Что если вам хочется ходить в сеть без надуманных ограничений, но не хочется каждый раз в браузере подменять прокси? Что если вы хотите заходить и на запрещенные сайты, и на обычные, и чтобы при этом скорость, с которой открываются обычные сайты, не страдала? Что если вам интересно знать что творится в удалённых частях глобальной сети?
Исходя из этих соображений нам нужно чтобы:
- Обычные сайты открывались как обычно
- Запрещенные сайты открывались через Tor без настроек
- Все сайты в зоне.onion тоже открываются без настроек
С одной стороны, требования противоречивые. А другой стороны, чего не сделаешь ради удобства!
Можно было бы вспомнить различные способы и средства для обхода DPI , но если не хочется ни о чем таком думать, а скорей даже хочется настроить и забыть, то аналогов Tor для решения поставленной задачи в части простого доступа к заблокированным сайтам нет.
Вы не получите полной анонимности следуя только этим инструкциям. Анонимность без мер OPSEC невозможна. Инструкция подразумевают лишь обход ограничений.
Что нам нужно?
Для начала нам нужен или роутер, или сервер, работающий в качестве прозрачного моста, пропускающего через себя весь трафик. Это может быть и существующий сервер, это может быть и коробочка с Raspberry Pi. Могут подойти и обычные компактные роутеры с Linux, если на них в принципе можно поставить необходимые пакеты.
Если подходящий роутер у вас уже есть, то настраивать отдельно мост не нужно и можно .
Если же установка Tor на ваш роутер представляет проблему, то вам понадобится любой компьютер с двумя сетевыми интерфейсами и Debian Linux на борту. Его вы в конечном счёте подключите в разрыв сети между роутером, который смотрит во внешний мир, и вашей локальной сетью.
Если не до серверов и роутеров, то возможно .
Настроим мост
Настройка моста в Debian проблемы не представляет. Вам понадобится программа brctl , которая есть в пакете bridge-utils:
apt install bridge-utils
Постоянная конфигурация для моста задаётся в /etc/network/interfaces . Если вы делаете мост из интерфейсов eth0 и eth1 , то конфигурация будет выглядеть так:
# Отметим интерфейсы как настраиваемые вручную iface eth0 inet manual iface eth1 inet manual # Мост поднимается автоматически после перезагрузки auto br0 # Мост с получением IP по DHCP iface br0 inet dhcp bridge_ports eth0 eth1 # Мост со статическим IP iface br0 inet static bridge_ports eth0 eth1 address 192.168.1.2 netmask 255.255.255.0 gateway 192.168.1.1
Вам нужно выбрать какую-то одну конфигурацию для моста: с динамическим IP или статическим.
Обратите внимание что на этом этапе не обязательно включать сервер в разрыв сети. Можно обойтись и одним подключенным интерфейсом.
Попросим систему применить новые настройки:
service networking reload
Теперь можно проверить существование моста командой brctl show:
# brctl show bridge name bridge id STP enabled interfaces br0 8000.0011cc4433ff no eth0 eth1
Посмотреть выданный IP адрес, и проверить вообще факт выдачи какого-то IP по DHCP или статически, можно командой ip:
# ip --family inet addr show dev br0 scope global
4: br0:
Если с IP адресами всё в порядке, то уже можно попробовать включить сервер в разрыв сети...
В конце концов все устройства в вашей сети, будучи включены через сервер, должны иметь полный доступ к глобальной сети будто никакого сервера между ними и внешним роутером нет. То же касается работы DHCP и прочего. Всё это стоит проверить до перехода к настройке Tor.
Если что-то работает не так же, как раньше, или вообще не работает, стоит сначала решить проблемы, лишь потом переходить к настройке собственно Tor.
Настроим демон Tor
Установка Tor выполняется обычно. Установим также базу данных привязки к странам:
apt install tor tor-geoipdb
В конец файла конфигурации /etc/tor/torrc нужно дописать директивы для включения функции прокси-сервера:
VirtualAddrNetworkIPv4 10.0.0.0/8 AutomapHostsOnResolve 1 TransPort 0.0.0.0:9040 DNSPort 0.0.0.0:5300
Перезапустим Tor и проверим что DNS в нашей конфигурации работает на каком-нибудь известном сайте:
# service tor restart # dig +short facebookcorewwwi.onion @localhost -p 5300 10.11.127.156
Последняя команда должна вывести IP из подсети 10.0.0.0/8 .
