何工作的、它做什么、不会做什么,以及我们该如何正确地使用它。

Tor的工作原理是这样的:

当你通过Tor发送邮件时, tor会使用一种称为“洋葱路由”的加密技术通过网络随机生成的过程传送邮件。这有点像在一叠信中放了一封密信。网络中的每个节点都会解密消息(打开的最外信封),然后发送内部加密的内容(内密封的信封)至其下一个地址。这导致如果单看一个节点是看不了信的全部内容,并且该消息的传送路径难以追踪。

但是,最终的消息已经传送到达。如果它要一个直接连接到Tor网络的服务器上“Tor隐藏服务”,没有任何问题。但是,如果你只是使用Tor作为代理来访问你经常上的网络,就有点复杂。因为在某些时候,你的流量需要经过一个Tor “出口节点”, 该节点负责把你的数据包传送到网络上。

您的流量很容易在这些出口节点被窥探。

这个问题有多严重?

瑞典安全研究人员“Chloe”制定了巧妙的技术来欺骗被监听的节点。她建立了一个蜜罐网站,并使用了一个貌似合法的域名并进行网页设计。作为特定测试,她以比特币为主题。然后使用不同的账户密码组合通过不同的Tor出口节点登陆这个蜜罐网站

然后,她测试了一个月。发现任何被监视的节点都窃取了她的用户名和密码,并尝试使用它。她记录下蜜罐网站上出现的很多登录尝试。由于每个节点的密码是唯一的,因此Chloe可以找到到底哪些节点上钩了。

该实验的结果很有趣。约1400个退出记录, 16个尝试窃取密码和登录。这个数字在表面看起来并不多,但是却让人不得不注意。

首先,这只是选了几个和比特币有关的节点,换句话说,实际上有更多的节点被监听。说不定那些雄心勃勃的罪犯正隐藏在暗处等待着。

其次,仅仅一个监听的出口节点造成的危害就很大。安全顾问Dan Egerstad测试了5个监听的Tor出口节点,很快发现自己的登录凭据已经登录上了为数千台世界各地的服务器,其中受害的包括了澳大利亚,印度,伊朗,日本,俄罗斯使馆。这里面伴随着大量敏感信息。

Egerstad估计通过他节点的95%流量是未加密的,给他机会来访问未加密的内容。在网上发出这个结果后,Egerstad被瑞典警察搜查扣押。

这只不过是5个监听的节点而已!Chloe曾报道Tor的半集中式系统清理监听节点并没有完全将问题解决,他们依旧窥探着!

如果您在使用Tor浏览网页,你发送的任何邮件都会很容易在您的出口节点窥探。就这点为不择手段的人提供了机会将出口节点作为间谍活动,盗窃或勒索。

如何安全使用Tor

幸运的是,那些因为这种缘故而信息泄漏的国家导有一个基本的错误,即:他们误解了Tor是什么,是用来做什么的。

好消息是,你可以使用一些简单的技巧在使用Tor的时候保护您的隐私。

1、使用暗网

与出口节点保持安全距离的最简单的方法就是不使用它们:坚持使用Tor本身的隐匿服务,你可以确保所有的通信都是加密的,无需跨越更多的互联网。但是这种方式有时很有效。暗网只是互联网中众多网站的一小部分。

2、使用HTTPS

另一种方式使Tor的更安全的方法是增强终端到终端的加密协议。其中最有用的一般是HTTPS,允许你在加密模式下浏览网站。Tor网站默认支持HTTPS的功能。在你发送任何敏感信息之前检查一下HTTPS按钮是否为绿色。

