Under de kommande månaderna, Seattle-baserade ideella Torprojektet kommer att göra några ändringar för att förbättra hur Tor-nätverket skyddar användarnas integritet och säkerhet. Det fria nätverket låter användarna surfa på internet anonymt. Till exempel kan man med hjälp av Tor minska risken för att identifieras när dissidenter talar mot sina regeringar och kommunicerar med journalister och offer för hjälp med hemhjälp.

I sin vanligaste, och mest kända, funktion, en person som använder den fria Tor Browser - i huvudsak en integritetsförstärkt version av Firefox - använder internet mestadels normalt. Bakom kulisserna hanterar webbläsaren och nätverket trafiken genom att studsa kommunikationen via en kedja av tre slumpmässigt valda datorer från hela världen, som kallas "reläer". Från och med mars 2017, Tor-nätverket räknas nästan 7,000 av dessa reläer. Målet att utnyttja dessa reläer är att avkalla en användares identitet från sin verksamhet.

Tor springer webtrafik över tre slumpmässigt valda Tor-reläer av totalt runt 7,000-reläer.

Men de användarna brukar fortfarande använda andra webbplatser, vilket kan vara stänga or tryckt på att censurera online-aktivitet. Mitt eget arbete som forskare och frivillig medlem i The Tor Project ser också på nätets sätt att låta människor vara värd för webbplatser privat och anonymt, vilket är där de flesta uppgraderingarna till systemet kommer.

Kallas "lökjänster", detta element i Tor-nätverket gör det möjligt för en person att köra en webbplats (eller filhanteringswebbplats eller chattjänst eller till och med videosamtalssystem) från en dedikerad server eller till och med sin egen dator utan att exponera var i världen är det. Det gör det mycket svårare för myndigheter eller motståndare att ta ner sig. De kommande förändringarna kommer att åtgärda brister i systemets ursprungliga design och använda dagens kryptografi för att göra systemet framtidsbestämt. De kommer att förbättra säkerheten och anonymiteten för befintliga Tor-användare och kanske rita till ytterligare användare som var oroade över att de tidigare skydden inte var tillräckliga när de kommunicerade och uttryckte sig online.

Förstå löktjänster

Från och med mars 2017, en uppskattad 50,000 lökjänster arbetar på Tor-nätverket. Löktjänster kommer kontinuerligt online och offline, så det är svårt att få exakta siffror. Deras namn kommer från det faktum att, liksom Tor-användare, deras identiteter och aktiviteter skyddas av flera lager kryptering, som för en lök.

Medan brottslingar är ofta tidiga adoptörer av anonymitetsteknologi, eftersom fler människor använder systemet blir juridiska och etiska användningsområden allt vanligare än olagliga. Många löktjänster värd webbplatser, chatt webbplatser och videosamtalstjänster. Vi vet inte allt vad de gör för The Tor Project utformar integriteten i sin teknik, så det gör det inte och kan inte hålla reda på. Dessutom, när nya lökjänster är inrättade, är deras existens privat som standard; En operatör måste välja att sända en tjänst existerande offentligt.

Många ägare tillkännager deras hemsida existens, dock och Ahmia sökmotor ger ett bekvämt sätt att hitta alla offentligt kända löktjänster. De är lika olika som internet själv, inklusive a sökmotor, en litterär tidskrift och en arkiv av marxistiskt och relaterat skrivande. Facebook har även ett sätt för Tor-användare att Anslut direkt till sin sociala mediatjänst.

Skapa en lökplats

När en integritetsmedveten användare ställer in en lökjänst (antingen manuellt eller med ett tredjepartsverktyg som onionshare), personer som vill ansluta till den måste använda Tor Browser eller annan Tor-aktiverad programvara; Vanliga webbläsare som Chrome och Firefox kan inte ansluta till domäner vars namn slutar i ".onion." (Människor som vill kika på lökplatser utan alla nätverks anonymitetsskydd kan besöka Tor2web, som fungerar som en bro mellan den öppna webben och Tor-nätverket.)

Ursprungligen var en ny lök tjänst endast känd för sin skapare, som kunde välja om och hur man berätta för andra om sin existens. Naturligtvis vill vissa, som Facebook, sprida ordet så stort som möjligt. Men inte alla vill öppna sin Tor-webbplats eller tjänst till allmänheten, hur sökningen och sociala medier gör.

