Tor hâlâ güvenli mi?

 (blog.torproject.org)
1 puan yazan GN⁺ 2024-09-19 | 1 yorum | WhatsApp'ta paylaş
  • Uzun zaman önce emekliye ayrılmış bir uygulama olan Ricochet’in eski sürümünü kullanan 1 kullanıcı, kolluk kuvvetlerinin saldırısıyla anonimliği kaldırılmış olsa da, Tor Project’in tespit edebildiği kadarıyla Tor Browser’ın saldırıya uğradığına veya istismar edildiğine dair bir bulgu yok
  • Anonimliğin kaldırılmasının bir guard discovery attack olduğu tahmin ediliyor; o dönemde kullanılan yazılımda bunu engelleyen Vanguards-lite veya vanguards addon koruması yoktu
  • 10 Ekim 2024 güncellemesinde, DW haberindeki v3 Onion Services etkisi iddiası doğrulanamıyor ve saldırı sırasında Vanguard korumasının bulunmamış olma ihtimali devam ediyor
  • Bu olay Onion Service iç erişimiyle ilgili bir vaka olduğundan exit node tartışmalarıyla doğrudan ilişkisi düşük; uzun süreli bağlantı tutmayan Tor Browser kullanıcıları aynı zamanlama analizine karşı daha az savunmasız
  • Kullanıcıların yazılımlarını güncel tutması ve resmi kanal yönergelerine uyması gerekiyor; relay operatörleri ise ağın donanım, yazılım ve coğrafi çeşitliliğini artırmaya katkıda bulunabilir

Ricochet olayı ve Tor Browser’ın kapsamı

  • Uzun zaman önce emekliye ayrılmış bir uygulama olan Ricochet’in eski bir sürümünü kullanan 1 Tor kullanıcısının Onion Service üzerinden anonimliğinin kaldırılması olayı, araştırmacı haberciliğin konusu oldu
  • Tor Project’in doğrulayabildiği kadarıyla Tor Browser’ın saldırıya uğradığına veya istismar edildiğine dair kanıt yok
  • Tor kullanıcıları Tor Browser ile web’e güvenli ve anonim şekilde erişebilir; Tor ağı sağlıklı durumunu koruyor
  • Dünya genelinde kullanıcıların internette gezinirken gizliliklerini korumaları gereken durumlarda Tor hâlâ uygun bir çözüm
  • Kullanıcılar ve relay operatörleri yazılım sürümlerini her zaman güncel tutmalı

Tahmin edilen saldırı yöntemi ve eksik koruma mekanizmaları

  • Sınırlı bilgilere göre Ricochet’in eski sürümünü kullanan 1 kullanıcının, guard discovery attack ile tamamen anonimliğinin kaldırıldığı anlaşılıyor
  • O dönemde kullanılan yazılımda bu tür saldırıyı engellemeye yönelik koruma özellikleri yoktu
    • Vanguards-lite yoktu
    • vanguards addon yoktu
  • Bakımı sürdürülen fork olan Ricochet-Refresh, Haziran 2022’de yayımlanan 3.0.12 sürümünden itibaren bu koruma özelliklerini içeriyor
  • Vanguards-lite, Tor 0.4.7 ile yayımlandı; saldırganın tetiklediği devre oluşturmayı devre tabanlı gizli kanallarla birleştirerek kullanıcının Guard’ının yanında kötü niyetli bir middle relay tespit etme olasılığını azaltmayı amaçlayan bir özellik
  • Guard tespit edildiğinde, ilgi duyulan kullanıcıyı bulmak için netflow bağlantı zamanı kullanılabilir
  • Bu olayda Onion Service descriptor sayesinde kullanıcının çevrim içi/çevrim dışı olduğu zamanlar bilinebiliyordu ve bulunan Guard’ın kullanıcı sayısı az olduğu için netflow saldırısı hızlı ilerleyebildi