При перезапуске Tor по делу ругается на использование публичного IP для TransPort и DNSPort , которые в самом деле могут быть доступны посторонним. Исправим это недоразумение, разрешив только соединения из локальной сети (в моём случае это 192.168.1.0/24):
iptables -A INPUT -s 192.168.1.0/24 -p tcp --dport 9040 -j ACCEPT iptables -A INPUT -s 192.168.1.0/24 -p udp --dport 5300 -j ACCEPT iptables -A INPUT -p tcp --dport 9040 -j DROP iptables -A INPUT -p udp --dport 5300 -j DROP
Последние два правила можно пропустить если у вас для цепочки INPUT по умолчанию стоит правило DROP .
Настроим доступ для всей локальной сети
Чтобы все устройства в сети смогли зайти на сайты в Tor нам нужно переадресовать все запросы к выделенной сети 10.0.0.0/8 на порт встроенного прокси-сервера Tor:
iptables -t nat -A PREROUTING -p tcp -d 10.0.0.0/8 -j REDIRECT --to-port 9040 iptables -t nat -A OUTPUT -p tcp -d 10.0.0.0/8 -j REDIRECT --to-port 9040
Два правила для цепочек PREROUTING и OUTPUT мы добавляем чтобы схем работала не только с устройств в сети, но и с самого сервера. Если не требуется чтобы эта схема работала с самого сервера, то добавления правила в цепочку OUTPUT можно пропустить.
Переадресация DNS запросов к зоне.onion
Эту проблему можно было бы решить либо заменой DNS сервера на свой в DHCP ответах клиентам, либо, если у вас в сети не принято использовать локальный DNS сервер, перехватом всего DNS трафика. Во втором случае не нужно будет ровным счетом ничего настраивать, но все ваши клиенты, и вы в том числе, потеряете возможность делать произвольные запросы к произвольным серверам. Это очевидное неудобство.
Мы же будем переадресовать лишь DNS запросы, упоминающие домен.onion , на порт встроенного DNS сервера, оставляя все остальные запросы в покое:
iptables -t nat -A PREROUTING -p udp --dport 53 -m string \ --hex-string "|056f6e696f6e00|" --algo bm -j REDIRECT --to-ports 5300 iptables -t nat -A OUTPUT -p udp --dport 53 -m string \ --hex-string "|056f6e696f6e00|" --algo bm -j REDIRECT --to-ports 5300
Магическая строка 056f6e696f6e00 связана с особенностями передачи точки в DNS запросах : она передаётся в виде длины следующей после неё строки. Потому в начале нашей магической строки стоит 0x05 для пяти символов в слове onion . В конце строки стоит нулевой байт 0x00 потому что корневой домен (точка) имеет нулевую длину .
Такой подход позволяет ваши пользователям (и вам самим) пользоваться какими им удобно DNS серверами, а также запрашивать информацию у любых DNS серверов без посредников. Вместе с тем никакие запросы в зоне.onion не будут попадать в открытый интернет.
Теперь попробуйте достучаться до какого-нибудь популярного сайта в сети Tor с любого устройства в локальной сети. Например, так:
$ curl -I facebookcorewwwi.onion HTTP/1.1 301 Moved Permanently Location: https://facebookcorewwwi.onion/
Отладка и решение возможных проблем
Если хочется убедиться что никакие DNS запросы к.onion не идут дальше сервера, то их отсутствие можно проверить так:
ngrep -q -d br0 -q -W byline onion udp port 53
В норме эта команда, выполненная на сервере, должна показать полное отсутствие пакетов - то есть не выводить ничего, чтобы вы не делали.
Если Firefox не видит.onion
Если вам это мешает, а перспектива случайной деанонимизации вас не волнует (ведь мы уже не пускаем DNS запросы к.onion в открытый интернет), отключить эту настройку можно в about:config по ключу network.dns.blockDotOnion .
