Det første, du skal aflære om at “gemme sig”
Det første, man skal aflære ved “at gemme sig”, er forestillingen om, at et darknet-besøg fungerer som et privat telefonopkald direkte til ét bestemt sted. Selve pointen i, hvordan onion routing faktisk skjuler en besøgende på en darknet-markedsplads, begynder med denne ændring: du prøver ikke at gøre dig usynlig på hele netværket; du fjerner den direkte forbindelse mellem dit indgangspunkt og markedspladsens dør, uden at nævne bestemte markedspladser eller adresser. Det, der ændrer sig, er hvilken enhed der kan koble din forbindelse til din virkelige netværksplacering, ikke at ingen enhed overhovedet ser datapakker.
- Inderste datalag — Det bærer kun det, destinationen skal modtage, f.eks. anmodningen om en side, og er krypteret, så mellemliggende servere ikke kan læse det.
- Mellemste routinglag — Det fortæller det andet relay, hvor trafikken skal sendes hen næste gang, men giver det hverken indblik i slutdestinationen eller den oprindelige besøgende.
- Yderste vagtlag — Det åbnes kun af dit første relay, som kender din indgangsadresse, men ikke kan se, hvilken onion-tjeneste du kontakter.
Tænk på det som at aflevere en forseglet kasse til en kurer, der giver den videre til en anden kurer og derefter en tredje. Hver kurer kender kun det forrige stop og det næste stop. Markedspladsen i den anden ende ser en kasse fra den sidste kurer, aldrig hjemmeadressen på den person, der først afleverede den.
- Trin etDin Tor-klient vælger tre servere: en vagt, en mellemstation og et exit- eller onion-tjenestemødested.
- Trin toDen pakker anmodningen ind i krypteringslag, som kuverter inden i kuverter, ét lag til hver server.
- Trin treHver server fjerner kun sit eget lag, lærer ét hop og sender resten videre.
- Trin fireOnion-markedspladsen svarer ad samme vej, men ingen enkelt server ser nogensinde både din indgangsadresse og markedspladsens adresse.
Vagtrelay
Det ser din rigtige IP og mellemrelayet, men ikke den darknet-markedsplads, du er på vej til.
Mellemrelay
Det ser kun vagten og næste hop; det kan hverken identificere dig eller den endelige onion-tjeneste.
Onion-tjeneste
Den ser en indgående forbindelse fra et Tor-relay, ikke fra din hjemmeforbindelse, og logger ingen brugbar besøgendes IP.
Hvis din mentale model stadig siger “siden kan spore mig”, så erstat den med en model med delt viden: hvert relay sidder med en brik, men ingen brik er nok til at identificere begge ender af ruten.
Lagdelt routing skjuler netværksruten, men den skjuler ikke, hvad du skriver, uploader eller afslører via formularer og chat. Operationelle fejl afslører stadig langt mere end selve forbindelsen.
Indhold
- Det første, du skal aflære om at “gemme sig”
- “Jeg åbnede et onion-link, men er stadig bekymret for, at siden kender min IP. Hvad ser den egentlig?”
- Hvorfor føles lagdelt kryptering langsommere, når der kun er “tre hop”?
- “Min forbindelse faldt ud og blev genetableret. Afslørede det, hvilken markedsside jeg var i gang med at se?”
- Ofte stillede spørgsmål
“Jeg åbnede et onion-link, men er stadig bekymret for, at siden kender min IP. Hvad ser den egentlig?”
Når du åbner et onion-link, modtager tjenesten i den anden ende ikke din rigtige IP-adresse. Den ser kun adressen på det sidste relæ i kæden, som regel kaldet exit eller i onion-terminologi det sidste hop, der opretter forbindelsen til den skjulte tjeneste.
- Guard node — kender din rigtige IP, fordi det er det første relæ, du taler med, men det kan ikke læse din trafik eller vide, hvilket onion-site du besøger
- Middle relay — ved kun, at det modtog krypterede data fra guard-noden og sendte dem videre til et andet relæ; det ser hverken din IP eller destinationen
- Destination service — ser forbindelsen som kommende fra det sidste relæ, ikke fra dig, og har ingen mulighed for at spørge det relæ, hvem der oprindeligt sendte dataene
Sitet bag et onion-link modtager ikke den sædvanlige besøgsrapport, som en normal hjemmeside får. Der er intet felt med den besøgendes IP-adresse, ingen referrer fra en søgemaskine og intet browserfingeraftryk, som serveren automatisk får, blot fordi du indlæste siden. Serveren ved, at nogen anmodede om en side, hvornår anmodningen kom, og hvilke data den besøgende sendte — for eksempel et brugernavn eller en besked — men ikke den pågældendes netværksoprindelse.