10 Ekim 2024 güncellemesi

  • Deutsche Welle (DW) haberi, v3 Onion Services’ın saldırıdan etkilendiğini ima etti; ancak Tor Project, etkilenen serviste Vanguard korumasının etkin olup olmadığını doğrulayamadı
  • Saldırı zamanı dikkate alındığında, söz konusu serviste Vanguard korumasının bulunmamış olma ihtimali var
  • Vanguard koruması olmadığında Onion Services, nispeten kolay guard discovery attack saldırılarına karşı daha savunmasızdı; ancak kesin yöntem hâlâ belirsiz
  • Tor Project soruşturmayı sürdürüyor ve ek bilgi ortaya çıkarsa güncelleme yapacak

Sorumlu açıklama ve ek bilgi talebi

  • Chaos Computer Club (CCC), olayla ilgili belgelere erişip gazetecinin varsayımlarını analiz edebildi ve doğrulayabildi; ancak Tor Project’e yalnızca muğlak bir özet ve geniş kapsamlı doğrulama soruları iletildi
  • Kullanıcılar için potansiyel risk bulunduğunu değerlendiren Tor Project, kamuya açık yanıt vermeyi seçti
  • Tor Project, ihbarcının kimliğini değil, anonimliğin kaldırılması saldırısı olduğuna dair kanıtları anlayarak doğru şekilde yanıt vermeyi ve kamuya açıklama sorumluluğunu değerlendirmeyi amaçladı
  • Aynı belgelere erişebilseydi Tor ağının gerçek durumu ve kullanıcıların büyük çoğunluğuna etkisi konusunda daha net rapor sunabilirdi
  • Mevcut durumda olgusal bilgiler yetersiz olduğu için Tor topluluğuna, relay operatörlerine ve kullanıcılara resmi yönerge veya sorumlu açıklama yapmak zor
  • İlgili bilgiye sahip olanlar security@torproject.org adresiyle iletişime geçebilir
    • Şifreli e-posta istenirse OpenPGP açık anahtarı keys.openpgp.org üzerinden alınabilir
    • Fingerprint: 835B 4E04 F6F7 4211 04C4 751A 3EF9 EF99 6604 DE41

exit node tartışmaları ve ağın durumu

  • Onion Services yalnızca Tor ağı içinden erişilebilir olduğundan, bu olayda exit node tartışmaları ilgili değil
  • Tor Project’in bildiği kadarıyla saldırı 2019–2021 yılları arasında gerçekleşti
  • exit node sayısı son 2 yılda büyük ölçüde artarak bugün 2.000’in üzerine çıktı
  • Düğümlerin belirli bir ülke veya operatörde yoğunlaşması sorunu sorgulanabilir; ancak şimdiye kadar yayımlanan makalelerde anlatılan saldırıyla ilgisi çok düşük
  • Saldırı, Tor Project’in daha sonra devreye aldığı zamanlama analizi azaltma özellikleri bulunmayan eski Ricochet sürümünde gerçekleşti
  • Güncel Ricochet-Refresh bu koruma özelliklerini içeriyor
  • Uzun süreli bağlantı tutmayan Tor Browser kullanıcıları, bu tür zamanlama analizlerine karşı daha az savunmasızdır

Relay yönetimi ve ağ çeşitliliği

  • 2019–2021 saldırısından sonra Tor Network Health ekibi binlerce kötü relay’i işaretledi ve Directory Authorities bunların kaldırılması yönünde oy kullandı
  • Kaldırılanlar arasında tek bir operatörden geldiği anlaşılan relay’ler veya ağa büyük ölçekli olarak girmeye çalışan relay’ler de vardı
  • Network Health ekibi, tek bir operatörün ya da kötü niyetli aktörün yönettiğinden şüphelenilen büyük relay gruplarını tespit edip ağa katılımlarını engelleyen süreçler uygulamaya koydu
  • Tor Project, relay çeşitliliğini Tor topluluğu için acil bir mesele olarak görüyor ve topluluk ile relay operatörleriyle birlikte çözüm yollarını tartışıyor
  • Son 1 yıl içinde birkaç girişim başlatıldı
  • Tor bant genişliği son yıllarda önemli ölçüde arttı ve Tor ağı geçmişte hiç olmadığı kadar hızlı durumda

Kullanıcılar nasıl yardımcı olabilir?

