Tor评论

托尔


  • 适用于:


    • 视窗

    • 苹果系统

    • 安卓系统

    • 的Linux

Tor网络旨在为用户提供真正的匿名Internet访问。然后,在某些方面,它具有与使用VPN类似的目的。这些技术之间存在核心差异,但实际上,它们以完全不同的方式使它们有用。阅读我的Tor网络评论以了解更多信息!

ProPrivacy.com 得分了
8.5 十分之十

摘要

Tor提供了很高的真实匿名性,但是却以日常的Internet可用性为代价。使用VPN可以提供高度的私密性,但绝对不能视为匿名(因为您的VPN提供商始终会知道您的真实IP地址).

但是,VPN确实提供了更好的日常Internet体验,因此,它是一种更加灵活的通用隐私工具。.

另一方面,对于真正需要最大程度匿名性的那部分互联网用户来说,Tor是至关重要的工具。多亏了自由,Tor也可以做出非常方便的反审查工具,但是许多镇压政府竭尽全力通过阻止对网络的访问来对付这种情况(取得不同程度的成功).

Tor如何获得资金

尽管Tor确实接受捐赠,但Tor是100%免费和开源的。奇怪的是,美国海军研究实验室在1990年代中期开发了Tor项目,目的是帮助生活在压迫性政权下的人们绕过审查制度并发表言论自由.

为此,该项目继续获得美国政府的大量资助。这非常特殊,因为美国政府的其他部门通常会花费大量金钱,时间和资源来试图破坏Tor网络!

尽管存在这种奇怪的情况,Tor仍然是完全独立的,并且其开源代码仍然是世界上进行最彻底且定期审核的代码之一。然而,由于对批评很敏感,Tor还做出了巨大努力来扩大其资金基础。有关Tor赞助商的完整列表,请参阅此处

Tor的工作原理

名称Tor最初是The Onion Router的首字母缩写,它表示分层数据加密的方式。使用Tor时:

  • 您的Internet连接至少通过3个随机“节点”(自愿运行的服务器)进行路由
  • 这些节点可以位于世界任何地方
  • 数据被多次重新加密(每次通过一个节点)
  • 每个节点仅知道其“前面”的IP地址,以及其“后面”的节点的IP地址。
  • 这应该意味着任何人都不会知道您的计算机与您要连接的网站之间的整个路径(即使路径节点上的某些节点是由恶意实体控制的)

Tor系统的真正优点在于您不必信任任何人。它的设计使没有人可以发现您的真实身份,并且(如果您连接到安全的网站)没有人可以访问您的数据.

如何去图

Tor继电器电路每10分钟随机重置一次,因此您的操作无法链接到先前的操作.

如何去图

每个节点都由志愿者管理,因此,志愿者越多,整个Tor网络越安全。.

如何去图

链中的最后一个节点(直接连接到更广泛的Internet)称为“出口节点”。默认情况下,数据进入和离开此出口节点时未加密,并且出口节点的操作员可以“看到”数据。稍后请参见有关此安全性含义的讨论。.

因此,志愿服务于一个出口节点对Tor社区有很大的帮助,并且对自由和反对压迫性的审查制度产生了重大的打击。设置也不难.

但是,运行出口节点意味着其他Tor用户的活动(包括潜在的高度非法活动)似乎源自您的IP地址,这可能会导致麻烦。这里有一篇关于如何最小化风险的文章.

Tor作为一种反审查工具

Tor会随机路由您的连接,以使其通过位于世界其他地方的节点输出。只要在出口节点所在的县中很少或没有实行审查制度(大多数出口节点位于“免费”国家/地区),您就可以访问未经审查的互联网.

这种逃避审查的能力(也将逃避诸如学校或工作防火墙之类的较少审查措施)是Tor的核心设计功能。当然,真正认真对待审查制度的国家(和其他组织)会尝试通过阻止对Tor网络的访问来对此进行反击(请参阅下文).

