Cum protejează rutarea onion Torzon Market identitatea cumpărătorilor și a vânzătorilor

Imaginați-vă o singură cerere care pleacă din Tor Browser al unui cumpărător, îndreptată către front-end-ul .onion al Torzon Market. Înainte ca pachetul respectiv să intre vreodată într-un cablu de rețea, browserul îl învelește în trei straturi imbricate de criptare — ca și cum ați pune o scrisoare într-un plic sigilat, apoi ați pune plicul respectiv în altul, apoi în altul. Fiecare plic exterior este adresat unui releu Tor diferit de-a lungul unui traseu cu trei noduri. Niciun plic nu poartă simultan atât originea de rețea a utilizatorului, cât și destinația finală .onion; adresa exterioară este orientată către primul releu, iar destinația interioară devine vizibilă doar la ultimul releu.

Logica de decriptare este în mod deliberat asimetrică. Nodul de gardă — primul releu din lanț — îndepărtează doar învelișul adresat lui însuși. Tot ce poate observa este adresa IP a clientului care intră și IP-ul următorului releu intermediar. Conținutul real al pachetului este încă text cifrat opac, iar destinația finală .onion este, în această etapă, un șir fără sens de date de rutare pentru serviciul ascuns. Releul intermediar scoate al doilea strat și pur și simplu transmite mai departe textul cifrat rămas; nu poate corela sursa originală cu destinația, deoarece o parte a acelei ecuații a dispărut deja din câmpul său vizual.

Până când cererea cea mai interioară iese la suprafață la capătul îndepărtat al circuitului, adresa sursă a fost înlocuită cu identitatea circuitului orientată spre ieșire, iar niciun releu din amonte nu știe ce conținea datele finale. De aceea arhitectura este descrisă uneori drept rutare onion: fiecare nod înțelege doar o singură etapă a călătoriei, iar traseul este conceput astfel încât observarea unui singur nod — sau chiar a oricăror două noduri care cooperează — nu dezvăluie nimic care să lege o persoană de o anumită pagină de pe site-ul Torzon Market.

Gândiți-vă la cele trei poziții de releu Tor ca la trei colegi care, într-o cursă cu ștafetă, manevrează fiecare câte un plic, dar niciunul nu vede fața expeditorului și destinația finală în același timp. Pe traseul Torzon Market, această separare transformă „cineva ar putea urmări rețeaua” în „cineva a văzut un fragment, iar fragmentul, luat separat, înseamnă foarte puțin”.

Nodul guard este poziția cea mai sensibilă, pentru că vede intrarea ta în rețeaua Tor. Dacă cineva operează atât nodul tău guard, cât și punctul rendezvous al unui serviciu hidden, corelarea temporală devine teoretic posibilă. Designul anti-corelare al Tor separă activ aceste roluri, dar obiceiul practic este să eviți forțarea unor circuite repetate prin aceeași intrare, repornind Tor în timp ce o sesiune este activă.

1. Ce se întâmplă la fiecare poziție de releuGuard-ul primește primul tău strat criptat, îl îndepărtează și află doar că vorbești cu un releu middle.
2. Releul middle îndepărtează al doilea strat, aflând doar hopul anterior și pe cel următor — niciodată IP-ul tău, niciodată onion-ul.
3. Releul final sau punctul rendezvous îndepărtează ultimul strat și vede date de aplicație criptate, destinate serviciului hidden Torzon fără a-ți dezvălui punctul de intrare.

O greșeală frecventă este să consideri guard-ul „sigur” doar pentru că nu poate citi conținutul. El tot află că folosești Tor la un anumit moment, de pe o anumită rețea. Soluția nu este să te ascunzi de guard — asta e imposibil — ci să păstrezi sesiunile scurte și să eviți tipare de sincronizare previzibile, care fac utile chiar și metadatele goale pentru un observator.

Releul middle este, în mod deliberat, cel mai puțin privilegiat. Decriptează un strat, transmite mai departe către hopul următor și nu reține nimic care să lege identitatea ta de destinație. Chiar dacă un releu middle este complet malițios, cantitatea de date utile pe care o poate produce izolat este atât de mică, încât rotația selecției releelor din Tor face colectarea susținută impracticabilă.

