Рыжий Лис

Доброго времени суток. Немного почитал перевод документации tor, особенно порадовало, что используются стандартные протоколы шифрования (TLS 1.3, вроде), и как строятся цепочки и разрушаются.

Немного непонятным для меня остались onion ресурсы. Сразу пример:
Есть сайт https://example.com, он же доступен по адресу https://example.onion. Естественно HTTPS сертификат выдан только на хост example.com, и при заходе на example.onion браузер ругается и требуется добавить исключение. Но если отключить проверку, то становится возможной атака MITM (как-то раз на выходной ноде мне пытались подсунуть самоподписанный HTTPS сертификат при посещении внешнего сайта через тор. Перезапуск демона тор помог).

Вопрос: возможна ли технически подмена onion-ресурса, или опасаться нечего? Да, я знаю, что практически невозможно, чтобы onion-адреса совпали, речь идёт про перехват и поделку трафика внутри сети тор. Или луковочное шифрование идёт до самой ноды, на которой хостится onion-ресурс?

0

Рыжий Лис

Почитал https://svn.torproject.org/svn... rendezvous и rend-spec.txt

Соединение шифруется открытым ключом onion-ресурса, HTTPS внутри сети тор - лишнее. Довольно интересно реализована анонимность скрытого ресурса: ресурс строит несколько цепочек до "точек входа", к которым уже и подключаются клиенты.

Вывод: атака MITM на onion ресурс не возможна.

0

@MonaxGT

Если провести атаку на входной ноде? то можно

0

Рыжий Лис

Нет, строится цепочка. Входная нода получает данные зашифрованные в несколько слоев, снимает свой слой шифрования и передаёт по цепочке дальше.

Добавлено через 1 минуту
Да и если отбросить все хитрости построения цепочек ради анонимности клиента и onion ресурса, то, по сути, end-to-end шифрование.

0

@MonaxGT

На входной ноде используется адрес источника клиента, а следовательно можно понять, кто осуществуляет запрос на передачу данных через тор.
Неужели нет возможности поднять прокси и проксировать такой трафик? Да, тот же первый пакет, а второй пойдет уже через другую ноду.

0