问题

Tor很慢

如我们所见,Tor被设计为非常安全,但这要付出代价–速度。您的数据通过至少3个随机节点进行路由,这些节点可以在世界任何地方(每十分钟重置一次),并且每次都进行重新加密(这需要每个节点的处理能力)。结果? Tor很慢(请参阅稍后的示例速度测试结果).

如果您幸运地拥有快速的宽带连接(许多可以从Tor中受益最多的国家没有这种基础设施),您可能不会仅仅在网上冲浪时就注意到这种速度下降,但是诸如流视频内容之类的活动很可能会由于缓冲问题而几乎一切皆有可能.

不要使用Tor进行P2P下载(“种子”)

在Tor上洪流不仅非常缓慢,而且:

  • 这会降低所有Tor用户的网络速度(其中许多人出于与人权相关的原因而依赖Tor,并且其互联网连接首先是非常基本的!)
  • 运行Tor出口节点的志愿者可以追究其IP地址中的版权滥用责任.

因此,使用Tor洪流被认为是极其糟糕的形式(这一点可能也适用于流内容的尝试).

退出节点受阻

公共Tor中继(节点)的列表是公开可用的(请参阅此处的原因说明)。这使得网站很容易阻止Tor用户。尽管对于大多数用户而言通常不是一个问题(尝试访问受地理限制的服务的用户除外,这些服务几乎总是阻止Tor出口节点),但CloudFlare最近对Tor用户采取了更加激进的态度.

由于CloudFlare托管着世界上很大一部分网站,因此Tor用户很可能会越来越受到验证码和其他类似安全措施的挑战.

托尔的审查

具有高级互联网审查系统的限制性国家(例如中国和伊朗)尝试使用深度包检查(DPI)来识别Tor流量,从而阻止对Tor网络的所有访问.

在许多情况下,可以使用obfsproxy可插拔传输工具来解决此问题,该工具使用混淆层包装数据,使它们看起来像无辜的流量,而不是Tor流量.

安全 & 隐私

加密统计

我认为可以说Tor使用了复杂的加密系统–框中简化了其关键简化点。本质上,Tor使用TLS 1.2加密协议.

去年12月,Tor通过实施高度安全的Curve25519 DH椭圆曲线交换解决了其使用1024位RSA握手的安全问题。.

较旧的节点可能仍会使用RSA-1024握手,但应注意的是,即使如此,Tor使用“完全转发保密”(每次交换都会生成新密钥)仍会严重妨碍任何对手破坏通信的能力(因为这样做必须每次建立新的Tor连接时都要破解新密钥).

数据使用AES-128保护。尽管现在VPN行业中的许多行业都在使用AES-256,但据所有人所知,AES-128仍然是安全的,并且实际上比AES-256具有更强的密钥调度。还应记住,Tor流量经过多次重新加密,提供了附加的保护层.

那些对使用的加密进行非常详细的分析感兴趣的人可能对Tor撰写的这篇论文感兴趣,而对独立分析家的这篇优秀论文感兴趣。有关此处使用的许多加密术语的非专业人员讨论,请参阅解释的VPN加密术语(AES,RSA,SHA等)。.

漏洞

“只要Tor吸引了“有趣”的流量”,Tor也会吸引那些想窃听该流量的人。” Bruce Shneier.

从NSA到普京总统再到“白帽”黑客,几乎每个人似乎都决心要破坏Tor网络并取消对Tor用户的匿名化.

尽管偶尔会取得一些有限的成功,但是,专家们普遍认为Tor仍然从根本上是安全的,并且与任何主要的设计缺陷相比,您通过网络的粗心或不当使用更容易被“吸引”。.

实现匿名非常困难,并且不能保证Tor可以提供匿名。但是,Tor是一个非常安全的系统,已证明其自身即使对于最复杂且资金充足的攻击也具有极强的弹性.

在爱德华·斯诺登(Edward Snowden)发布的文件中,美国国家安全局(NSA)承认“试图解密通过高度加密的电子邮件服务提供商(例如Zoho)发送的消息或监视Tor网络用户的“重大”问题。”

简而言之,Tor可能并不完美,但是在保护您的在线匿名性方面,Tor既尽善尽美,(这真是太好了!).