  • İmkânı olanlar bant genişliği ve relay sağlayarak Tor ağının büyümesine ve çeşitlenmesine katkıda bulunabilir
  • Tor ağında donanım, yazılım ve coğrafi çeşitlilik sağlamak, kötüye kullanım ve gözetim olasılığını büyük ölçüde azaltabilir ve guard attack yürütmeyi daha zor hâle getirebilir
  • Ağ sağlığını korumak, kullanıcıları ve relay operatörlerini korumak için Tor yazılımını güncel tutmak ve Tor Project’in resmi kanallarındaki yönergeleri izlemek gerekir
  • Tor, kitlesel internet kullanıcı gözetimini pratik olmaktan çıkaran dağıtık internet vizyonu ve uygulanabilir modeli sunan az sayıdaki alternatiften biridir
  • Şu anda Tor, büyük ölçüde az sayıda büyük şirketin sahip olduğu ve yönettiği internet ekosisteminin sınırları içinde yer alıyor

İlgili okumalar

1 yorum

 
GN⁺ 2024-09-19
Hacker News yorumları

  • Bir kişi 1000 Tor düğümünü bizzat işletip guard/çıkış düğümleri dâhil hepsinde log tutsa, bunun ayda 5000 doların altında bile mümkün olabileceğini düşünüyorum.
    Belirli bir hidden service’e ya da normal bir web URL’sine bağlanan kişiyi bulmak istiyorsanız, eninde sonunda devredeki üç düğümün de benim işlettiğim düğümler olduğu bir durum ortaya çıkmaz mı? Belirli bir kişiyi hedeflemek zor ve uzun sürebilir ama sonuçta yalnızca benim kontrol ettiğim Tor düğümlerinden geçen birini bulmak mümkün değil mi diye merak ediyorum.

