Tor: Bir askeri proje gizlilik için nasıl bir hayat hattına dönüştü?

• Tor, bir askeri araştırma projesinden doğdu ve bugün dijital gizliliğin temel bir altyapı rolü üstleniyor
• Ağ meta verisini korumaya yönelik Onion routing yaklaşımı, Tor'un temelini oluşturuyor
• ABD ordusu ile cypherpunk hacker topluluğunun işbirliğiyle halkın kullandığı bir anonimlik platformuna dönüştü
• Gizlilik koruması ile kamusal güvenlik arasında süren gerilim içinde, Tor benzeri araçların önemi öne çıkıyor
• Merkezileşmiş kontrol ve gözetim altyapısının toplumsal risklerine karşı alternatif olarak Tor'un rolü vurgulanıyor

---

Tor'un Kökeni ve Gelişimi

• Tor, ABD Donanması Araştırma Laboratuvarı (NRL) projesi olarak başladı ve bugün gizlilik korumanın kilit bir teknolojisi haline geldi
• Tor, dağıtık sunucu ağı ve Tor Browser ile kullanıcı kimliklerini anonimleştirme işlevi sağlar
• Bu ağda kullanıcı trafiği, birçok ülkedeki sunuculardan geçerek karmaşık şekilde şifrelenir, böylece izlenmesi ve sansürlenmesi zorlaşır

Karanlık ağın yükselişi ve gizlilik teknolojileri

• Tor gibi gizlilik teknolojileri, VPN veya WhatsApp gibi şifreli mesajlaşmalar ve çeşitli güvenlik teknolojileriyle birlikte, dijital toplumun temeli olarak bireyleri siber suçlara karşı korumakta vazgeçilmezdir
• Gizlilik teknolojilerinin hem dijital suçları önleme hem de devlet gözetimini engelleme kapasitesi nedeniyle, politika, teknoloji ve toplumsal değerler arasında sürekli bir tartışma sürmektedir

Cryptowars ve Cypherpunk

• 1990'ların ticari internet başlangıcında, şifreleme teknolojilerinin kamusal olarak benimsenmesi etrafında bir Cryptowars (kriptosavaş) yaşandı
• Cypherpunk topluluğu ve bilgisayar bilimciler, askeri şifrelemeyi halka yayarak internetin otoriteyi kırıp bireylere güç veren bir araç olmasını istedi
• Hükümetler ve küresel şirketler farklı gerekçelerle de olsa kriptografinin önemini paylaşmıştı

İstihbarat, denizaltılar ve internet meta verisi

• İnternet, trafiğin rotasının (meta verisinin) görünür hale geldiği şekilde tasarlandığı için özellikle yurtdışındaki askerlerin veya ajanların güvenliği açısından hassas bir alan yaratıyordu
• Gizli bir iletinin içeriği şifreleme ile korunabilir, ancak gönderici ve alıcı bilgisi (meta veri) servis operatörleri veya ISS'ler tarafından görülür
• NRL araştırmacıları, hem içeriği hem de kaynağı ve hedefi gizleyen bir yol bulmaya çalıştı

Onion Routing ve anonimleştirme yapısı

• Onion routing'in temel ilkesi, yol bilgisini üç katman şifreleme katmanına sarıp birden fazla geçiş düğümünden geçirirken katmanların tek tek çözülmesidir
• Her geçiş düğümü, yolun yalnızca bir kısmını bilir; bu şekilde hiçbir düğüm hem kaynağı hem hedefi bütünüyle bilemez
• Anonimlik kullanıcı sayısı arttıkça güçlenir, bu nedenle yalnızca askeri kullanım için değil, halka açık olması şartıyla etkili olur

Cypherpunk ve askeri işbirliği, ardından açık platforma dönüşüm

• Tor'un araştırmacıları, gerçek anonimliğin ancak geniş kitlelerce kullanıldığında mümkün olacağını görerek cypherpunk hackerlarla işbirliğini tartıştı
• 1997 tarihli Information Hiding Workshop'ta cypherpunkler ve NRL araştırmacıları arasında fikir ve değer alışverişi gerçekleşti
• Askerî yüksek güvenlik talepleri ile cypherpunklerin dağıtık ve demokratik gizlilik vizyonu birleşerek Tor'u şekillendirdi

Gizlilik tartışması ve toplumsal etkiler

• Tor'un tarihi, devlet vs. birey ikileminin basit karşıtlığından çok, farklı aktörlerin yeni bir güç dengesi arayışı içinde ittifak kurduğu bir süreci yansıtır
• İngiltere Çevrimiçi Güvenlik Yasası gibi güncel politika tartışmalarında, gizlilik teknolojilerinin aslında marjinal grupları korumayı da güçlendirdiği görülüyor
• Şifrelemenin zayıflatılması çabaları, kadınlar ve çocuklar gibi kırılgan grupların özerkliğini ihlal eder ve bu bilgilerin iktidar sahipleri tarafından suistimal edilme riskini artırır
• Somut risklere karşı etkili yanıt, demokratik ve şeffaf bir içerik yönetim sistemi ile toplumsal güveni yeniden inşa etmeye dayanmalı; gözetime dayalı teknik çözümler yeterli değildir