没有人知道NSA真正具备的能力,但以下是Tor用户最容易理解的两个威胁.

恶意出口节点

正如我前面提到的,Internet流量进入和离开Tor出口节点都是未加密的,并且可以由运行该节点的任何人进行监视。鉴于任何人都可以自愿运行出口节点,这显然带来了主要的安全问题.

因此,重要的是要牢记以下几点:

  • 由于Tor节点的随机链,您的数据在您和Tor出口节点之间传递,出口节点的所有者无法直接知道您是谁
  • 但是,您可以通过通信或互联网行为直接或间接泄露您的真实身份
  • 除了窥探数据外,恶意的Tor出口节点还可以执行中间人(MitM),通常会将您的页面请求重定向到虚拟网站.

然而…

  • 只要您连接到安全的SSL加密(https://)网站,您的数据便会保持安全,并且不会被恶意出口节点拦截
  • 而且您不受任何MitM攻击的影响

受SSL保护的网站正日益成为一种规范(尤其要感谢EFF的“让我们加密”广告系列),只要您坚持连接到这些网站,就可以保证安全。如果您确实连接到未加密的网站,请注意泄露的信息(无论如何,这都是很好的常规Internet安全建议!).

研究发现,所有Tor出口节点中大约有2.5%由恶意实体运行。尽管国家安全局被怀疑运行了许多这样的“变质洋葱节点”,但其中大多数似乎是由小罪犯经营的。.

端到端定时攻击

2013年,一名哈佛大学的学生对他的校园提出了非常不明智的炸弹威胁(以使自己退出并参加期末考试!他被捕的原因是,尽管他通过Tor网络构成了威胁,但在使用哈佛校园WiFi时却犯了此错误.

哈佛安全部门要做的就是检查他们的日志,以查看在发送电子邮件时谁在使用Tor,然后警察可以带他进行讯问(金正日很有可能是唯一在8岁时使用Tor的人。 :当天30am).

这是一种去匿名化技术,称为端到端(e2e)定时攻击,并且是Tor的已知漏洞。不过,应该指出的是,Kim只是因为他犯了一个愚蠢的错误,即通过校园WiFi连接到Tor而被捕,这并不是一个可能影响大多数Tor用户的问题.

为了有机会在开放的Internet上发起针对Tor用户的成功e2e定时攻击,对手将需要控制现有的所有Tor节点中的很大一部分。这是因为对手控制的节点越多,将退出节点的活动时间与个人与Tor网络的初始连接相关的机会就越大.

即使这样,鉴于任何时刻在线上有大量Tor用户,这种相关性仍需要进行广泛且长时间的统计分析.

从表面上看,这项任务显得如此困难,以至于实际上是不可能的。但是,没有人真正知道,诸如NSA,GCHQ,Mossad甚至黑手党等几乎具有无限权力和真正全球影响力的组织实际上有能力.

至少从理论上讲,如果确定要为此问题投入足够的精力和资源,那么这种对手可以使用端到端定时攻击来使Tor用户匿名.

Tor隐藏服务

Tor的主要目的是作为一种手段来访问我们众所周知且未经审查的匿名匿名开放互联网。但是,现在应该清楚的是,Tor出口节点(将Tor网络连接到开放式Internet的节点)是系统中的主要弱点。恶意实体可以出于多种原因对其进行控制和监视,并且几乎是对Tor网络或其用户进行任何攻击的必要重点.

为此,Tor开发了其“隐藏服务”协议,该协议允许仅Tor的网站(.onion)和服务完全存在于Tor网络中,从而使用户不必通过位于以下位置的潜在危险出口节点访问可见的Internet。所有。因此,Tor Hidden Services还可以充当Dark Web(就其拥有的用户数量而言,是迄今为止最受欢迎的Dark Web).

传统上(臭名昭著)恋童癖者,恐怖分子,毒贩,徒和其他人的财产以及大多数右撇子互联网用户不愿与之相关的材料,提高了对政府无处不在的监视的意识(谢谢斯诺登先生),并且更加严厉版权保护措施正在助长“离网”互联网的公众兴趣激增.

