Perché Tor over HTTPS è insicuro?

Tor fornisce l'anonimato che HTTPS non fornisce. HTTPS fornisce solo la crittografia end-to-end, ma un utente nel mezzo può ancora vedere dove ci si connette e potrebbe scoprire di più (ad esempio quali siti si stanno guardando in dettaglio) effettuando un'analisi statistica del traffico sniffato.

Tor fa del suo meglio per nascondere le meta-informazioni come fonte e destinazione della richiesta. Fornisce anche la crittografia, ma solo fino al nodo di uscita della rete Tor. Quindi dovresti usare HTTPS su Tor se visiti un sito pubblico. Tor non è in grado di proteggere il traffico una volta lasciato il nodo di uscita.

Gli URL di cipolla sono URL all'interno della stessa rete Tor. In questo caso, non si esce dalla rete Tor quando si accede ai dati. Di solito solo pochi siti sono accessibili da un Onion-URL e anche da un HTTPS-URL pubblico, ma sono accessibili solo tramite l'URL Cipolla o HTTPS-URL. Pertanto, la raccomandazione di utilizzare l'URL di una cipolla invece di HTTPS non può essere applicata per la maggior parte dei siti.

Spero di poter chiarire alcune confusioni nella tua domanda. In breve

• Tor su HTTPS: non esiste una cosa del genere (solo HTTPS su Tor, vedi sotto).
• Accesso di Onion-URL: consigliato perché il traffico non lascia la rete Tor. Opzione migliore se disponibile.
• HTTPS su Tor: consigliato, perché protegge il traffico dopo aver lasciato il nodo di uscita. Seconda opzione migliore.
• Semplice HTTP (non HTTPS) su Tor: non consigliato perché non sicuro dopo il nodo di uscita. Utilizza HTTPS se possibile.

Tor ti fornisce l'anonimato.

HTTPS protegge (crittografa) il contenuto dei tuoi dati.

HTTP non fornisce nessuno di questi.

Tor fornisce l'anonimato ma non protegge lo sfruttamento di un'applicazione non sicura per rivelare l'indirizzo IP o traccia di un flusso TCP.

Esecuzione di HTTP su Tor significa che i tuoi dati di comunicazione potrebbero essere letti e quindi compromettere l'anonimato.

Qui ci sono 4 schemi che mostrano la differenza tra l'uso di HTTP, Tor + HTTP, HTTPS, Tor + HTTPS (il pulsante verde riflette il protocollo usato) riguardo a ciò che un attaccante (intercettatore) può vedere:

1. HTTP (l'intercettore vede tutto)

2. Tor+HTTP(intercettatoreleggeidaticomunicati)

3. HTTPS(intercettatorenonpuòleggereituoidati,questoètutto)

4:Tor+HTTPS(ancorapiùsicuro)