Мобильный Safari и.onion
Программы под iOS, включая Safari и Chrome, в принципе игнорирует.onion при работе по такой схеме. Как исправить эту проблему в рамках такой схемы мне неизвестно.
Провайдер подменяет IP в DNS
Некоторые провайдеры из экономических соображений, вместо блокировки сайтов по IP или через DPI, лишь подменяют IP для DNS запросов по списку запрещенных сайтов.
Простейшим решением этой проблемы будет переход на сервера Google Public DNS . Если это не помогает, а значит ваш провайдер перенаправляет вообще весь DNS трафик на свой сервер, то можно перейти на использование Tor DNS, в свою очередь переадресовав весь трафик на него:
iptables -t nat -A PREROUTING -p udp --dport 53 -j REDIRECT --to-ports 5300 iptables -t nat -A OUTPUT -p udp --dport 53 -j REDIRECT --to-ports 5300
В моей сети используются IP из 10.0.0.0/8
Нет проблем! Во всех директивах выше используйте какую-то другую подсеть из предназначенных для этого , исключая зарезервированные . Серьезно, обратите внимание на резервированные.
Кроме того, не обязательно использовать сразу весь диапазон - можно ограничиться и подсетью. Например, подойдет 10.192.0.0/10 .
Обход блокировок через Tor
Для выхода на заблокированные сайты через Tor прежде всего нужно убедиться что вы не меняете шило на мыло, используя выходные узлы подверженные тем же ограниченияем что и вы в силу географического нахождения. Это можно сделать указав в torrc выходные узлы в каких странах нельзя использовать.
ExcludeExitNodes {RU}, {UA}, {BY}
Обновляем реестр
Реестр не стоит на месте и список заблокированных сайтов пополняется. Потому вам нужно время от времени выгружать актуальный список IP и добавлять его в ipset . Лучше всего это делать не выгружая весь список целиком каждый раз, а выкачивая только изменения, например, отсюда c GitHub .
#!/bin/bash set -e mkdir -p /var/local/blacklist cd /var/local/blacklist git pull -q || git clone https://github.com/zapret-info/z-i.git . ipset flush blacklist tail +2 dump.csv | cut -f1 -d \; | grep -Eo "{1,3}\.{1,3}\.{1,3}\.{1,3}" | tee /var/local/blacklist/blacklist.txt | xargs -n1 ipset add blacklist
Возможно удалять и добавлять только изменившиеся в списке IP, для чего вам может пригодится git whatchanged .
Если вам подходит скрипт выше, то ему самое место в /etc/cron.daily/blacklist-update . Не забудьте дать этому файлу права на выполнение.
chmod +x /etc/cron.daily/blacklist-update
Сохраняем настройки
apt install iptables-persistent
dpkg-reconfigure iptables-persistent
К сожалению, такого же удобного пакета для ipset пока нет, но эта проблема решается скриптом /etc/network/if-pre-up.d/ipset:
#!/bin/sh ipset -exist create blacklist hash :ip cat /var/local/blacklist/blacklist.txt | xargs -n1 ipset add -exist blacklist
Обязательно нужно дать и этому скрипту права на выполнение:
chmod +x /etc/network/if-pre-up.d/ipset
При следующей перезагрузке этот скрипт выполнится и восстановит список заблокированных IP.
Если забыть о серверах...
Окей, скажите вы, ну а что если я хочу получить все тот же удобный доступ к.onion , но без серверов - локально, на одном компьютере?
Нет проблем! В этом случае все даже проще. Хватить добавить эти три строчки в torrc:
AutomapHostsOnResolve 1 TransPort 9040 DNSPort 5300
Затем эти два правила для iptables:
iptables -t nat -A OUTPUT -p tcp -d 127.192.0.0/10 -j REDIRECT --to-port 9040 iptables -t nat -A OUTPUT -p udp --dport 53 -m string \ --hex-string "|056f6e696f6e00|" --algo bm -j REDIRECT --to-ports 5300
И можно проверять. Доступ к заблокированным сайтам настраивается по инструкции выше.
Ложка дёгтя
Несмотря на простоту и удобство этот подход наследует часть недостатков сети Tor.
