¿El Protocolo de servicio oculto de Tor ofrece más protección contra amenazas que una sesión HTTPS estándar?

makerofthings7 escribió:

  

parece que TOR es mejor / más seguro, ya que no usa DNS y no depende de las CA

Así como, en última instancia, es responsabilidad del usuario verificar un certificado TLS antes de aceptarlo, es responsabilidad del usuario verificar que la dirección deseada sea una dirección de cebolla. Comenzando con

• (a) Conozco una dirección de cebolla
• (b) Conozco un nombre de dominio regular (por ejemplo, "google.com")

usted está afirmando, por hipótesis:

• (a) He resuelto un problema difícil
• (b) Tengo todavía para resolver un problema complicado

y (a) implica directamente más seguridad que (b) debido a la hipótesis más sólida.

Pero decir (a) en realidad significa " Sé cómo resolver problemas difíciles ", por lo que también debería poder resolver (b). IOW, si puede obtener de manera confiable una dirección de correo electrónico (por ejemplo, una persona cuya voz conoce), debería poder obtener de manera confiable una huella digital de certificado TLS del sitio web por el mismo proveedor.

Pero probablemente esté confiando en algún recurso de Internet (sitio web, mensaje de Usenet, correo electrónico ...) para conocer la dirección de la cebolla:

• (1) ¿confía en el autor reclamado del mensaje?
• (2) ¿confía en que el mensaje fue realmente escrito por este autor?

Tal vez el mensaje se encontró en un sitio web de HTTPS, y está de vuelta con:

• (a) verificar que el propietario del sitio web es la persona en la que confía
• (b) el sitio web que ve es el sitio web real, IOW que el certificado TLS es válido.

Tal vez el mensaje se encontró en un correo electrónico, y usted debe verificar la firma PGP / GPG (o S / MIME). Entonces vuelve con: ¿quién es el propietario de esta firma PGP / GPG / S / MIME? En cualquier caso, necesita un ancla de confianza .

Ningún protocolo o herramienta criptográfica solo resuelve este problema, ya que no es una cuestión algorítmica, es una cuestión de comprobación de hechos , hechos como " esta clave realmente pertenece a esta persona ", y en la mayoría de los casos confiando en otros para que verifiquen el hecho , a menos que pueda reunirse con el tipo en persona y preguntarle su huella digital clave, lo que, honestamente, rara vez es el caso Banco y no tenían idea de cuál era la huella digital de la clave).

Un problema con HTTPS es que necesita confiar en la CA raíz. Y la mayoría de los navegadores tienen muchos de ellos por defecto.

Con los servicios ocultos de TOR, la propia dirección .onion contiene un hash de la clave pública del servidor, por lo que no necesita ninguna CA.

Pero el problema principal es que las direcciones .onion no son muy fáciles de usar. Entonces, el problema cambia para obtener / verificar que estás usando la dirección .onion correcta. Veo de un vistazo que stackexchange.com es el sitio que quiero, ya que es fácil de recordar. Recordar una dirección .onion por otro lado es difícil.

Algunos proyectos como namecoin pretenden crear una asociación segura de nombre fácil de usar y una clave pública. Pero ningún proyecto de este tipo está integrado todavía en TOR.

"más", sí. Pero eso no tiene sentido si la amenaza que intentas contrarrestar no es la vulnerabilidad que se está utilizando en tu contra.

Los ataques MITM son algo extraño de preguntar en los servicios ocultos de Tor. Si confías en el servicio oculto (tal vez conociste a alguien que te entregó un .onion url?), Y confías en tu cliente Tor (es decir, el MITM no te está alimentando binarios manchados), entonces, porque no estás tercerizando tu confianza para una Autoridad de Certificación, brinda protección contra "más" amenazas ... pero también lo haría un certificado autofirmado y un secreto precompartido o PGP.

Las respuestas específicas a sus preguntas serían:

• HTTPS también cifra el tráfico de extremo a extremo
• MITM se reduce en comparación con confiar en una CA si y solo si tiene un certificado compartido o .onion o algo así, de lo contrario, se está conectando a un servidor anónimo.
• No hay resolución de nombres equivalente en TOR (.onions son análogos a las direcciones de red)
• HTTPS tiene el riesgo adicional de confiar tradicionalmente en cada CA en el almacén de certificados de su navegador (a menos que usted firme)

¿Cómo se compara TOR HSP con HTTPS + IPSEC + DNSSec? A. Manzanas y naranjas. Uno proporciona comunicación anónima cifrada con servicios anónimos, el otro proporciona comunicaciones seguras con servicios donde se compró la confianza de las autoridades y los registradores (junto con las implicaciones de involucrar dinero en la relación de confianza).

¿Eres nuevo en Tor? suena como si pudieras confundir para qué está destinado.

Simplemente use Tor y haga un túnel a través de un proxy de Internet SSL / TLS. Solo asegúrese de que los túneles y los resolvedores de DNS estén configurados correctamente en ambos lados. Hay mucho que saber sobre estas cosas, y es mejor si puedes solucionar problemas, verificar y entender cada pequeño detalle.

Algunas herramientas como Qualys SSL Labs y sslstrip / ssldump son muy útiles.

Otra opción potencialmente mejor es utilizar algo como OpenVPN para tu propio nodo Tor oculto.

En otras palabras, no compare estas tecnologías; Combínalos.