结果是,越来越多的“合法”组织现在运营着Tor Hidden Services(.onion)网站……甚至Facebook也加入了聚会。!

.洋葱网站(例如https://facebookcorewwwi.onion/)仅在连接到Tor网络时才能访问,并且这样做比连接到常规网站安全得多.

Facebook登录页面

Tor网络是访问Tor隐藏服务(.onion黑暗网站)的唯一方法

Tor与VPN

在许多方面,Tor的目的与VPN的目的非常相似-维护互联网用户的在线匿名性/隐私权,并逃避审查。与VPN一样,Tor也可以被用户用来欺骗地理位置,方法是用户不断地重新连接,直到出口节点位于所需的国家/地区(如果要使用美国出口节点,这很容易,对于较小或较少的Internet连接,则不太容易国家).

但是,不仅使用的技术完全不同,而且最佳使用Tor和VPN的用例场景也大不相同:

Tor的优势

  • 高度匿名
  • 无需信任
  • 分布式网络–几乎不可能以有意义的方式关闭或攻击
  • 自由
  • Tor隐藏服务(访问.onion网站)

Tor的缺点

  • 非常慢-因为您的数据是通过多个节点随机反弹的,每个节点可能位于世界的任何地方,所以使用Tor可能会非常缓慢
  • 不适合用于P2P文件共享–虽然无法阻止您使用Tor上的BitTorrent(并且人们这样做),但它的a)速度很慢,b)格式很差,因为它会降低每个其他用户的整个网络的速度,对于某些人来说,通过Tor访问互联网可能至关重要,甚至可能危及生命
  • 尽管可以将其用于关键时刻的欺骗(请参见上文),但Tor是解决问题的一种非常愚蠢且低效的方法。除此之外,Tor的速度慢意味着使用该服务流式传输受地理限制的媒体服务是不可行的.

VPN的优势

  • 快速-一般来说,使用VPN服务时,您的原始Internet连接速度几乎不会减慢
  • 位置欺骗非常容易-大多数VPN提供商在全球许多地方都提供服务器。由于连接速度很快,VPN非常适合流播受地理限制的媒体内容
  • P2P文件共享的理想选择–尽管许多提供商禁止使用它,但许多提供商在设置文件共享时就牢记在心

VPN的缺点

  • VPN提供商可以看到您的互联网活动-在许多国家/地区,法律都要求保留其记录,该记录可能会移交给当局或版权律师。 VPN还容易受到警察突袭服务器的攻击,以获取其可能包含的信息。这就是为什么选择不保留日志(并且能够履行此承诺)的提供商至关重要的原因。当然,即使VPN提供商承诺不保留任何日志,您也必须信任他们以保持其信誉……
  • 花费金钱(尽管通常每月不到10美元,如果批量购买则更少)

一起使用Tor和VPN

可以同时使用Tor和VPN来提供有意义的安全性好处。有关此内容的完整讨论,以及建议的支持此类配置的VPN,请参阅使用Tor时的5种最佳VPN.

网站

Tor Project网站提供了广泛的手册,安装指南,常见问题解答和Wiki(还包括指向大量非官方文档的链接)。但是,如果您真的遇到困难,可以通过电子邮件,IRC和Twitter获得支持.

网站本身的外观很好,坦率的,令人恐惧的可用资源数量合理地组织并且易于访问.

过程

无需注册即可使用Tor网络,该网络旨在为其提供最大的真实匿名性.

Tor浏览器

访问Tor网络的最简单,最安全(建议使用)方法是使用Tor浏览器(已取代了旧的Tor捆绑包)。这是开源Firefox浏览器的版本,该浏览器通过Tor网络路由所有Internet连接,并且已进行“强化”以提高安全性.

此“强化”的主要功能包括:

  • 使用HTTPS Everywhere和NoScript(默认情况下禁用所有脚本)插件
  • 阻止其他浏览器插件,例如Flash,RealPlayer和QuickTime
  • Disconnect.me用作默认搜索引擎
  • 始终使用私有浏览模式(跟踪保护,不保存浏览历史记录,密码,搜索历史记录,Cookie或缓存的Web内容)

不建议更改Tor浏览器的设置或安装其他隐私加载项,因为它们会使您的浏览器更加独特,因此更容易受到浏览器指纹识别技术的影响。.