На запрещенные сайты в сети вы заходите от имени выходных узлов , что даёт администраторам выходных узлов принципиальную возможность наблюдать ваш трафик и ваши пароли, если для доступа к целевому сайту не используется шифрование (должны быть https в начале адреса или зеленый замочек 🔒 в адресной строке).
Можно было бы понадеяться что администраторы таких узлов не будут следить за вами из соображений их собственного крепкого ночного сна, но...
Если вы заходите на какой-то сайт по незащещённому соединению, через Tor ли напрямую, нужно всегда иметь ввиду что ваши логины и пароли в принципе могут оказаться в папке с литерами на столке у человека в погонах.
Вот и все!
Что-то все еще непонятно? Что-то нужно исправить или что-то особенно понравилось? Напишите ниже в комментариях.
Зачем нужен VPN
С помощью VPN-сервисов можно обходить блокировки сайтов, которые не работают в России (например, Spotify). Но это не единственное, зачем они нужны. Удаленные работники и сотрудники филиалов подключаются по VPN к корпоративным сервисам, тем самым они не ставят данные компании под угрозу. Люди, которые выходят в интернет через общественный Wi-Fi и боятся, что их данные перехватят, тоже используют VPN, чтобы защититься от злоумышленников.
Как же он работает? Если обычно компьютер подключается к интернету через сервер провайдера, то VPN-сервис настраивает туннель между вашим компьютером и удаленным сервером. Таким образом вы выходите в интернет обходным путем. Все данные внутри туннеля шифруются, поэтому провайдер и хакеры не знают, куда вы заходите под VPN-соединением и что делаете в интернете. При этом сайты не видят истинный IP-адрес вашего компьютера, поскольку вы работаете под чужим адресом. VPN (Virtual Private Network) создает безопасную частную сеть внутри незащищенного интернета.
Как его будут блокировать?
Саркис Дарбинян : «Есть множество способов, которыми может воспользоваться человек: изучить вопрос и с легкостью настроить собственный VPN, использовать иные решения, такие как Psiphon, Tor, турборежимы браузеров, плагины, приобрести иной VPN-сервис, который заботится о пользователях и предпринимает оперативные меры».
К чему приведет блокировка?
Артем Козлюк : «Практически весь бизнес завязан на VPN. Под угрозу встают виртуальные частные сети любых предприятий, от мелких до крупных. Сбои в работе VPN могут произойти в любой момент из-за некорректной работы по правоприменению нового закона. Мы бесконечное число раз видим, как Роскомнадзор исполняет эти законы. Во-первых, они неграмотно написаны с технической стороны, во-вторых, в процессе правоприменения Роскомнадзор наращивает эту техническую безграмотность до новых масштабов».
Маркус Саар : «До сих пор не ясно, как будет происходить проверка и контроль. VPN, в отличие от формы анонимайзера, - это закрытая сеть, и для доступа к ней необходимо приобрести платную подписку и установить ПО. Причем у некоторых сервисов нет своего ПО, и необходимо настраивать подключение вручную, используя конфигурационные файлы, ключи и сертификаты. Второй вопрос - насколько рационально «бить» по технически подкованным пользователям, которые дошли до использования VPN, Tor и других инструментов. Ведь если они один раз нашли в себе силы и желание обойти цензуру, то сделают это снова и снова».
Саркис Дарбинян : «Блокировка операторами связи VPN-трафика однозначно означает колоссальный ущерб всему корпоративному сектору, цифровой экономике страны и понижение защищенности российских граждан в глобальной цифровой среде перед лицом иностранных спецслужб, корпораций и злоумышленников, использующих уязвимости для слежки и похищения данных. Закрыть на 100% возможность передавать и получать информацию по VPN не удавалось еще никому, даже в азиатских и мусульманских странах с репрессивными режимами. У провайдеров есть списки IP-адресов самых популярных VPN, которые они с какой-то периодичностью обновляют и блокируют. Но VPN-трафик тоже научился маскироваться. Провайдер VPN может создавать новые IP-адреса хоть каждую минуту (плюс бесконечный IPv6), поэтому делать это будет все сложнее и дороже».
Разбор полётов: Кто его раздевает, тот слёзы проливает.