Tænk på det som at sende et brev gennem tre kurerer. Den første kurér ved, hvem der afleverede kuverten, men ikke den endelige adresse i den forseglede inderkuvert. Den anden kurér flytter blot en låst kasse mellem to fremmede. Den tredje kurér afleverer et uforseglet inderbrev til en bygning, men har aldrig mødt den oprindelige afsender. Hver part sidder kun med et brudstykke af ruten.
Det er derfor, en markedsside ikke kender din placering, din internetudbyder eller din hjemmeadresse ud fra forbindelsen alene. Det, sitet kan lære, kommer kun fra det, du vælger at sende: de ord, du skriver, den konto, du logger ind på, eller filer, du uploader. Transporten skjuler »fra«-delen; den kan ikke skjule det indhold, du bevidst indsender.
Hvis du bruger det samme brugernavn på et onion-marked, som du bruger på en normal hjemmeside, behøver sitet ikke din IP for at forbinde de to identiteter. Hold onion-konti adskilt fra alt, der er knyttet til dit virkelige liv.
For privatlivets skyld er den afgørende grænse denne: guard-relæet ser, hvem du er, men ikke hvor du skal hen; det sidste relæ ser, hvor du skal hen, men ikke hvem du er. Ingen af dem ser begge dele. Den adskillelse er kernen i onion-routing, og den holder, selv hvis ét relæ er ondsindet, fordi intet enkelt relæ sidder i begge ender af kæden.
Hvorfor føles lagdelt kryptering langsommere, når der kun er “tre hop”?
En tre-hop-løgrute føles ikke langsom, fordi dataene rejser langt; den føles langsom, fordi din trafik bliver pakket ud og pakket ind igen som en æske i en æske i en æske ved tre forskellige stop, og hvert stop får kun at vide, hvad næste skridt er — aldrig hele ruten. Læg dertil Tor’s bevidste trafikudjævning og til tider belastede relæer, så kan en side tage mærkbart længere tid end ved en direkte forbindelse, selv når den samlede afstand er kort.
- Guard-relæ-indpakning — Din klient krypterer forespørgslen, så kun det første relæ kan fjerne det yderste lag. Indeni ligger endnu et krypteret lag adresseret til mellemrelæet.
- Mellemrelæ-indpakning — Mellemrelæet dekrypterer det, guard-relæet sendte videre, ser kun adressen på det næste relæ og sender den stadig krypterede nyttelast videre.
- Destinationsindpakning — Det sidste lag åbnes kun af exit-relæet eller onion-tjenesten, som endelig ser forespørgslen til destinationen — uden at vide, hvem der oprindeligt sendte den.
- Forespørgslen kommer ind i netværketDin Tor-klient vælger en rute gennem tre relæer og krypterer forespørgslen én gang for hvert relæ i omvendt rækkefølge, ligesom at forsegle en konvolut inde i to andre konvolutter.
- Første relæ åbner det yderste lagGuard-relæet fjerner det første lag, ser mellemrelæets adresse og sender resten af pakken videre — det kan ikke læse destinationen eller din IP ud over det foregående hop.
- Mellemrelæet videresender i blindeMellemrelæet fjerner det andet lag og sender den stadig krypterede kerne videre til exit-relæet eller onion-mødepunktet uden at lære næsten noget nyttigt om dig eller destinationen.
- Destinationen modtager det inderste lagFørst ved det sidste hop åbnes den inderste del, så selve forespørgslen afsløres — mens afsenderens oprindelige adresse forbliver hos guard-relæet.
- Hvert lag tilføjer et separat krypterings- og dekrypteringstrin, så tre hop betyder tre runder kryptografisk arbejde, før selve sideforespørgslen overhovedet begynder.
- Relæer drives af frivillige med forskellige båndbredde- og CPU-begrænsninger, så ét langsomt mellemrelæ kan forsinke hele kæden.
- Onion-tjenester som et darknet-marked bruger ofte rendezvous-kredsløb oven i almindelige kredsløb, hvilket tilføjer flere hop og mere forhandling, før sidens første byte ankommer.
Tænk på forskellen mellem at sende et postkort og at sende en låst mappe gennem tre kurerer, der hver har en forskellig nøgle. Postkortet er hurtigere, men mappen tager længere tid, netop fordi hver kurer skal stoppe op, låse ét lag op, tjekke den næste adresse og derefter sende den stadig låste rest videre.
Den forsinkelse, du mærker ved næsten hvert klik, er ikke et tegn på, at markedet sporer dig mere grundigt. Den er prisen for at sikre, at intet enkelt relæ i ruten kender både din identitet og den side, du har anmodet om.
