Kako onion usmjeravanje Torzon Marketa štiti identitete kupaca i prodavača

Zamislite jedan zahtjev koji napušta kupčev Tor preglednik, usmjeren prema .onion sučelju Torzon Marketa. Prije nego što taj paket uopće uđe u mrežni kabel, preglednik ga omata u tri ugniježđena sloja enkripcije — kao da stavite pismo u zapečaćenu omotnicu, zatim tu omotnicu u drugu, pa onda u treću. Svaka vanjska omotnica adresirana je na drugi Tor relej duž puta od tri skoka. Nijedna omotnica ne nosi istovremeno i korisnikovo mrežno ishodište i konačno .onion odredište; vanjska adresa okrenuta je prema prvom releju, a unutarnje odredište postaje vidljivo tek na posljednjem releju.

Logika dešifriranja namjerno je asimetrična. Ulazni čvor — prvi relej u lancu — uklanja samo ljusku adresiranu na sebe. Sve što može uočiti jest IP adresa dolaznog klijenta i IP sljedećeg srednjeg releja. Stvarni sadržaj paketa i dalje je neproziran šifrirani tekst, a konačno .onion odredište u ovoj je fazi besmislen niz podataka za usmjeravanje prema skrivenom servisu. Srednji relej skida drugi sloj i jednostavno prosljeđuje preostali šifrirani tekst dalje; ne može povezati izvorni izvor s odredištem jer je jedna strana te jednadžbe već nestala iz njegova vidokruga.

Do trenutka kad najunutarniji zahtjev ispliva na krajnjem dijelu kruga, izvorna adresa zamijenjena je identitetom okrenutim prema izlazu, a nijedan uzvodni relej ne zna što je sadržavao konačni paket. Zato se ova arhitektura ponekad opisuje kao usmjeravanje lukom (onion routing): svaki skok razumije samo jedan korak putovanja, a put je osmišljen tako da promatranje bilo kojeg pojedinog čvora — ili čak bilo koja dva čvora koja surađuju — ne daje ništa što povezuje osobu s određenom stranicom na Torzon Marketu.

Zamislite tri Tor relay pozicije kao tri kolege koje u štafetnoj utrci svaki drže po jednu omotnicu, ali nijedan od njih nikada istovremeno ne vidi i pošiljateljevo lice i konačno odredište. Na putu prema Torzon Marketu upravo to razdvajanje pretvara „netko bi mogao nadzirati mrežu“ u „netko je vidio djelić, a taj djelić sam po sebi znači vrlo malo“.

Guard čvor najosjetljivija je pozicija jer vidi tvoj ulazak u Tor mrežu. Ako netko istovremeno vodi i tvoj guard i rendezvous točku skrivenog servisa, vremensko usklađivanje postaje teoretski moguće. Torov dizajn protiv korelacije aktivno razdvaja te uloge, no praktična je navika izbjegavati ponavljanje krugova kroz isti ulaz ponovnim pokretanjem Tora dok je sesija aktivna.

1. Što se događa na svakoj relay pozicijiGuard prima tvoj prvi šifrirani sloj, skida ga i saznaje samo to da razgovaraš sa srednjim relayem.
2. Srednji relay skida drugi sloj i saznaje samo prethodnu i sljedeću postaju — nikada tvoj IP, nikada onion.
3. Završni relay ili rendezvous točka skida posljednji sloj i vidi šifrirane podatke aplikacije, namijenjene Torzonovu skrivenom servisu bez otkrivanja tvoje ulazne točke.

Česta je pogreška smatrati guard „sigurnim“ samo zato što ne može pročitati sadržaj. On i dalje saznaje da koristiš Tor u određeno vrijeme, s određene mreže. Rješenje nije skrivati se od guarda — to je nemoguće — nego držati sesije kratkima i izbjegavati predvidljive vremenske obrasce koji i prazne metapodatke čine korisnima promatraču.

