Il bundle del browser Tor può essere attaccato in questo modo?

Naviga le tue risposte
0

Quando si utilizza il pacchetto Tor Browser, si carica check.torproject.org all'avvio. Ti dice quando c'è un aggiornamento per la sicurezza per i download e fai clic su un link per scaricarlo.

Il modo in cui gli utenti sanno che si tratta di un sito legittimo è quello di "controllare il blocco". È lì e verde e le informazioni sul certificato sono corrette, quindi l'utente fa clic sul collegamento e scarica il pacchetto del browser.

Se e NSA esegue un nodo di uscita , possono con il potere della legge (potrebbe essere segreto o non esistere ancora) creare certificati falsi e bypassare la sicurezza del browser. Possono quindi reindirizzare i dati dal proprio server anziché quello eseguito dal progetto tor? In tal caso, perché non possono segretamente fornire un pacchetto binario del browser Tor con codice dannoso e un keylogger?

    
posta Martin Josefsson 20.11.2013 - 22:05
fonte

2 risposte

2

Il Tor Browser Bundle non attacca * il certificato check.torproject.org . Quindi, sì, questo è molto possibile.

Ma Martin Martin Martin, la NSA non veramente ha bisogno di farlo. Hai già scaricato il link di download TrueCrypt dal sito ufficiale TrueCrypt tramite HTTP, lo stesso vale per KeePass e decine di altri strumenti di sicurezza. In realtà, non hanno nemmeno bisogno di farlo. Possono semplicemente intercettare la connessione quando esegui gli aggiornamenti Microsoft o quando esegui sudo apt-get upgrade o .. o .. o.

Ecco com'è. Devi accettarlo e conviverci. A meno che non crei il tuo MartinOS e gestisci il tuo MartinNet personale, non c'è praticamente nulla che tu possa fare al riguardo. Se ti vogliono, possono averti. Periodo.

* Che cosa è il blocco dei certificati?

    
risposta data 20.11.2013 - 22:31
fonte
1

Sì, possono fare entrambe le cose, secondo Schneier . I server di iniezione dei pacchetti sono denominati QUANTUM, che dirotta i pacchetti diretti al sito legittimo e il nome in codice del server delle applicazioni false della NSA è FOXACID, che può fornire tutto ciò che si desidera. Hanno anche creato programmi come EGOTISTICALGIRAFFE per attaccare Tor in particolare.

    
risposta data 20.11.2013 - 22:30
fonte

Leggi altre domande sui tag

Quanto sarebbe probabile / var / mail essere crittografato in un host a pagamento? [chiuso] Va bene inviare la chiave privata dell'utente, anche se protetta con un canale SSL?