Gândiți-vă la un circuit Tor proaspăt ca la un set de chei de casă tăiate doar pentru o singură seară. Deschideți ușa, faceți ce aveați de făcut, apoi aruncați cheile într-un canal. Mâine tăiați un alt set. Ușa recunoaște cheia, dar nimeni nu poate lega vizitatorul de ieri de cel de azi doar urmărind cheia. Aceasta este esența identității efemere pe Torzon Market: fiecare sesiune construiește un circuit nou prin relee diferite, astfel încât amprenta de nivel rețea legată de prima autentificare nu poate fi refolosită pentru a vă identifica la a doua sau la a zecea.

Acolo unde analogia se rupe: cheile de casă sunt fizice și unice. Circuitele Tor sunt probabilistice. Un circuit nou nu garantează relee complet noi, dar de obicei schimbă cel puțin pozițiile de mijloc și de ieșire, iar în timp și garda se rotește. Un observator care vede un singur releu al unui circuit — să zicem un nod de mijloc care înregistrează marcaje temporale — nu poate mapă acea singură observație pe dumneavoastră, decât dacă deja controlează suficient din traseu pentru a corela intrarea cu ieșirea. Circuitele efemere fac această corelare costisitoare și fragilă.

Ce se strică atunci când un utilizator refolosește un circuit între identități diferite

• Același tipar de sincronizare la intrare pe două conturi
• Același releu de ieșire care deservește cereri pentru roluri de vânzător și cumpărător
• Refolosirea unui circuit dincolo de durata sesiunii browserului
• Nodul de gardă menținut constant în timp ce identitățile se schimbă rapid

Obiceiul periculos este acesta: vă autentificați ca vânzător, păstrați aceeași sesiune de Tor browser vie, apoi deschideți un cont de cumpărător într-o a doua filă. Circuitul nu se schimbă doar pentru că fila s-a schimbat. Aceeași gardă vede același flux criptat continuând; aceeași ieșire — sau același punct de introducere al serviciului ascuns — poate observa două identități logic diferite curgând printr-un singur tunel. Aceasta nu este o spargere criptografică, dar este o corelare comportamentală care așteaptă să fie observată.

1. Circuit proaspăt deschisautentificarea pe Torzon primește un traseu nou cu un releu de mijloc diferit
2. Identitate schimbată în același circuitobservatorul vede o singură sesiune continuă, nu două care nu pot fi legate între ele
3. Circuit închis prin timeout de inactivitate sau identitate nouă manualăurmătoarea autentificare negociază chei proaspete și un traseu proaspăt

Imaginează-ți că urmărești un curier care înmânează un pachet cuiva dintr-un club privat, apoi acea persoană intră într-o cameră din spate, închide ușa și abia la final se ocupă de destinatar — fără ca tu să vezi vreodată cine este destinatarul sau unde ajunge pachetul în cele din urmă. Această separare între „punctul de întâlnire” și „destinația finală” este, în linii mari, ceea ce se întâmplă atunci când un cumpărător Torzon Market se conectează la adresa onion a serviciului. Traficul nu țâșnește printr-un releu de ieșire către internetul deschis; se oprește la un punct de întâlnire care aparține overlay-ului propriu al serviciului ascuns.

Diferența esențială față de gateway-urile onion clearnet — acele proxy-uri web-către-onion care transformă un link .onion normal în ceva vizibil dintr-un browser obișnuit — este ce se întâmplă după releul de întâlnire. Cu un gateway clearnet, gateway-ul accesează site-ul onion prin Tor și apoi îl re-servește vizitatorului prin HTTPS. Asta înseamnă că operatorul gateway-ului stă într-o poziție privilegiată: poate observa momentul cererilor, antetele, cookie-urile dacă sunt setate și uneori conținutul înainte de re-codificare. Devine efectiv un om-la-mijloc între cumpărător și piață, chiar dacă circuitul onion de la bază rămâne intact.