    • “Ayda 5000 doların altında” fazla iyimser; pratikte birkaç yıl boyunca birden fazla düğüm işletmiş biri olarak tek haneli birkaç kat daha fazlasını hesaba katmak gerekir.
      Aylık 5 dolarlık VPS’lerin, bir Tor düğümünün aylık trafiğini kaldıracak bant genişliği yok; guard relay’e yükselmek için de 2-3 ay kadar sürekli çevrimiçi kalıp trafik işlemek gerekiyor.
      Bant genişliği kotasına uymak için sınırlama koyarsanız yavaş düğüm olarak görünür ve bağlantı sayısı azalır; 1 Mbps’i sürekli korusanız bile Digital Ocean veya Linode’un düşük fiyatlı planlarının aylık aktarım miktarını aşarsınız.
      https://blog.torproject.org/lifecycle-of-a-new-relay/
    • Burada “eninde sonunda” ifadesi asıl noktayı bulanıklaştırıyor. Tor ağına fark edilmeden 1000 sunucu ekleseniz bile mevcut ağ neredeyse 8000 düğüm büyüklüğünde.
      Basitleştirmek için düğüm türlerini veya coğrafi etkenleri yok sayıp rastgele bir kullanıcının benim üç düğümümü seçme olasılığına bakarsak bu %0,14’ün altında. Kullanıcı daha güvenli olmak için 4 düğüm kullanırsa %0,015’e düşer; her relay eklendiğinde üstel olarak azalır.
      Tor düğümleri kötü niyetli davranışları önlemek için sürekli izlenip doğrulandığından bu tür saldırılar giderek zorlaşır. NSA gibi fiilen sınırsız kaynağa sahip kurumlar bunu yapabilir, ancak bir birey ya da sıradan saldırgan için neredeyse imkânsıza yakındır.
      https://gitlab.torproject.org/tpo/network-health/team/-/wiki...
      Tor eski bir sistem olsa da temel anonimlik hizmetinin kırılıp tutuklamaların arttığına dair bir işaret yoktu; gerçek hayattaki ünlü vakaların çoğunda Tor kullanıcıları başka hatalar yaptıkları için izlenmişti.
    • Varsayılan devre 3 hop olduğu için aslında giriş düğümü ve çıkış düğümünü ele geçirmek yeterli. Çünkü işlediğiniz trafiğin önceki/sonraki hop’unu bilebilirsiniz.
      Devre her 10 dakikada bir değişiyorsa birkaç gün içinde neredeyse tüm kullanıcıların trafiğinin bir bölümünü anonimlikten çıkarabilecekmişsiniz gibi geliyor.
      Biraz teknik yetkinliği olup 5000 dolar harcamaya istekli bir rakip karşısında Tor’un kırılmış olduğunu düşünüyorum.
      Tor’un, anonimlik ihtiyacı olan insanları tek bir serviste toplayıp dünya trafiğinin kayda değer bir kısmını görebilen hükümetlerin erişebileceği hâle getiren ABD destekli bir proje olduğundan yaklaşık %80 şüpheleniyorum.
    • Dün çıkan video bu meseleyle ilgili: https://www.youtube.com/watch?v=Gs0-8ZwZgwI
      Almanya’da bu yöntemle çocuklara yönelik cinsel istismar materyali sitesinin işletmecisini yakaladıkları söyleniyor. Belirli düğümleri ve aralarında gidip gelen dosya boyutlarını gözlemleyerek forum yöneticisini tespit etmişler; belirli bir kişiyi bulmak bir buçuk yıl sürmüş ama sonunda yakalamışlar.
      Bu kadarıyla sıradan kullanıcılar epey güvende görünüyor. Çünkü uzun süre boyunca belirli bir hedefe odaklanmak gerekiyor. Ancak yeterince çaba harcanırsa, Silk Road’da olduğu gibi normal web’de hata yapmadan da kimlik tespiti mümkün görünüyor.
      Adresi öğrendiklerinde eve baskın yapıp kişiyi bilgisayarın başında yakalıyorlar ve o anda iş bitiyor.
    • Tor’u da tüm güvenlik ve gizlilik araçları gibi kullanım amacı ve tehdit modeli bağlamında değerlendirmek gerekir.
      Soruşturma kaynakları her zaman sınırlıdır; gizlilik sistemleri anonimlikten çıkarmanın zorluğunu ve maliyetini artırarak çalışır. Kusursuz olması gerekmez, pahalı hâle getirmesi yeterlidir.
      Amaç, güçlü kişileri araştırmak veya bilgiye erişmek için temel anonimlikse, burada söz edilen yöntemlerle Tor’u kırmak için uzmanlık, para ve zaman ayrılması ihtimali çok düşüktür.
      Buna karşılık birden fazla ülkede aranan uluslararası bir terör lideri, büyük ölçekli suçlu ya da otoriter bir devletin bir numaralı düşmanıysanız, bu kapasiteye sahip taraflar gerçekten sonuna kadar gider.

  • Bağlam açısından NDR haberi burada: https://www.ndr.de/fernsehen/sendungen/panorama/aktuell/Inve...
    Ek bilgiler burada: https://lists.torproject.org/pipermail/tor-relays/2024-Septe...
    NDR bunun “giriş sunucusunu” tespit edebilen bir zamanlama saldırısı olduğunu iddia ediyor, ancak saldırının niteliği hakkında neredeyse hiç bilgi yok. Bu yöntemle tutuklamalar yapıldığını da öne sürüyor.