Sonuç: Tor'un toplumsal önemi

• Günümüzde giderek merkezileşen ve yapay zekâ gibi faktörlerin etkisiyle az sayıda elitin kontrol gücünün arttığı bir internet ortamında, Tor ve benzeri araçların önemi artıyor
• Tor, yalnızca kişisel veriyi korumak ve siber suçları engellemek için değil, aynı zamanda daha demokratik ve güvenilir bir dijital topluma geçişin yolunu da gösteriyor

[GN⁺]

Hacker News yorumları

• Ben Tor'u gözetim amacıyla kullandım ve bunun uygun bir kullanım şekli olduğunu düşünüyorum. Bir tedarik zinciri bütünlüğü startup'ında, uluslararası büyük bir pazaryerini fark edilmeden izleyen bir crawler geliştirdik. Her bölge için uygun Tor çıkış düğümünü seçip o bölgedeki bir kullanıcıyla aynı içeriği görebilmek için çalıştık. Bu kullanım için Tor çok iyi çalıştı. Yine de ekibime, bu verileri övünmememiz ve sızdırmamamız için sürekli uyardım. (Veri toplamamız her an tek bir C&D bildirimiyle durdurulabilirdi.) Pazaryeri, engellemeye çalıştığımız sahte ürün ve gri pazar satışlarından kazanç elde ettiğini düşünürsek, biraz gerilim kaçınılmazdı. Bunun yerine crawler'ı yumuşak ama etkili çalışacak şekilde ayarlayıp, kimseye zarar vermeden ve gereksiz dikkat çekmeden çalışmasını sağladık. (Şimdi söyleyebiliyorum: startup, Covid döneminde yatırımcılar tereddüt ettiğinde bütçesi tükeniyordu.)
  • Benzer bir durum tekrar olursa, aksine yaklaşık 5 dolarlık bir VPN (Mullvad vb.) ile aynı etkiyi alabilirsin. Tor çıkış düğümlerine göre daha az dikkat çeker; gecikme, bant genişliği ve bölge değişim hızı da daha iyi olur. Böyle durumlarda onion routing yerine yalnızca VPN yeterli.
  • Bu şekilde yapmak iyi bir yaklaşım değil. Tor çıkış düğümleri herkese açıktır ve pazaryeri bunları kolayca özel hedef olarak işaretleyebilir. Bu yüzden gerçekten bilgi topladığımıza inanmak zor oluyor. Doğru yapmak için Tor/VPN'e residential proxy ekleyip niyeti gizlemek standart yöntem.
  • Bölge bazlı Tor çıkış düğümü seçildiğinde, aslında bir proxy kullanılmış oluyor. Onion routing bu kullanım için pek anlamlı değil.
  • Hangi verileri topladığınızı merak ediyorum.
  • Hayal gücü biraz tetiklenince hafif bir tebessüm gelir; güzel olmuş.
• Tor konulu yazarın kitabı ilgini çekiyorsa, ücretsiz olarak indirilebilir
  https://direct.mit.edu/books/oa-monograph/5761/TorFrom-the-Dark-Web-to-the-Future-of-Privacy (Not: ben MIT Press'teyim.)
  • Çok iyi bir iş! Kendi dönemin ve kapsamın çakışmasıyla birlikte, birçok karmaşıklığı iyi yakalamış olduğunu düşünüyorum. Özellikle Tor exit node operatörlerini doğrudan röportajlayan özgün bir araştırmayla başlamış olması etkileyiciydi.
  • Yazarı desteklemek istersen satın alabilirsin
    https://mitpress.mit.edu/9780262548182/tor/
  • Epub formatı var mı bilmiyorum; Kindle ile okumak istiyorum.
• Tor rölesi (relay) gayet hafif koşulabilir. Ben $5/ay VPS'imde birden çok amaca ayrılmış olarak bir Tor relay'i de çalıştırıyorum. 1 GB RAM yeterli, yalnızca bir adet temel CPU çekirdeği yeterli olur. Benim relay'im günde yaklaşık 150 GB trafik alıp gönderiyor (yaklaşık 15 Mbit/sn). Exit node olmadığı için hukuki bir endişem yok
  (config ve systemd override örneği paylaşımı)
• Tor'un halka açılması, askeri kullanımın gizlenmesi amacıyla yapıldı diye düşünüyorum. Sadece askeri kullanıcılar olsalardı çok kolay hedef olurlardı, o yüzden kendini normal trafik olarak saklıyor.
  • Gerçekten bunun nedeni mi yoksa hükümeti ikna etmeye yönelik bir retorik mi olduğu net değil. Ancak Tor mucitlerinin de bu hedefi doğrudan ve dürüstçe devlete anlattığını iddia ettiklerini duydum.
  • Ben de benzer şeyler duydum. Herkesin yalnızca ABD hükümetinin erişebildiği bir ağı kullanarak dış sunucuları hacklediği bir senaryoda, suçu dağıtmak ve kimlik gizlemek daha zor olur.
  • Bana ulaşan farklı güvenilir kaynakların hepsi benzer şeyler söyledi.