5 февраля в Госдуме и Роскомнадзоре активно взялись за инициативу по борьбе с использованием анонимайзеров и «луковичной» сети Tor. Воспринимая их как притон преступников, где производятся незаконные сделки и распространяется запрещённая информация, правительство и контролирующий орган стремятся объявить анонимные сети вне закона и ограничить к ним доступ.
Мы решили напомнить, чем является Tor и почему его устройство не позволяет ему оказаться заблокированным, несмотря на усилия властей.
Что такое Tor
Tor - экосистема проектов, построенных на сети компьютеров, через которую информация передаётся схожим с пиринговыми сетями образом, но в зашифрованном виде. Название Tor происходит от сокращения The Onion Router - «луковичной системы роутеров», названной так из-за множества слоёв шифрования, похожих на чешуйки луковицы.
Объяснить, как работает Tor - задача не из лёгких. Наиболее наглядно это делает видео, подготовленное Массачуссетским технологическим институтом.
В видео MIT продемонстрировано, как информация передаётся от одного компьютера к другому (например, от пользователя браузера Tor к владельцу сайта) и обратно, шифруясь на каждом из узлов сети Tor и меняя IP-адрес, с которого идёт запрос. Компьютеры в сети, работающие в качестве прокси-серверов, называются ретрансляторами (relay). Из-за использования нескольких «слоёв» шифрования узнать, что за данные были переданы изначально, очень сложно или даже невозможно.
Однако помимо расшифровки пакета зашифрованных данных есть и другие способы узнать, кто делал запрос: например, при использовании популярных протоколов шифрования SSL и TLS в запросе остаётся служебная информация - например, об операционной системе или о приложении, которое отправляло данные или ожидает их получения. Однако в Tor эта информация «вырезается» из пакета данных, анонимизируя отправителя.
Кроме того, каждый раз для доставки данных выбирается случайная последовательность из компьютеров-узлов, число которых в сети Tor исчисляется тысячами - это не позволяет определить, что несколько разных запросов посылаются одним и тем же лицом.
Как пользоваться Tor
Для использования сети Tor нужно установить одно из приложений, полный список которых перечислен на сайте Tor Project .
В 2006 году появилось Vidalia - первое приложение из экосистемы Tor, которое устанавливает защищённое подключение через сеть Tor на компьютере, ставшее популярным благодаря простому графическому интерфейсу. Тогда, в 2006 году, для многих пользователей Vidalia и была «тором». При помощи Vidalia можно настраивать другие приложения для передачи данных в зашифрованном виде.
В 2007 году Vidalia встроили в Tor Browser Bundle - пакет программного обеспечения, который для простоты называют браузером Tor. Сейчас Tor Browser Bundle является самым популярным продуктом из всей экосистемы, потому что позволяет выходить в интернет без каких-либо дополнительных настроек: приложение достаточно скачать и запустить без специальной установки.
Браузер Tor работает на основе Firefox. Безопасность его работы проверялась волонтёрами и разработчиками-энтузиастами огромное число раз - больше, чем любой другой продукт экосистемы Tor.
В июне 2014 года появилась операционная система Tails на базе GNU/Linux, которая умеет запускаться с флешки и «мимикрировать» под Windows XP, чтобы не привлекать лишнего внимания при работе из общественного места. Tails имеет встроенный браузер Tor, клиент электронной почты с поддержкой шифрования, пакет офисных программ и графические редакторы.
Критика и недостатки Tor
Проблема Tor заключается в том, что должный уровень безопасности обеспечивается только в том случае, если используемые приложения правильно настроены для работы с ним. Например, Skype не будет по умолчанию корректно работать через Tor, а в браузере Tor по умолчанию отключён Flash, так как он может подключаться к удалённым серверам самостоятельно, не через Tor, выдавая таким образом личность пользователя.
Создатели Tor предупреждают, что при подключении через их сеть опасно открывать даже популярные форматы документов.doc и.pdf, потому что они также могут загрузить контент (например, изображения) с внешних источников при открытии их в сторонних программах, не сконфигурированных под Tor. Кроме того, в Tor нельзя пользоваться торрентами: во-первых, они сильно перегружают сеть, во-вторых, из-за особенностей в работе протокола BitTorrent подключения через него осуществляются напрямую, а не через сеть компьютеров волонтёров, анонимизирующих трафик.