Srednji relay namjerno je najmanje privilegiran. Dešifrira jedan sloj, prosljeđuje na sljedeću postaju i ne zadržava ništa što bi povezalo tvoj identitet s odredištem. Čak i ako je srednji relay potpuno zlonamjeran, količina korisnih podataka koju može samostalno proizvesti toliko je mala da Torova rotacija pri odabiru releja čini trajno prikupljanje nepraktičnim.

Zamislite svježi Tor krug kao set ključeva za kuću izrezan samo za jednu večer. Otključate vrata, obavite ono po što ste došli, zatim bacite ključeve u kanal. Sutra režete drugi set. Vrata prepoznaju ključ, ali nitko ne može povezati jučerašnjeg posjetitelja s današnjim prateći samo ključ. To je srž prolaznog identiteta na Torzon Marketu: svaka sesija gradi novi krug kroz različite releje, tako da se mrežni otisak vezan uz vašu prvu prijavu ne može ponovno upotrijebiti za identifikaciju vaše druge ili desete prijave.

Gdje usporedba gubi smisao: ključevi za kuću fizički su i jedinstveni. Tor krugovi su probabilistički. Novi krug ne jamči potpuno nove releje, ali obično mijenja barem srednju i izlaznu poziciju, a s vremenom se rotira i ulazni čvor. Promatrač koji vidi samo jedan relej kruga — recimo srednji čvor koji bilježi vremenske oznake — ne može to pojedinačno opažanje preslikati na vas osim ako već ne kontrolira dovoljno putanje da poveže ulaz i izlaz. Prolazni krugovi čine tu korelaciju skupom i krhkom.

Što puca kada korisnik ponovno koristi jedan krug za više identiteta

• Isti obrazac vremena ulaska na dva računa
• Isti izlazni relej poslužuje zahtjeve za uloge prodavača i kupca
• Ponovna uporaba jednog kruga nakon trajanja sesije preglednika
• Ulazni čvor ostaje nepromijenjen dok se identiteti brzo mijenjaju

Opasna je navika ova: prijavite se kao prodavač, držite istu sesiju Tor preglednika živom, zatim otvorite korisnički račun kupca u drugoj kartici. Krug se ne mijenja samo zato što se kartica promijenila. Isti ulazni čvor vidi kako se ista šifrirana struja nastavlja; isti izlaz — ili ista točka uvoda skrivene usluge — može opaziti dva logički različita identiteta kako teku jednim tunelom. To nije kriptografski proboj, ali jest bihevioralna korelacija koja čeka da bude primijećena.

1. Otvoren svjež krugprijava na Torzon dobiva novu putanju s različitim srednjim relejem
2. Zamijenjen identitet u istom krugupromatrač vidi jednu kontinuiranu sesiju umjesto dviju nepovezivih
3. Krug srušen zbog neaktivnosti ili ručnog novog identitetasljedeća prijava pregovara svježe ključeve i svježu rutu

Zamislite kako gledate kurira koji predaje paket nekome unutar privatnog kluba, zatim ta osoba odlazi u stražnju prostoriju, zatvara vrata i tek ondje uručuje paket primatelju — a vi pritom nikad ne vidite tko je primatelj niti gdje paket na kraju završava. Ta podjela između „točke susreta“ i „konačnog odredišta“ otprilike je ono što se događa kad se kupac Torzon Marketa spoji na onion adresu usluge. Promet ne izbija iz izlaznog releja na otvoreni internet; zaustavlja se na rendezvous točki koja pripada vlastitom overlay sloju skrivene usluge.

Ključna razlika u odnosu na clearnet onion pristupnike — one web-to-onion proxyje koji normalnu .onion poveznicu pretvaraju u nešto pregledljivo iz običnog preglednika — jest ono što se događa nakon rendezvous releja. Kod clearnet pristupnika, pristupnik dohvaća onion stranicu kroz Tor i zatim je ponovno poslužuje posjetitelju preko HTTPS-a. To znači da se operater pristupnika nalazi u povlaštenom položaju: može promatrati vrijeme zahtjeva, zaglavlja, kolačiće ako su postavljeni, a ponekad i sadržaj prije ponovnog kodiranja. On zapravo postaje posrednik između kupca i tržišta, čak i ako je temeljni onion krug inače netaknut.