“Min forbindelse faldt ud og blev genetableret. Afslørede det, hvilken markedsside jeg var i gang med at se?”
En afbrudt forbindelse afslører ikke, hvilken onion-side du var ved at se, fordi det kredsløb, der fejlede, kun transporterede krypteret trafik mellem relæer – ikke en læsbar registrering af din destination eller sidens sti. Det, du oplever som en “genopkobling”, er blot et nyt tre-hop-rutenetværk, der bliver bygget; markedet ser en ny strøm fra et nyt kredsløb, uden nogen form for hukommelse delt mellem de kredsløb.
Tænk på det som to forseglede kuverter sendt med forskellige bude. Hvis det første bud taber kuverten undervejs, ved afsenderen måske, at leveringen mislykkedes, men buddet så aldrig, hvad der var indeni, og modtageren modtog aldrig en delvis besked. Når du genopkobler, starter det andet bud en helt ny levering.
Afbrydelsen kan føles som en sikkerhedshændelse, fordi din browser viser en fejl, men den fejl kommer fra din lokale Tor-klient, ikke fra destinationen. Markedets serverlogfiler registrerer ikke en “tidligere session” fra dig, blot fordi dit kredsløb ændrede sig; fra dets perspektiv ankom en ny besøgende.
- Kredsløbet afbrydes midt i en forespørgselMellemrelæet ser kun krypterede relæceller og kan ikke afgøre, om destinationen er et marked eller en almindelig hjemmeside.
- Browseren viser en forbindelsesfejlDen lokale Tor-proces rapporterer, at strømmen ikke kunne fuldføres; ingen klartekst-destination behøver at forlade din enhed for at forklare fejlen.
- Nyt kredsløb byggesTor vælger en frisk rute gennem guard-, mellem- og exit-relæerne; exit-noden ved ikke, at du lige har forsøgt at åbne den samme side igen.
- Markedet ser en ny strømFor onion-tjenesten er dette en frisk forbindelse med et frisk rendezvous-punkt, ikke et “genlogin” knyttet til det mislykkede forsøg.
Gentagne opdateringer efter et kredsløbsafbrud afslører ikke siden, men det kan ligne unormal trafik set fra tjenestens synsvinkel. Det mønster kan blive brugt som et svagt adfærdssignal, ikke som bevis for, hvem du er.
Hvis en session afbrydes lige efter, du har sendt en formular, så vent et par sekunder, før du prøver igen. Et roligt nyt forsøg efter en kort pause ser mindre markant ud end en hurtig byge af identiske forespørgsler fra et nyt kredsløb hver gang.
Ofte stillede spørgsmål
Skjuler Tor, hvilket darknet-marked jeg besøger, for min internetudbyder?
Din udbyder ser kun, at du bruger Tor, ikke onion-adressen eller sidens indhold. Indgangsnoden ser din rigtige IP, men ikke din destination, og udgangsnoden ser destinationen, men ikke din IP. Denne adskillelse er det, der gør det svært at spore hele ruten.
Hvorfor viser siden stadig en IP-adresse i sine logs, hvis Tor skjuler mig?
Det, markedet ser i sine normale weblogs, er IP-adressen på Tor-udgangsnoden, ikke din hjemme- eller mobil-IP. Den udgangs-IP deles af mange andre Tor-brugere på samme tid, så den kan ikke alene bruges til at identificere dig. Enhver “IP”, serveren viser, er derfor en relæadresse, ikke en personlig adresse.
Er det rigtigt, at et kredsløb med tre hop er nok, eller bør jeg bruge flere relæer?
Hvert hop tilføjer et lag kryptering, og tre hop er nok til at adskille viden om, hvem du er, fra hvad du besøger. Flere relæer ville ikke give nogen mærkbar forbedring af anonymiteten ved almindelig browsing, fordi det første og sidste relæ allerede sidder med hver sin del af puslespillet. Langsomheden kommer fra routing gennem flere frivillige knudepunkter og ny kryptering ved hvert trin, ikke fra at flere hop skulle være nødvendige.
Hvis min forbindelse afbrydes, og jeg opretter forbindelse igen, kan markedet så sammenligne de to besøg og se, at det var den samme person?
Markedet kan se to separate besøg fra to forskellige udgangsrelæer uden nogen direkte teknisk forbindelse mellem dem, medmindre du logger ind på den samme konto eller genbruger identificerende detaljer. En afbrudt forbindelse i sig selv afslører ikke, hvilken side du så på, eller at de to kredsløbsruter tilhører den samme besøgende. Men hvis du efterlader den samme konto, det samme tegngivningsmønster eller den samme skrivestil på tværs af begge besøg, kan det gøre sammenkædning mulig, så vanen med at skifte identitet betyder mere end selve genopkoblingen.