En designfel gjorde det möjligt för en motståndare att lära sig om skapandet av en ny lökjänst. Detta hände för att varje dag meddelade lökjänster deras existens till flera Tor-reläer. Som hände i 2014, an Attacker kan potentiellt styra tillräckligt med reläer att hålla reda på nya serviceregistreringar och långsamt bygga upp en lista med lökplatser - både hemliga och offentliga - över tiden.

Samma designfel gjorde det också möjligt för en angripare att förutse vilka reläer en viss tjänst skulle kontakta den följande dagen, så att motståndaren kunde bli dessa mycket reläer och göra lökjänsten oåtkomlig. Inte bara kan någon som vill driva en privat, hemlig lök tjänst bli omarbetad under vissa omständigheter, men deras webbplats kan effektivt tas offline.

Uppdateringarna till systemet fixa båda dessa problem. För det första kommer reläerna varje servicekontakt för sin dagliga incheckning tilldelas slumpmässigt. För det andra kommer incheckningsmeddelandet att krypteras, så ett relä kan följa instruktionerna, men den mänskliga operatören kan inte läsa den.

Namngivning av domäner säkrare

En annan form av säkerhet gör att lönetjänsterna blir svåra att komma ihåg. Lökdomäner heter inte som vanliga webbplatser är: facebook.com, theconversation.com och så vidare. Istället härleds deras namn från slumpmässigt genererade kryptografiska data och visas ofta som expyuzz4wqqyqhjn.onion, som är webbplatsen för The Tor Project. (Det är möjligt att upprepade gånger generera lökdomäner tills en användare kommer till en som är lite lättare att känna igen. Facebook lyckades och med en kombination av lycka och rå beräkningskraft lyckades skapa facebookcorewwwi.onion.)

Äldre lökjänster hade namn bestående av 16 slumpmässiga tecken. De nya kommer att använda 56-tecken, så att deras domännamn ser ut så här: l5satjgud6gucryazcyvyvhuxhr74u6ygigiuyixe3a6ysis67ororad.onion.

Även om de exakta effekterna på användarnas förmåga att ange löktjänster adresser inte har studerats, bör förlängning av deras namn inte påverka saker mycket. Eftersom lökdomännamn alltid har varit svårt att komma ihåg utnyttjar de flesta användare Tor Browserens bokmärken, eller kopierar och klistrar domännamn till adressfält.

Skydda lökplatser

All denna nya design gör det betydligt svårare att upptäcka en lök tjänst vars operatör vill att den ska förbli dold. Men vad händer om en motståndare fortfarande lyckas få reda på det? Tor-projektet har löst det problemet genom att låta löktjänster utmana användare att ange ett lösenord innan de användes.

Dessutom uppdaterar The Tor Project den kryptografi som lökjänster använder. Äldre versioner av Tor använde a kryptosystem som kallas RSA, som kunde brytas genom att beräkna de två primära faktorerna med mycket stora tal. Medan RSA inte anses vara osäkert än, har forskare tänkt sig flera attacker, så Torprojektet ersätter det med det som kallas elliptisk kurva kryptografi, som använder nycklar som är kortare, effektivare och uppfattas som minst lika säkra.

Utvecklarna uppdaterar också andra grundläggande element i de krypteringsstandarder som används i Tor. Hash-funktionen, som Tor använder för att härleda korta och konstanta längdsträngar från godtyckligt långa data, kommer att förändras från de oroliga - och delvis bruten - SHA-1 till det moderna SHA-3. Dessutom, hemliga nycklar för Advanced Encryption Standard kryptosystemet kommer att vara dubbelt så långt som tidigare - och därför betydligt svårare att bryta. Dessa adresserar inte specifika omedelbara hot, men skyddar mot framtida förbättringar i attackerande kryptering.

Med dessa förbättringar till programvaran som kör Tor, förväntas vi kunna förhindra framtida attacker och skydda Tor-användare runt om i världen. Bättre anonymitet är dock bara en aspekt i den större bilden. Mer experiment och forskning är nödvändiga för att göra löktjänster lättare att använda.

Om författaren

Philipp Winter, Postdoktorsexamen i datavetenskap, Princeton University

Den här artikeln publicerades ursprungligen den Avlyssningen. Läs ursprungliga artikeln.

relaterade böcker

at InnerSelf Market och Amazon