    • Hafifletme önlemi olarak, dolgulu paketler ve hız sınırı kullanan bir VPN ekleyip, her zaman kullanıcının belirlediği bit hızında gönderim/alım yaptırmak mümkün olmaz mı diye düşünüyorum.
      Gerçek trafiğe daha yüksek öncelik verip, padding akışını aşmayacak şekilde traffic shaping yapmak gibi. Bu, bir yerdeki sunucuda Tor daemon’unun doğrudan çalıştığı ve VPN’in o düğümde sonlandığı varsayımına dayanıyor olabilir.
      tc sch_htb sınıf şekillendirmesi veya sch_cake, paketleri etiketlemek için iptables mangle kuralları ve /dev/urandom ya da büyük bir rastgele dosyayı okuyan iki yönlü iki rsync akışını sürekli çalıştırmakla mümkün görünüyor.
      Örneğin 873 portundaki native rsync düşük öncelikli bulk trafik, 3128 portundaki squid mitm ssl-bump proxy ise yüksek öncelikli olacak şekilde ayarlanabilir.
    • İlgili çocuklara yönelik cinsel istismar sitesi Boystown için Wikipedia maddesi de var.
      https://en.wikipedia.org/wiki/Boystown_(website)

  • 2024’te internetten anlayan bir kullanıcıysanız, hiçbir şeyin %100 “güvenli” olmadığını varsaymak daha doğru. Kusursuz güvenlik ya da kusursuz gizlilik yoktur.
    Ama Tor gibi araçlar internet kullanımını daha güvenli hâle getirebilir. Tor’u sırf “güvenli değil/hiçbir zaman güvenli olmadı” diye kullanmamak gerekiyorsa, aynı mantıkla internetin kendisini de kullanmamak gerekir.

    • Tamamen “güvenli” olmak mümkün olmasa da Tor, elimizdeki araçlar arasında hâlâ gizliliği koruma açısından en güçlülerden biri.
      Çeşitli nedenlerle Tor’a güvenmeyip hiç kullanmayacağını söyleyenler, Tor’a yakın düzeyde güvenlik sağlayan alternatif araçları ya da önlemleri neredeyse hiç önermiyor.
    • Doğru. Dün HN’deki çürük önleme yazısında da benzer bir sahte mantık vardı. Yeni çürük tedavisi ilerlemesinin çürükleri sonsuza kadar bitireceğini “garanti edemeyeceği” üzerinden bir tartışmaydı.
      https://news.ycombinator.com/item?id=41573550
      Böyle bir mantığa hiç kanmadığımı hissediyorum ama benim de başka zayıf noktalarım mutlaka vardır. Yine de bariz hatalara düşmeyecek kadar akıllı görünen insanlara bu tür akıl yürütmenin ikna edici gelmesi özellikle göze çarpıyor.
    • 90’larda şifreli e-posta yapmaya çalışan insanların bunu anlamış olmasını dilerdim.
    • Açık olmak gerekirse, Tor’un honeypot olmadığı koşulda daha güvenli olduğu söylenebilir. Kullanıcının bunu bilmesinin bir yolu yok ve şüphelenmek için yeterli neden olduğunu düşünüyorum.
      Orta Doğu’da, devlet aktörlerinin bir kanalı beklenmedik yollarla hedefleyebileceğine dair çok açık bir örnek görüldü.
    • Burada asıl noktayı kaçırıyorsunuz. Söz konusu kullanıcı gerçekten tamamen anonimlikten çıkarıldı ve bu blog yazısı, başarılı olan o tekniklerin artık kullanılamadığını söylüyor.
      Belirli bir savunma katmanını sorgularken aynı zamanda çok katmanlı bir savunma stratejisi izlemek tamamen makul.

  • Bu konuyu darknet satıcısı bakış açısından ele alan harika bir DefCon sunumu var. Gerçekten iyi.
    https://youtu.be/01oeaBb85Xc

    • Sunum iyi ama ironik biçimde ?si= parametresi izleme amaçlı, kaldırmak daha iyi olur.

