Tor i serwery proxy

Adres IP wskazuje, skąd pochodzi ruch sieciowy. Podczas autoryzowanych działań red teamu, badań lub w sytuacjach związanych z prywatnością może być konieczne ukrycie źródła połączeń.

W tej lekcji omówiono serwery proxy i Tor — dwa podstawowe narzędzia służące do ukrywania źródła ruchu sieciowego. Skupiono się na ich działaniu oraz ograniczeniach.

Serwer proxy znajduje się między użytkownikiem a miejscem docelowym. Wysyła Pan/Pani żądania do serwera proxy, a on przekazuje je dalej w Pana/Pani imieniu, dzięki czemu miejsce docelowe widzi adres IP serwera proxy zamiast Pana/Pani adresu.

• Proxy HTTP: obsługuje ruch internetowy.
• Proxy SOCKS: jest niezależne od protokołu i obsługuje dowolny ruch TCP.

Pojedynczy serwer proxy zapewnia słabą anonimowość:

• Operator serwera proxy widzi Pana/Pani prawdziwy adres IP oraz miejsce docelowe — jest to pojedynczy punkt, który wie wszystko.
• Wiele bezpłatnych publicznych serwerów proxy rejestruje ruch lub wstrzykuje treści.
• Ruch między użytkownikiem a serwerem proxy HTTP może być niezaszyfrowany.

Serwery proxy są przydatne do przekierowywania ruchu i omijania prostych filtrów, ale nie zapewniają silnej anonimowości.

Tor (The Onion Router) to sieć zaprojektowana z myślą o anonimowości. Zamiast przez jeden węzeł ruch przechodzi przez trzy przekaźniki obsługiwane przez wolontariuszy, zanim dotrze do miejsca docelowego.

Żaden pojedynczy przekaźnik nie wie jednocześnie, kim jest użytkownik i dokąd zmierza. To rozdzielenie stanowi podstawę ochrony zapewnianej przez Tor.

Tor otacza dane warstwami szyfrowania, podobnie jak cebula. Każdy przekaźnik usuwa jedną warstwę, aby poznać wyłącznie następny węzeł na trasie:

• Węzeł strażnik (wejściowy): zna Pana/Pani adres IP, ale nie zna miejsca docelowego.
• Przekaźnik pośredni: nie zna żadnego z końców połączenia, a jedynie poprzedni i następny węzeł.
• Węzeł wyjściowy: zna miejsce docelowe, ale nie zna Pana/Pani adresu IP.

Najłatwiejszym sposobem jest użycie Tor Browser — wzmocnionej przeglądarki Firefox, wstępnie skonfigurowanej pod kątem anonimowości. W przypadku narzędzi wiersza poleceń należy uruchomić usługę Tor i kierować ruch przez jej lokalny serwer proxy SOCKS.

Węzeł wyjściowy widzi Pana/Pani ruch, gdy opuszcza on sieć Tor w kierunku miejsca docelowego. Jeśli korzysta Pan/Pani z nieszyfrowanego protokołu HTTP, złośliwy węzeł wyjściowy może odczytywać i modyfikować ten ruch.

Proszę zawsze używać protokołu HTTPS na całej trasie przez Tor. Tor anonimizuje źródło, ale nie szyfruje końcowego odcinka połączenia z witryną korzystającą ze zwykłego HTTP.

Tor obsługuje także usługi onion (adresy zakończone na .onion). Zarówno te usługi, jak i ich użytkownicy pozostają anonimowi, a połączenie nigdy nie opuszcza sieci Tor, więc nie jest narażone na węzeł wyjściowy.

Do usług onion można uzyskać dostęp wyłącznie przez Tor; nie są one indeksowane przez zwykłe wyszukiwarki.

Tor chroni anonimowość na poziomie sieci, ale nie chroni przed własnymi błędami:

• Zalogowanie się na osobiste konto natychmiast pozbawia użytkownika anonimowości.
• Wtyczki przeglądarki, JavaScript lub pobierane pliki mogą ujawnić prawdziwy adres IP.
• Potężni przeciwnicy mogą czasami powiązać ruch za pomocą ataków czasowych i korelacyjnych.

Anonimowość to system, a nie pojedyncze narzędzie.

proxychains wymusza kierowanie dowolnego narzędzia wiersza poleceń przez jeden lub więcej serwerów proxy, w tym przez port SOCKS sieci Tor. Jest często używane podczas autoryzowanych testów penetracyjnych do kierowania skanów przez punkt przesiadkowy.

Niektóre sieci całkowicie blokują znane przekaźniki Tor. Mosty Tor to niepubliczne punkty wejścia, które trudniej zablokować.

Transporty wtykane, takie jak obfs4, maskują ruch Tor, aby w ogóle nie przypominał ruchu Tor, pomagając użytkownikom w silnie cenzurowanych regionach nawiązać połączenie. Funkcje te mają znaczenie, gdy przeciwnik aktywnie próbuje uniemożliwić połączenie z siecią.

Proszę przeanalizować, kto może widzieć poszczególne elementy obwodu Tor.

Poznał(a) Pan/Pani sposoby ukrywania źródła ruchu:

• Serwery proxy przekazują ruch dalej, ale pojedynczy serwer proxy widzi wszystko, dlatego zapewniają słabą anonimowość.
• Tor wykorzystuje trzy przekaźniki i warstwowe szyfrowanie cebulowe, dzięki czemu żaden pojedynczy węzeł nie może powiązać użytkownika z miejscem docelowym.
• Węzeł wyjściowy może odczytać niezaszyfrowany ruch; należy zawsze używać HTTPS.
• Tor nie chroni przed błędami użytkownika; anonimowość wymaga konsekwentnego przestrzegania zasad.

Następny temat: łączenie sieci VPN i innych warstw w celu uzyskania wielowarstwowej anonimowości.