Нам продают сеть Tor как оплот конфиденциальности в Интернете. Многие не согласны (и помнят, что ее создал Пентагон)

В течение многих лет Tor рекомендовался как идеальный инструмент для обеспечения конфиденциальности в Интернете: журналистам, активистам и даже обычным пользователям, заботящимся о своей анонимности … многие были уверены, что это программное обеспечение защитит их как от государственного, так и от корпоративного надзора.

Но это доверие далеко не универсально, поскольку в последнее время целый ряд исследований и свидетельств указывают на то, что Tor может быть не таким безопасным, независимым или анонимным, как считалось ранее.

Миф под вопросом

Tor (The Onion Router) родился, и об этом часто забывают, как о проекте, финансируемом и разработанном правительством США, в частности Бюро военно-морских исследований и DARPA. Ее первоначальной целью была не защита простых граждан, а прикрытие онлайн-деятельности агентов спецслужб.

Чтобы сделать свой трафик неидентифицируемым, необходимо было, чтобы больше людей использовали сеть. Таким образом, родился отличный стимул открыть Tor для широкой публики. Роджер Динглдин, соучредитель проекта, ясно дал это понять на конференции в 2004 году:

«Правительство США не может управлять системой анонимности для своих агентов, если ею не пользуются и другие люди. В противном случае каждое соединение было бы подозрительным».

Так что использование Tor означает предоставление трафика, который скрывает агентов разведки в ходе тайных операций. Tor был создан для того, чтобы шпионы могли смешиваться с шумом, и этот шум — вы.

Конечно, эта потребность в шуме распространяется и на каждого пользователя Tor, и случай студента Гарварда Элдо Кима является тому примером: он был идентифицирован как автор угрозы взрыва именно потому, что в то время он был единственным, кто подключился к Tor из университетской сети.

Насколько анонимным на самом деле является Tor?

Несмотря на сложный дизайн, многочисленные исследования и судебные разбирательства показали, что Tor может быть взломан. Агентство национальной безопасности (АНБ) США, например, с 2006 года разрабатывает методы масштабного разоблачения пользователей, согласно просочившимся документам.

Университет Карнеги-Меллона был нанят ФБР, чтобы нарушить анонимность Tor, всего за 3000 долларов на аппаратное обеспечение, метод, который позволил идентифицировать реальные IP-адреса пользователей и скрытые сайты.

ФБР несколько раз отказывалось представлять доказательства в суде, опасаясь раскрыть свои методы деанонимизации, что доказывает, что эти методы существуют и эффективны.

Технические уязвимости и ошибки пользователей

Tor защищает только трафик, проходящий через ваш браузер. Файлы, открытые извне, такие как PDF-файлы или исполняемые файлы, могут привести к утечке вашего реального IP-адреса. Также были задокументированы сбои, такие как ошибка, раскрывающая IP—адреса при использовании локальных ссылок, которые серьезно нарушают конфиденциальность.

Сам Tor Project признает, что если злоумышленник может наблюдать как за поступлением, так и за оттоком трафика, он может сопоставить время и обнаружить личности. Это делает его уязвимым перед лицом хорошо позиционируемых противников, таких как правительства.

Финансирование Tor

Вопреки распространенному мнению, от 90% до 100% бюджета Tor поступает от правительства США через такие агентства, как Государственный департамент, Пентагон и Агентство глобальных медиа (бывшее BBG). Эти средства не были бескорыстными пожертвованиями: Tor предлагал своим спонсорам «влияние на ход проекта».

Прямое сотрудничество с государственными органами

Вопреки образу мятежного сообщества, который создает Tor, его разработчики поддерживают прямую и постоянную связь с такими агентствами, как ФБР и Министерство юстиции. Посредством запросов Закона о свободе информации (FOIA) журналисты получили электронные письма, в которых обсуждаются уязвимости с федеральными чиновниками, прежде чем обнародовать их.

Так, например, мы знаем, что Стивен Мердок, разработчик проекта, обнаружил критическую уязвимость, о которой в первую очередь было сообщено правительству США. Эта модель вызывает подозрение, что Tor может служить скорее интересам наблюдения, чем интересам конфиденциальности.

Проблема узлов: кто контролирует сеть?

Tor работает благодаря децентрализованной сети добровольных узлов, которые маршрутизируют трафик. Это означает, что любой человек — даже злоумышленники или правительства — может устанавливать узлы и следить за тем, что через них проходит, особенно если это исходящие узлы.

Самый знаковый случай — случай шведского хакера Дэна Эгерстада, который, установив пять узлов Tor, сумел собрать пароли и электронную почту дипломатов, НПО и компаний. Нечто подобное произошло с Wikileaks, который получил конфиденциальные документы, перехватив трафик на узлах Tor.

Кроме того, исследования показывают, что существуют вредоносные узлы, предназначенные для изменения загруженных файлов с помощью вредоносных программ (в некоторых случаях они использовались для манипулирования обновлениями Windows) или для сбора данных о просмотре веб-страниц.

Альтернативы: VPN лучше, чем Tor?

Хотя VPN (виртуальные частные сети) не лишены своих собственных проблем, они имеют преимущества перед Tor. Они предлагают шифрование всего системного трафика, лучшую скорость, меньшую видимость и большее разнообразие проверенных поставщиков. Кроме того, VPN позволяют настраивать многоузловые цепочки (multi-hop) и объединяться с Tor (Tor over VPN) для повышения конфиденциальности.

В этой последней схеме ваш реальный IP-адрес скрыт даже от Tor и его узлов, и ваш интернет-провайдер не будет знать, что вы получаете доступ к сети onion, поэтому совместное использование обеих технологий может быть лучшим решением для защиты вашей конфиденциальности. И даже в этом случае она все равно не будет идеальной.

Редактор: AndreyEx