  • Adrian Crenshaw’ın Def Con 22’de Tor kullanırken insanların nasıl yakalandığını anlattığı sunumu hatırlıyorum. O zaman da çoğunun Tor’dan değil, kişinin operasyonel güvenlik hatalarından kaynaklandığını söylemişti.
    9-10 yıl sonra bu bilginin hâlâ ne kadar geçerli olduğunu merak ediyorum.
    DEF CON 22 - Adrian Crenshaw- Dropping Docs on Darknets: How People Got Caught
    https://www.youtube.com/watch?v=eQ2OZKitRwc

  • Tam anlayamadım. CCC neden Tor Project bakımcılarıyla bilgi paylaşmıyor?

    • Görünüşe göre gazetecinin Tor’la ilgili bir memnuniyetsizliği var ve belgeleri gören CCC üyeleri de hukuki ya da sosyal nedenlerle daha fazlasını paylaşamaz hâle gelmiş.
    • Bilginin kaynağı CCC değil, yan başlıkta bağlantısı verilen NDR. CCC belgeleri yalnızca NDR üzerinden görmüş.
    • Aralıkta CCC’de açıklamayı planlıyor olabilirler.

  • Federal kurumlar yeterince çok çıkış düğümü işletiyor; bu yüzden Tor kullanımı en iyi ihtimalle riskli. Bunu engelleyen bir özellik daha sonra uygulanmış mı bilmiyorum ama yasa dışı bir şey yapacak olsam Tor’a yaklaşmazdım.
    Bir marketplace’te açığa verdiğiniz kişisel bilgileri servis işletmecisinin düzgün koruyacağına da güvenmek zorundasınız. Kolluk kuvvetlerinin uyuşturucu alıcılarını yakalamak için kendi kimliğini ifşa edeceğini sanmıyorum ama yine de buna güvenmek aptalca görünüyor.

    • “Batılı hükümetler çıkış düğümlerinin çoğunu işletiyor” iddiasını herkesin “bildiği” söylenir ama bunun dayanağı çok azdır.
      Tüm relay listeleri tasarım gereği herkese açıktır ve relay’lerde iletişim bilgisi bulunur. Büyük operatörler bilinen kişiler ve kuruluşlardır; katkıda bulunur ve etkileşim kurarlar.
      Hükümetlerin vatandaşlara karşı kötü işler yapan hangi relay’leri işlettiğini gerçekten ayırt etmek zorsa, bu iddianın neden ortaya atıldığını merak ediyorum.
      Gözlemlenebilir kötü niyetli davranış sergileyen relay’ler ağdan sürekli kaldırılır. Eğer bunlar hükümetse, bu Tor’un durumu oldukça iyi yönettiği anlamına da gelir.
      Kolluk kuvvetleri korelasyon saldırısı yapacaksa relay işletmesine gerek yok. Başlıca relay hub’larının yakınındaki IXP’leri dinlemek ya da zaten sahip oldukları tap’lerden veri almak daha sessiz ve daha geniş kapsamlı olur.
      İnsanları Tor’dan uzaklaştırmak, varsayılan saldırgan modeline bağlı olarak anonimlikten çıkarmayı aksine daha kolay hâle getirebilir.
    • Sanılandan daha fazla suç açık açık işleniyor. Instagram’da kendi uyuşturucusunu ve deste deste nakit parasını gösteren story atan insanlar gerçekten var.
      Kolluk kuvvetleri çoğu zaman gözünün önündeki kolay suçlarla bile doğru dürüst ilgilenmediği için, Tor kullanıcılarını kovuşturma olasılığı yeterince büyüyene ya da sınırı aşıp dikkat çekene kadar çok düşük.
    • Blog yazısını okumak gerek. “Onion Services yalnızca Tor ağı içinden erişilebilir olduğundan, bu durumda çıkış düğümü tartışması ilgili değildir” deniyor.
    • Çıkış düğümlerini izlemek hidden service’i açığa çıkarmaz.
      Daha doğrusu asla çıkarmaz. Çünkü çıkış düğümü o devreye dahil değildir.
    • Yalnızca çıkış düğümü işletiyorsanız kullanıcıyı yine de anonimlikten çıkaramazsınız, değil mi?