Tor浏览器可用于Windows,Mac OSX和Linux,并可从Tor网站下载。还提供了适用于Linux的特殊强化版本的Tor浏览器,它具有其他安全措施.

Tor建立连接

在Windows中,Tor浏览器不会自行安装在您的计算机上-只是从可执行文件运行。启动Tor浏览器时,必须先建立一个Tor电路。对我来说,这只需要几秒钟(需要巨大的反射才能抓取此屏幕截图!)

Tor浏览器启动屏幕

在正常使用情况下,Tor浏览器几乎与使用常规Firefox浏览器浏览网络相同。但是,您应该知道,使用Tor浏览器会破坏某些网站

建议在窗口模式下运行Tor浏览器,以帮助消除浏览器指纹(可以在全屏模式下检测屏幕大小).

Tor浏览器Tor选项

默认情况下,每10分钟会创建一个新的随机Tor电路,但是您可以随时手动强制创建一个新电路。通常不可能选择出口节点的位置

Tor浏览器的隐私和安全设置

在“隐私和安全性”设置中,您可以进一步强化浏览器

其他平台

Android用户可以使用Orbot应用通过Tor网络路由其设备的连接。 Orfox(仍处于beta版,需要Orbot)的工作原理与基于Tor浏览器的桌面版非常相似。这两个应用程序都是开源的,并且由Tor项目正式支持.

iOS用户具有洋葱浏览器。这是独立开发的,但是是开源的.

Tails是基于Linux的高度安全(强化)操作系统,可通过Tor网络路由所有互联网连接,并因成为Edward Snowden的首选工具而声名狼藉.

存在其他声称通过连接到Tor网络来提供更高的安全性和匿名性的软件和硬件产品。但是请注意,其中许多安全措施都不如使用强化的Tor浏览器安全.

性能(速度,DNS和WebRTC泄漏测试)

请注意,这些测试是临时性的,因为使用Tor时,您至少要通过三个随机节点连接到Internet,这些随机节点可以在任何速度的服务器上运行,并且可以位于世界任何地方.

尽管这些结果具有固有的随机性,但我认为它们确实为使用Tor时遇到的性能下降提供了有用的一般指示。.

使用50Mbps / 3Mbps UK宽带连接进行了速度测试。我在每次测试之间刷新了Tor电路(随机的Tor节点),并使用了UK测试服务器.

Tor的下载速度

Tor上传速度

如我们所见,下载速度受到特别严重的影响(尽管我的上传速度并不是太快了!).

我没有检测到DNS或WebRTC IP泄漏.

结论

我喜欢

  • 匿名上网
  • 出色的反审查工具
  • 非常安全
  • 自由

我不太确定

  • 100%保证匿名是不可能的
  • 请不要使用Tor进行P2P下载

我讨厌

  • Tor对于日常使用而言太慢了

如果您在使用Internet时需要很高的真实匿名性,那么Tor是一个很棒的工具(实际上,这是您唯一的选择)。因此,这是对持不同政见者,举报人和世界其他地方人士的天赐之物,他们需要最大程度的匿名性.

它也提供了一个很好的免费的反审查工具,尽管如果试图阻止对Tor网络的访问,此功能可能会受到一定程度的破坏。.

但是,对于日常使用而言,Tor太慢,破坏了太多的网站,对地理位置进行地理欺骗的用途有限,并且不适合诸如洪流之类的流行互联网活动.

因此,VPN是一种更好的通用隐私工具,但是如果您需要真正的匿名性,则希望/需要使用Tor。.

请记住,永远不能保证100%的匿名性(特别是如果一个非常强大的对手真的想让您获得,并且愿意花费大量的时间和资源这样做)。但是,Tor距离我们目前的距离很近.

Brayan Jackson Administrator
Sorry! The Author has not filled his profile.
follow me