U praksi, kad kupac otvori Torzonovu .onion adresu, klijent najprije doznaje skup uvodnih točaka iz Torova direktorija skrivenih usluga. Torzon te uvodne točke oglašava preko vlastitih krugova. Zatim klijent kupca gradi novi krug prema odabranom rendezvous releju i tržištu šalje jednokratnu tajnu kroz uvodnu točku. Tržište, ako prihvati uvod, gradi zaseban krug prema istom rendezvous releju i dokazuje poznavanje te tajne. Kupac i tržište sada komuniciraju kroz rendezvous, ali nijedan rub veze nije dohvatljiv s clearneta.

1. Kupac traži onion adresuklijent dohvaća uvodne deskriptore iz distribuirane hash tablice
2. Izgrađen rendezvous krugklijent kupca stvara put u tri skoka koji završava na odabranom rendezvous releju i priprema jednokratni kolačić
3. Poslan uvodkroz uvodnu točku tržište prima adresu rendezvous releja i kolačić — ali ne i krugove kupca
4. Tržište potvrđuje kolačićTorzonov poslužitelj gradi vlastiti krug prema rendezvous releju i predstavlja kolačić, dokazujući da je namjeravana usluga
5. Započinje tunelirana sesijaobje strane komuniciraju unutar rendezvousa; izlazni relej se ne pojavljuje jer transakcija nikad ne napušta Tor oblak

Budući da nema izlaznog čvora, klasični napad u kojem zlonamjerni izlazni čvor promatra ili mijenja čisti tekst ne primjenjuje se na izravnu onion sesiju. Svaki paket koji kupac pošalje dešifrira se sloj po sloj do rendezvous releja, a zatim se ponovno šifrira za krug skrivene usluge tržišta. Rendezvous relej može vidjeti da su dva kruga premoštena, ali ne može reći „ovaj kupac s ove IP adrese pregledava Torzon“ niti može vidjeti stvarnu stranicu, obrazac za narudžbu ili sadržaj poruka. Ono što može naučiti — vrijeme, količinu prometa, trajanje kruga — korisni su metapodaci, ali to je daleko od potpune vidljivosti sesije kakvu bi imao clearnet pristupnik.

Postoji još jedna suptilnost: budući da rendezvous relej bira klijent kupca kao dio novog kruga, dvije sesije prema zadanim postavkama nikad ne dijele istu sobu za susret. Čak i ako je jedan rendezvous relej zlonamjeran, vidi samo jedan fragmentirani razgovor — poput prisluškivanja polovice telefonskog poziva kroz zatvorena vrata — i ne može ga povezati s dugoročnim identitetom kupca osim ako operativne pogreške negdje drugdje ne odaju tu poveznicu.

Većina curenja identiteta na Torzon Marketu ne događa se unutar samog onion puta — događa se na rubovima, gdje se vaša sesija dodiruje s nečim što već zna vaše stvarno ime. Tor klijent drži vaš promet šifriranim kroz tri relejna sloja, ali vas ne može spriječiti da se prijavite na clearnet e-poštu dok je isti profil otvoren, da zalijepite ID narudžbe u messenger ili da pošaljete novčiće s mjenjačnice koja bilježi odredišta isplata. Zamislite onion krug kao zatvorenu omotnicu: svatko tko promatra relejni put vidi samo neprozirni omot, ali onog trenutka kad napišete povratnu adresu izvana, omotnica postaje nebitna.

Rutina prije posjeta koja odgovara vašem modelu prijetnji

Ponovljiva rutina manje je važna zbog sofisticiranosti, a više zbog dosljednosti. Ako uvijek pripremite OS na isti način, odstupanja postaju vidljiva. Tipična pogreška je preskakanje pripreme na dan kad ste u žurbi, pa zatim ponovno upotrijebite adresu novčanika iz prethodne sesije ili ostavite uključeno proširenje preglednika koje se javlja kući. To nisu curenja na mrežnoj razini; to su bihevioralni otisci koji spajaju dvije inače odvojene sesije u jedan identitet.