3、使用匿名服务

您也可以使用不会记录活动的网站和服务提高你的安全。例如,虽然谷歌通过你平时的搜索活动找出你是谁。但是他们不是用于任何恶意目的,仅仅只是作为其业务的一部分。

因此,您需要使用像Duck Duck Go浏览器之类的,它有一个服务功能就是不会保留任何关于你信息。你也可以结合Cryptocat加密聊天功能进行私人会话。

4、避免个人信息

避免个人信息泄漏的最安全的方式就是在起先时候就避免发送信息。使用Tor浏览固然不错,但也要最大程度地避免信息上传。只能尽可能避免聊天、发送邮件和上论坛。

5、避免登录

最后,避免浏览需要你登录的网站。通过Tor浏览reddit就存在这潜在的危险,因为它包括了浏览、发布和评论,让攻击者很容易获取到个人信息。你也应该注意避免像Facebook知道你的身份后把它买给广告商理事之类的事。

Tor不是魔术,并不能保护你,除非你不在乎你的信息被别人知道。

*参考来源makeuseof,译/江湖小吓,转载请注明来自Freebuf.COM(黑客与极客)

本文分享自微信公众号 - FreeBuf(freebuf)

原文出处及转载信息见文内详细说明,如有侵权,请联系 yunjia_community@tencent.com 删除。

原始发表时间:2015-07-26

本文参与腾讯云自媒体分享计划,欢迎正在阅读的你也加入,一起分享。

我来说两句

0 条评论
登录 后参与评论

相关文章

  • Tor的恶意应用

    Tor本来是为用户提供匿名上网保护用户隐私的工具,但是对于一些用户来说,他们可以利用Tor的隐蔽性进行黑客攻击或非法交易活动。总结Tor的恶意应用主要表现在以下...

    FB客服
  • 追踪那些隐藏在暗网深处的匿名者

    Tor用户是如何被确定身份的? 纵观暗网的发展史,总有人尝试各种方法挖出匿名用户的真实身份。姑且可以把攻击手段分为两类:对客户端的攻击(浏览器),和对网络流量的...

    FB客服
  • 看我如何通过Tor Onion在Windows中执行远程Shell

    操作方法 首先,我们要在一个Windows Tor客户端中创建一个Tor onion服务(即隐藏服务)。我下载了Tor Expert bundle(同样适用于T...

    FB客服
  • Tor的恶意应用

    Tor本来是为用户提供匿名上网保护用户隐私的工具,但是对于一些用户来说,他们可以利用Tor的隐蔽性进行黑客攻击或非法交易活动。总结Tor的恶意应用主要表现在以下...

    FB客服
  • Tor 项目联合创始人称 暗网并不真正存在

    在拉斯维加斯举行的 DEF CON 会议上,Tor 项目联合创始人 Roger Dingledine 试图纠正有关匿名网络的错误观念。他指出,只有 3% 的 T...

    Debian社区
  • 超文本传输协议 - 白话篇

    再给大家介绍另一个小编,他也是一名在校学生,为什么会有写网络相关的想法呢?因为这几天在给图书馆的服务器装环境,在配置网络上面一直停滞不前,决定重新学习一遍计算机...

    木野归郎
  • 聊一聊 QTL 定位的原理

    通过前两周的《本地化适应是怎么发生的?》和《突变是否影响个体的适应性?》了解了群体的核酸多样性后,我们接下来就开始要着手进行功能基因的定位了。工欲善其事,必先利...

    企鹅号小编
  • 汽车电子模块常用接口电路

    结合在实际系统设计中,模块与汽车其他电子模块进行信息互联,不同类型的接口电路实例,提供出来和大家一起来分享,希望大家一起来归纳和整理。 1. 低电流/信号输出...

    机器人网
  • 使用OQL“语言”构造ORM实体类的复杂查询条件

    OQL”语言“ 是PDF.NET数据开发框架的实体对象查询语言,一直以来,ORM的复杂查询条件都是困扰ORM的问题,所以很多时候不得不舍弃ORM,直接手工拼接S...

    用户1177503
  • Jenkins2 学习系列14 -- 声明式Pipeline补充

    如果需要在pipeline中进行逻辑判断或者写Groovy脚本代码,需要写在script步骤中,如下:

    mafeifan

扫码关注云+社区

领取腾讯云代金券