Из-за устройства сети, где информация передаётся между множеством компьютеров, имеющих разные скорости подключения и разную пропускную способность каналов связи, общая скорость сети Tor долгое время находилась на уровне дайал-апа. Из-за этого большинство сайтов в даркнете до сих пор имеют примитивный дизайн и стараются лишний раз не использовать изображения, чтобы не перегружать сеть.
Осенью 2014 года Tor раскритиковали за возможную дыру в безопасности после ареста владельца «возрождённого» интернет-магазина Silk Road 2.0, доступ к которому осуществлялся только через анонимную сеть. Арестованы были ещё 17 человек и около 400 сайтов, также сообщалось о конфискации компьютеров, служивших ретрансляторами Tor.
Следствие, которое велось Европолом в сотрудничестве с ФБР и другими спецслужбами, не раскрывало, каким именно способом были найдены арестованные лица и компьютеры. Сеть Tor стали критиковать за наличие уязвимостей и возможные связи с правительством, что чуть не вызвало раскол в его сообществе. Однако нашлись и те, кто обратил внимание на математический подход к алгоритмам шифрования: даже если связи с правительством действительно существуют, обмануть науку не получится.
Кто делает Tor
Несмотря на огромную популярность сети Tor и её продуктов, над их разработкой трудится всего около десятка человек. Изначально созданием сети Tor в начале 90-х занялась исследовательская лаборатория ВМC США, и до 2010 года она являлась активным спонсором проекта.
В разное время на поддержку и разработку Tor давали деньги разные государственные и окологосударственные организации, в том числе SRI International и DARPA, из-за чего у многих противников проекта сложилось впечатление его подчинённости правительству США.
В 2006 году Tor Project получил грант от фонда основателя eBay Пьера Омидьяра, а с 2007 года разработку проекта также спонсировала корпорация Google. Свои деньги также жертвовала компания Ford, некоммерческий фонд по борьбе за свободу прессы (Freedom of the Press Foundation), фонд Human Rights Watch и один из американских интернет-провайдеров, который перевёл деньги анонимно.
Анонимные пожертвования также приходили от более чем 4600 человек, так что теоретически спонсором работы Tor может оказаться человек в любом из мировых правительств.
Чего хотят добиться Госдума с Роскомнадзором
5 февраля председатель профильного комитета Госдумы Леонид Левин выступил с предложением разработать законопроект, по которому доступ к анонимным сетям Tor будет ограничен. По мнению Левина, анонимайзеры (сайты, скрывающие IP-адрес пользователя при просмотре других сайтов или использования интернет-сервисов) и средства доступа в Tor следует блокировать без решения суда.
По мнению депутата, такой закон позволит не допустить распространения запрещённой информации, а также будет противодействовать коммерческому распространению вирусов и незаконному доступу к информации. Иными словами, Левин считает, что Tor используется для организации теневого рынка по продаже эксплойтов и других хакерских услуг.
Позднее тем же днём идею Левина поддержали в Роскомнадзоре, мотивируя это тем, что Tor и другие анонимайзеры позволяют обходить блокировки сайтов. По словам пресс-секретаря ведомства Вадима Ампелонского, решить задачу блокировки анонимайзеров возможно, но как именно планируется это сделать, он не уточнил.
На следующий день Ампелонский рассказал «Ленте.ру», что в его понимании экосистема Tor является рассадником преступности. Представитель ведомства сравнил анонимную сеть с московским районом Хитровка, существовавшим в дореволюционные времена и зачищенным от воровских притонов при Советском Союзе.
Был в прошлом и позапрошлом веке в Москве такой район - Хитровка. Криминальное дно, территория обитания социальных отбросов. Почему русская монархия терпела Хитровку в пешей доступности от места, где короновались августейшие? Доподлинно неизвестно, но, видимо, имея всех упырей в одном месте, их легче было контролировать.
Вот Tor - это глобальная киберХитровка. Созданная и управляемая знамо кем. Как поступила с Хитровкой советская власть? Почитайте у Гиляровского.