  • Yeterince çok devlet kurumu Tor düğümü işletirse, teorik olarak insanlığın büyük bölümünün internet erişimini gözetimden korumak mümkün olmaz mı?
    İnternet teknolojisinde gerçek bir ilerleme gibi görünüyor. Bunu tek bir ülke yaparsa o ülke her şeyi ele geçirir; ama tüm ülkeler rekabet ederse herkesin kazandığı bir yapıya daha yakın olur.
    Yine de Tor’un gezegen ölçeğinde çevresel olarak sürdürülebilir biçimde ölçeklenip ölçeklenemeyeceğini merak ediyorum.

    • Çoğu hükümet, gözetimden korunan bir internetten çok kolluk yükümlülüklerini ya da gözetim arzusunu önemsediği için, böyle bir yön beklemek zor.

  • Bu yazı, insanda bir anda güven uyandıracak şekilde yazılmamış
    Yine de güven veren yanları var. Tor, zafiyetin gerçekten istismar edildiğinin bilinmesinden yıllar önce proaktif olarak güncellenmişti; Tor Project de yıllardır eski kalan belirli bir Tor istemcisinin saldırı vektörünü inceliyordu
    Bence sadece “bu zafiyeti 2022’de düzelttik” deyip eski yazılımla ilgili ayrı bir yazı yayımlasalar yeterli olurdu

    • “Güven veren ifadelerle” beni ikna etmeye çalışmalarına gerek yok. Önerildiği gibi kesin bir iddiada bulunsalardı, aksine daha çok endişelenirdim
    • Yazıdan alıntılarsak, “bildiğimiz kadarıyla saldırılar 2019–2021 arasında gerçekleşti” deniyor ve “bu koruma özelliği, emekliye ayrılmış Ricochet’in bakım fork’u olan Ricochet-Refresh içinde Haziran 2022’de yayımlanan 3.0.12 sürümünden beri mevcut” deniyor
      Yıllar önce düzeltilmiş olduğu doğru, ama benim okuduğum kadarıyla bu yalnızca eski yazılım kullanılmış bir vaka değildi
    • Bu zafiyet, imkânsız hâle getirilerek “düzeltilmiş” değil; ekonomik teşvikler değiştirilerek hafifletilmiş
      Mixminion veya Katzenpost gibi tamamen farklı ağ tasarımları olmadan kökten düzeltilemez. Birisi I2P önermişti ama temelde Tor’dan çok farklı değil. Tek yönlü tüneller kullanması yardımcı olabilir
    • Sorun şu ki ayrıntılar Tor Project ile paylaşılmadığı için, bunu %100 kesinlikle söyleyemiyorlar. Neden paylaşılmadığını bilmiyorum

  • Tor’un “meşru” kullanım alanlarını merak ediyorum. Tam takip edemedim ama baskıcı rejimlerin vatandaşların web kullanımını izlemesini zorlaştırmak için ABD Donanması tarafından tasarlandığını anlıyorum
    Rusya vatandaşlarının BBC sitesine erişebilmesini istemek dışında Tor’u neden istememiz gerektiğini gerçekten merak ediyorum. Yalnız hükümetimin yakında kitlesel zulüm başlatacağı, bu yüzden hazırlıklı olmam gerektiği türünden bir cevap duymak istemiyorum