Practic, atunci când un cumpărător deschide adresa .onion a Torzon, clientul află mai întâi un set de puncte de introducere din directorul de servicii ascunse al Tor. Torzon anunță acele puncte de introducere prin propriile sale circuite. Apoi clientul cumpărătorului construiește un circuit proaspăt către un releu de întâlnire ales și trimite un secret de unică folosință către piață printr-un punct de introducere. Piața, dacă acceptă introducerea, construiește un circuit separat către același releu de întâlnire și dovedește că deține acel secret. Cumpărătorul și piața comunică acum prin punctul de întâlnire, dar niciuna dintre marginile conexiunii nu poate fi adresată din clearnet.

1. Cumpărătorul solicită adresa onionclientul preia descriptorii de introducere din tabelul hash distribuit
2. Circuitul de întâlnire este construitclientul cumpărătorului creează o cale de trei salturi care se termină la un releu de întâlnire ales și pregătește un cookie de unică folosință
3. Introducerea este trimisăprintr-un punct de introducere, piața primește adresa de întâlnire și cookie-ul — dar nu circuitele cumpărătorului
4. Piața potrivește cookie-ulserverul Torzon își construiește propriul circuit către releul de întâlnire și prezintă cookie-ul, dovedind că este serviciul dorit
5. Sesiunea tunelată începeambele părți comunică în interiorul punctului de întâlnire; nu apare niciun releu de ieșire deoarece tranzacția nu părăsește niciodată norul Tor

Deoarece nu există nod de ieșire, atacul clasic în care o ieșire malițioasă observă sau modifică textul în clar nu se aplică unei sesiuni onion directe. Fiecare pachet trimis de cumpărător este decriptat strat cu strat până la releul de întâlnire, apoi recriptat pentru circuitul serviciului ascuns al pieței. Releul de întâlnire poate vedea că două circuite sunt unite, dar nu poate spune „acest IP de cumpărător navighează pe Torzon” și nu poate vedea pagina propriu-zisă, formularul de comandă sau conținutul mesajelor. Ce poate afla — sincronizarea, volumul de trafic, durata circuitului — sunt metadate utile, dar reprezintă mult mai puțin decât vizibilitatea completă a sesiunii de care s-ar bucura un gateway clearnet.

Există o altă subtilitate: deoarece releul de întâlnire este ales de clientul cumpărătorului ca parte a unui circuit proaspăt, două sesiuni nu împart niciodată aceeași sală de întâlnire în mod implicit. Chiar dacă un releu de întâlnire este malițios, vede doar o conversație fragmentată — ca și cum ai auzi jumătate dintr-un apel telefonic printr-o ușă închisă — și nu o poate lega de identitatea pe termen lung a unui cumpărător, cu excepția cazului în care greșeli operaționale din altă parte dezvăluie această legătură.

Majoritatea scurgerilor de identitate pe Torzon Market nu se întâmplă în interiorul căii onion în sine — ele se întâmplă la margini, acolo unde sesiunea ta atinge ceva ce deja îți cunoaște numele real. Clientul tor îți ține traficul criptat pe trei straturi de relee, dar nu te poate împiedica să te conectezi la un e-mail din clearnet în timp ce același profil este deschis, să lipești un ID de comandă într-un messenger sau să trimiți monede de la un exchange care înregistrează destinațiile retragerilor. Gândește-te la circuitul onion ca la un plic sigilat: oricine urmărește calea releelor vede doar ambalaj opac, dar în momentul în care îți scrii adresa de retur pe exterior, plicul devine irelevant.

Secvența de dinaintea vizitei care se potrivește modelului tău de amenințare

O rutină repetabilă contează mai puțin pentru sofisticare și mai mult pentru consecvență. Dacă pregătești întotdeauna sistemul de operare în același mod, abaterile devin vizibile. Greșeala tipică este să sari peste pregătire într-o zi în care te simți grăbit, apoi să refolosești o adresă de portofel dintr-o sesiune anterioară sau să lași activă o extensie de browser care trimite date către serverul ei. Acestea nu sunt scurgeri la nivel de rețea; sunt amprente comportamentale care unesc două sesiuni altfel separate într-o singură identitate.