Вадим Ампелонский, пресс-секретарь Роскомнадзора
Выступления Левина и Ампелонского - не первые попытки поднять общественную дискуссию вокруг запрета Tor и анонимайзеров. В июне 2013 года газета «Известия» сообщала, что в Общественном совете при ФСБ готовили рекомендации о необходимости запрета анонимных сетей. Хотя Общественный совет при ФСБ позднее опроверг соообщение о разработке рекомендаций, в августе «Известия» снова сообщили о законодательной инициативе блокировки Tor и анонимайзеров.
Тогда в ФСБ рассказывали, что в сети Tor злоумышленники торгуют оружием, наркотиками, поддельными кредитными картами. Директор «Лиги безопасного интернета» Денис Давыдов также поддерживал идею блокировки Tor, считая сеть местом «для общения педофилов, извращенцев, наркоторговцев и других уродов».
Почему TOR бессмысленно пытаться заблокировать
По мнению директора по стратегическим проектам Института исследований интернета Ирины Левовой, Роскомнадзор не сможет отличить зашифрованный трафик, идущий через Tor, от IP-телефонии, банковских операций или даже онлайн-видео. Ведомство может попытаться заблокировать сайты, распространяющие программы для выхода в интернет через Tor, однако пользователи могут воспользоваться для их скачивания другими, ещё не заблокированными анонимайзерами.
Так происходило в 2013 году в Ираке, когда правительство заблокировало сайт Tor Project вместе с Facebook, Twitter, Google и YouTube из опасений, что их может использовать для самоорганизации экстремистская группировка «Исламское государство» (ИГИЛ). Тогда активисты стали запускать зеркала сайта с инструкциями по установке и использованию на арабском языке, что могло даже увеличить число пользователей Tor.
В 2011 году владельцы интернет-сервисов, доступ к которым осуществлялся по зашифрованному соединению, стали сообщать о странной активности из Китая. Когда пользователь из КНР попытался подключиться к таким сервисам, он отправлял на сервер непонятный запрос, после чего его подключение обрывалось. Таким образом в Китае отключили не только доступ к сети Tor, но и другие зарубежные сервисы, работающие через зашифрованный канал.
Более того, правительству и правоохранительным органам, считающим Tor рассадником преступности, просто невыгодно блокировать доступ к анонимной сети. По словам источника «Известий», знакомого с ситуацией вокруг инициатив 2013 года по блокировке Tor, такие анонимные сети считаются безопасными, что позволяет спецслужбам успешно ловить в ней преступников. Если Tor будет заблокирован, то появится новая сеть, и органам придётся разрабатывать новые методы контроля и поиска преступников.
Браузер сети Tor является одним из самых распространенных средств обхода блокировок: им ежедневно пользуется более 200 000 россиян, а за пять лет их число увеличилось в 3 раза. Основное преимущество Tor - он не оставляет следов в интернете - ни личных данных, ни посещенных сайтов, ни отправленных сообщений. Но и его можно отследить и заблокировать.
Как его могут заблокировать?
Роскомнадзор может внести публичные «входные» IP-адреса сети, а также и IP-адреса сайтов с расширением.onion (доступны только в Tor) в реестр запрещенных. Также регулятор имеет право обязать провайдеров ограничить доступ к Tor. Сделать это непросто, но такая процедура введена, например, в Китае. Впрочем, это вовсе не означает, что она работает.
Можно ли обойти блокировки?
Кроме того, с сетью Tor можно соединяться, перенастроив браузер на непубличные узлы, которые заблокировать намного сложнее. В публичном доступе их IP-адресов нет, да и передаются адреса в зашифрованном виде. Также обойти блокировку Tor можно купив у иностранного VPN-сервиса зарубежный IP-адрес, считают эксперты. На зарубежные адреса закон не распространяется.
Система Tor позволяет скрывать от провайдера конечные (целевые) адреса, тем самым прорывая возможную блокаду доступа к заблокированным им сетевым ресурсам. Также система Tor скрывает от целевых ресурсов адрес отправителя, тем самым снимая возможность нахождения пользователя или блокировки пользователей.