• Tor'u hiç kullanmadım ama farklı IP'lere ihtiyaç duyduğum için scraping yaptım. Bu tür endpoint'lerin zaten büyük olasılıkla zaten engelli olduğunu düşünüyorum.
  İngiltere gibi ülkelerde yetişkin içerik engellerinden sonra Brave'in "New Private Window with Tor" özelliği epey pratik oldu. Böyle kısıtlamalar sıkılaşırsa, paradoksal olarak gizlilik için Tor gibi araçlara daha da ihtiyaç doğabilir.
  Bugünlerde "residential proxy" servisleri veya Perplexity botları gibi IP'yi anlamsızlaştıran örnekler çok. Artık 1 GB başına 1 dolar ödeyerek yüz milyonlarca IP kullanılabiliyor.
  • Son incelediğim siber saldırılarda Kaliforniya ve New York'un residential IP'lerini kullanan bir sürü örnek vardı, ama gerçek çıkış noktası Hindistan'dı. Bugün bu artık çok kolay.
  • İngiltere'deki yetişkin içerik engellemesine atıfta bulunduğun kısımdaki en sevindirici taraf, tersine doğru sansürü hızlandıran hükümetlerin gizlilik ve güvenlik teknolojilerini ilerletmesiydi.
  • Altyapının büyük bölümünde merkezileşme ve açıklık nedeniyle oluşan ciddi bir güvenlik deliği var. Princeton'ın 2015'teki Raptor attack çalışmasına bakarsan mantığını anlamaya yardım eder.
• Tor'un çalışma prensibini zaten biliyorsanız, saldırı tekniklerini daha iyi anlamak için şu belgeleri öneririm
  • https://github.com/mikeperry-tor/vanguards/blob/master/README_SECURITY.md
  • https://github.com/mikeperry-tor/vanguards/blob/master/README_TECHNICAL.md
  • https://spec.torproject.org/proposals/344-protocol-info-leaks.html
• Her seferinde Tor kullanınca tüm paketlerin en yüksek öncelikle toplandığını ve analiz edildiğini varsayıyorum. Bazen kalabalığın içinde kaybolmak daha güvenli olur.
  • Bu kısa vadeli bakış açısı uzun vadede kalabalığın içinde kaybolmayı daha da zorlaştırır.
• Tor'u doğru kullanma şekli konusunda hiç tam olarak güvenmiyorum. Birinden bunu öğrenmenin de güvenilirliğini sorguladım.
  • Tor Browser'ı kurup kullanmak yeterli. Bu tarayıcı, Tor ağına bağlanan güçlendirilmiş bir Firefox sürümüdür. Tarayıcı penceresini yeniden boyutlandırmayın ve ek uzantı yüklemeyin. Tüm pencereler aynı boyutta olursa izleme riski azalır. Günlük hesaplarla veya kişisel bilgilerle oturum açmak da yine yasaktır. Tor'un engellendiği ağlarda, FAQ'daki yöntemlerle (bridge vb.) geçiş yapabilirsiniz
    https://www.torproject.org/download/
    https://support.torproject.org/censorship/
  • Biraz fazla paranoyaya katılıyorum. Ben Tor ile birlikte önyükleme için USB kullanan Linux tabanlı OS olan "Tails" gibi platformları tercih ediyorum (direkt araştırmanızı öneririm)
    https://tails.net/
  • Genel olarak önerilen yöntem, Tails'i USB'ye kurup doğrudan onunla önyükleme yapmak. Sadece Tor Browser'ı kullanmaktan sistem güvenliği çok daha yüksek olur ve sistem hacklense bile gerçek verilerim işletim sisteminde kalmaz.
    https://tails.net/
  • Daha önce Tor'u kullandığımda, sadece modifiye edilmiş bir Firefox gibi hissetmiştim.
• Bence Tor, gizlilik açısından o kadar kusursuz değil. Tüm trafiği görebileceğini, sunucu en çok olanda varsayıyorum.
  • Sunucu sayısı en fazlaysa gerçekten tüm trafiği görmek mümkün mü? Örneğin toplam 1 milyon sunucu varsa ve bende sadece 10 tane varsa, geri kalanlarının hepsi en fazla 9'a sahipse neredeyse tüm trafiği kaçırmaz mıyız?
  • Entry ve exit node'ları her zaman kendi kontrolünze almak için nasıl garanti kurulur? Bu kapasiteye sahip grupların tamamının iş birliği yapacağını düşünmüyorum.
• Tor iyi ama yine de i2p daha çok hoşuma gidiyor
  • Bir noktada i2p'nin Tor'un yerini alacağını düşünüyorum; en azından almak zorunda. Tor'un temel sorunu, deanonymisation'dır; biri çok düğüm kurduğunda mesele orada kalır. Bazı kuruluşlar zaten bunu denemiş olsa da bunu öğrenemiyoruz.
  • I2P, ağ tasarımı açısından daha iyi; bu kadar iyi olmasına rağmen görünür olmaması hayal kırıklığı.
  • Ama dezavantajı, çalıştırmanın daha zor olması.
  • Sonuçta her şey güven meselesi