Il protocollo di servizio nascosto di Tor fornisce una protezione dalle minacce maggiore rispetto a una sessione HTTPS standard?

makerofthings7 ha scritto:

it seems TOR is better/more secure since it doesn't use DNS, and it doesn't rely on CAs

Proprio come è in definitiva la responsabilità dell'utente di verificare un certificato TLS prima di accettarlo, è responsabilità dell'utente verificare che l'indirizzo di destinazione sia un indirizzo cipolla. Iniziando con

• (a) Conosco un indirizzo di cipolla
• (b) Conosco un nome di dominio normale (ad es. "google.com")

stai affermando, per ipotesi:

• (a) Ho risolto un problema complesso
• (b) Ho ancora per risolvere un problema difficile

e (a) implicano direttamente più sicurezza di (b) a causa dell'ipotesi più strong.

Ma affermare (a) in realtà significa " so come risolvere problemi complicati " quindi dovresti essere in grado di risolvere anche (b). IOW, se riesci a ottenere in modo affidabile un indirizzo di cipolla (ad es. Per telefono da qualcuno di cui conosci la voce), dovresti essere in grado di ottenere in modo affidabile un'impronta del certificato TLS del sito dallo stesso fornitore.

Ma probabilmente stai facendo affidamento su qualche risorsa Internet (sito web, messaggio Usenet, email ...) per imparare l'indirizzo della cipolla:

• (1) ti fidi dell'autore richiesto del messaggio?
• (2) confidi che il messaggio sia stato davvero scritto da questo autore?

Forse il messaggio è stato trovato su un sito Web HTTPS e sei tornato con:

• (a) verificando che il proprietario del sito web sia la persona di cui ti fidi
• (b) il sito web che vedi è il vero sito web, IOW che il certificato TLS è valido.

Forse il messaggio è stato trovato in una e-mail e devi controllare la firma PGP / GPG (o S / MIME). Quindi sei tornato con: chi possiede questa firma PGP / GPG / S / MIME? In ogni caso, hai bisogno di un'ancora di fiducia .

Nessun protocollo o strumento crittografico risolve da solo questo problema, perché non è un algoritmo, è un dato di fatto che controlla , fatti come " questa chiave appartiene davvero a questa persona ", e nella maggior parte dei casi fidati degli altri a fare il fact checking , a meno che tu non riesca a incontrare il ragazzo di persona e chiedergli la sua impronta digitale, che è raramente il caso (ho provato con il mio banca e non avevano idea di quale fosse l'impronta digitale della chiave).

Un problema con HTTPS è che devi avere fiducia nella CA principale. E molti browser ne hanno molti di default.

Con i servizi nascosti TOR, l'indirizzo .onion contiene un hash della chiave pubblica del server, quindi non hai bisogno di alcuna CA.

Ma il problema principale è che gli indirizzi .onion non sono molto intuitivi. Quindi il problema si sposta su come ottenere / verificare che stai utilizzando l'indirizzo .onion corretto. Vedo a colpo d'occhio che stackexchange.com è il sito che voglio, poiché è facile da ricordare. Ricordare un indirizzo .onion d'altra parte è difficile.

Alcuni progetti come namecoin mirano a creare un'associazione sicura di nome descrittivo e chiave pubblica. Ma questo progetto non è ancora integrato in TOR.

"altro", sì. Ma questo non è significativo se la minaccia che stai cercando di contrastare non è la vulnerabilità utilizzata contro di te.

Gli attacchi MITM sono una cosa strana da chiedere nei servizi nascosti Tor. Se ti fidi del servizio nascosto (forse hai incontrato qualcuno che ti ha consegnato un URL di Konon?), E ti fidi del tuo client Tor (cioè il MITM non ti nutre di binari contaminati), quindi, perché non stai esternalizzando la tua fiducia a un'autorità di certificazione, fornisce protezione contro "più" minacce ... ma anche un certificato autofirmato e un segreto pre-condiviso o PGP.

Le risposte specifiche alle tue domande sarebbero:

• HTTPS anche crittografa il traffico end-to-end
• MITM è ridotto rispetto alla fiducia in una CA se e solo se hai un certificato condiviso o .onion o qualcosa del genere, altrimenti ti connetti a un server anonimo.
• Non esiste un equivalente di risoluzione dei nomi in TOR (le espressioni sono analoghe agli indirizzi di rete)
• HTTPS ha il rischio aggiuntivo di fidarsi tradizionalmente di ogni CA nell'archivio certificati del browser (a meno che non si firmi automaticamente)

In che modo TOR HSP viene confrontato con HTTPS + IPSEC + DNSSec? A. Mele e arance. Una fornisce comunicazioni anonime crittografate con servizi anonimi, l'altra fornisce comunicazioni sicure con servizi in cui la fiducia è stata acquistata da autorità e registrar (insieme con le implicazioni di coinvolgere denaro nella relazione di fiducia).

Sei nuovo a Tor? sembra che potresti confondere ciò per cui è stato concepito.

Usa Tor e tunnel attraverso un proxy Internet SSL / TLS. Assicurati solo che i tunnel e i resolver DNS siano configurati correttamente su entrambi i lati. C'è molto da sapere su questa roba, ed è meglio se puoi risolvere, verificare e comprendere ogni piccolo dettaglio.

Alcuni strumenti come Qualys SSL Labs e sslstrip / ssldump sono molto utili.

Un'altra opzione potenzialmente migliore è quella di utilizzare qualcosa come OpenVPN nel tuo nodo Tor nascosto.

In altre parole, non confrontare queste tecnologie; combinali.