Однако и провайдер и сетевые ресурсы могут бороться с самим Tor путем блокировки его публичных узлов. Далее приводятся приемы борьбы с такими блокировками Tor.
1. Использования непубличных входных узлов (bridge-узлов)
В странах с интернет-цензурой провайдеры часто пытаются блокировать доступ к "запрещённым" интернет-ресурсам. (Не понимаю, почему какой-то урод будет решать какие сайты мне посещать, а какие - нет!)
Информационный поток данных, идущий от пользователя в сеть Tor маскируется под шифрованный SSL-трафик (протокол https) и распознать его по каким-то особенностям нереально. Однако провайдер всегда знает первичный адрес, по которому шлются данные. При работе через Tor это адрес первого узла анонимизирующей цепочки.
Tor - открытая система, поэтому все адреса публичных узлов Tor известны и нетрудно включить их в "чёрный список" с последующей блокировкой.
Иногда такую блокировку считают даже как уязвимость системы Tor.
Разработчики Tor предусмотрели такую ситуацию и создали некоторое подмножество непубличных входных узлов (bridge-узлов или мостов), узнать адреса которых можно только вручную и небольшими порциями.
На странице https://bridges.torproject.org можно найти адреса трех текущих bridge-узлов в формате proxy_host:proxy_port (например 188.40.112.195:443). Там же будет краткая инструкция по установке мостов. (Правда на английском языке.)
Если данная страница также заблокирована, то можно получить адреса bridge-узлов по почте, отправив письмо-запрос на [email protected] с заголовком и единственной строкой get bridges в теле письма.
Вставить в клиент Tor полученные bridge-узлы можно через его графическую оболочку Vidalia.
Для чего нужно: открыть окно Vidalia , нажать кнопку "Настройки " ("Settings"), в открывшемся окне выбрать вкладку "Сеть " ("Network"), пометить там галочкой пункт "Мой Интернет-провайдер блокирует доступ к сети Tor " ("My ISP blocks connections to the Tor network").
Скопировать адрес первого bridge-узла в поле "Добавить bridge " ("Add bridge") и нажать кнопку "+". Таким же образом вставить и остальные bridge-узлы.
Нажать кнопку "Ok". Перезапустить Tor.
2. Добавления в конец цепочки Tor внешнего прокси
В настоящее время некоторые интернет-ресурсы блокируют или ограничивают доступ посетителей при использовании ими Tor. Видимо хотят контролировать своих посетителей (!?). (К сожалению сюда относятся даже такие известные сайты как Wikipedia, Gmail, ЖЖ, Linux.org.ru и другие.) Для такого блокирования составляется "чёрный список" всех (или почти всех) публичных выходных серверов системы Tor (блоклист) и запрещаются или ограничиваются посещения с этих серверов. Иногда можно посмотреть "чёрный список" по адресу https://proxy.org/tor_blacklist.txt, но скорее всего там будет сообщение типа "Зайдите завтра"
Простым способом преодоления блокирования со стороны интернет-ресурсов является добавление к цепочке Tor внешнего прокси-сервера. (Он не входит в "чёрный список".) Внешних прокси-серверов очень много и их можно легко найти в Сети (например, http://www.proxy-list.org/en/index.php/ ). Необходимо только, чтобы они поддерживали шифровку ssl трафика (для входа по защищенному каналу https) и желательно были "забугорными". Скопировать его адрес в формате: proxy_host:proxy_port.
Затем найти конфигурационный файл фильтрующего прокси Polipo : ...\Data\Polipo\polipo.conf и добавить в его конец строку parentProxy=proxy_host:proxy_port, где proxy_host:proxy_port - адрес "внешнего прокси".
После этого надо перезагрузить анонимный канал, т.е. Tor Browser .
Проверить анонимный канал можно на сайтах-анализаторах IP, (например http://www.ip-adress.com/what_is_my_ip/, или http://whatismyipaddress.com/, или http://geotool.servehttp.com/. Полученный IP-адрес должен совпадать с адресом внешнего прокси.
В результате добавления в конец цепочки Tor внешнего прокси, общение с целевым адресом (сайтом) пойдет через этот "чистенький" для блокировщика "внешний прокси".