    • Bu sitede yetişkin içerik de, mağaza da, banka/kişisel bilgi erişimi de yok ama SSL kullanmamızla aynı nedenle
      Her şey SSL ile korununca, belirli bir şeyin neden SSL ile korunduğunu açıklamak zorunda kalmazsınız. Aynı gerekçe Tor kullanımı için de geçerli olabilir
    • Sokakta bir yabancının yanınıza gelip dün gece okuduğunuz wiki maddesini beğendiğini söyleyerek konuşmaya başladığını düşünün; nasıl hissederdiniz?
      Herkes “varsayılan olarak gizlilik” ister ama bu tür varsayımlarla gerçekliği iyi ilişkilendiremiyor. Gerçekte de gözetim yapılıyor; sadece kimse gelip bunu yüzünüze söylemiyor
    • Facebook ve Reddit gibi sosyal medyayı onion hizmetleri üzerinden kullanıyorum. Çünkü IP korelasyonu, izleme pikselleri ve gömülü “like” düğmeleri aracılığıyla normal gezinme faaliyetlerim izlenmiş gibi reklamlar görmekten bıkmıştım
      Bu yüzden artık normal Facebook/Reddit trafiğini tamamen engelliyorum. Bu yöntem beni anonimleştirmiyor. En azından Facebook’ta kendi hesabımla giriş yapmış durumdayım. Ama Meta’nın benim hakkımda oluşturduğu profili, Facebook’ta doğrudan gözlemledikleriyle veri broker’larından satın aldıklarının birleşimiyle sınırlıyor
      Bunu yaptıktan sonra Facebook reklamlarının alakalılığı belirgin biçimde düştü; işe yarıyor gibi görünüyor. Reklamların birden yeniden alakalı hâle geldiği birkaç kez oldu; bu da bilgi sızıntısı sinyali. Genelde Meta’nın kredi kartı ödeme geçmişimi bankamdan veya mağaza satıcısından edinip kimliğimle ilişkilendirdiği durumlar gibi görünüyor
      VPN de teoride aynı faydayı sağlayabilir; ama pratikte Facebook, VPN kullanıldığında hesabı geçici olarak kilitleme eğiliminde ve Reddit VPN trafiğini tamamen engelliyor. Bu yüzden sitelerin doğrudan işlettiği onion hizmetlerini kullanıyorum; kötü amaçlı trafik olarak görülme ihtimali de daha düşük
      Bu platformları kullanıyorsanız, onion sitelerini Tor Browser’da yer imlerine ekleyip bir süre varsayılan arayüz olarak denemenizi öneririm. Çok rahatsız etmiyorsa ağınızda sitenin onion olmayan sürümlerini engelleyebilirsiniz
      https://old.reddittorjg6rue252oqsxryoxengawnmo46qy4kyii5wtqn...
      https://www.facebookwkhpilnemxj7asaniu7vnjjbiltxjqhye3mhbshg...
      Az önce verdiğim bağlantılara güvenmeyin. Sahte bağlantılar koymuş olabilirim. Onion sitesi sahiplik kanıtlarına normal alan adları üzerinden yönlendiren https://github.com/alecmuffett/real-world-onion-sites ile karşılaştırıp doğrulamanızı öneririm
    • Gizliliklerini ve anonimliklerini korumak için Tor’a güvenen kişilerin anonim kullanıcı hikâyeleri derlenmiş
      https://community.torproject.org/outreach/stories/
    • Bu, gizlilik ve özel iletişimi savunan meşru gerekçeler olup olmadığı sorusuyla neredeyse aynı mesele gibi görünüyor
      Birçok popüler mesajlaşma uygulamasında uçtan uca şifreleme artık normal, ana akım bir özellik olarak kabul ediliyor; ama aynı fikir web’de gezinmeye uygulandığında hâlâ marjinal görülüyor. Bu ayrım keyfî ve kültürel görünüyor
      Yine de kullanıcı deneyimiyle ilgili bir sorun da olabilir. WhatsApp’ı kullanmak rahat, ama Tor ile sıradan biçimde internette gezinmeye çalışmak berbat. Bunun başlıca nedeni Cloudflare’ın ya tamamen engellemesi ya da captcha cehennemine göndermesi