Ako sú onion odkazy Dread Forum štruktúrované a čo jednotlivé časti znamenajú

Adresa .onion funguje ako smerovací štítok, nie ako názov. V sieti Tor adresa kóduje kryptografickú identitu skrytej služby, konkrétne materiál verejného kľúča, ktorý klienti používajú na nadviazanie spojenia bez toho, aby sa dozvedeli, kde sa server fyzicky nachádza. Keď niekto vidí dreadytofatroptsdj6io7l3xptbet6onoyno2yv7jicpljscs7k7y7iqid.onion alebo kratší reťazec z éry v2, pozerá sa na odvodenú podobu tejto identity, skrátenú alebo naformátovanú na praktické použitie. Táto „náhodnosť“ je systematická: akákoľvek zmena kľúča úplne zmení adresu a žiadne dve služby nemôžu mať rovnakú adresu, pokiaľ nezdieľajú rovnaký súkromný kľúč.

Je to dôležité, pretože rozpoznanie závisí od reprodukovateľnej štruktúry, nie od vizuálnej známosti. Človek si nemôže zmysluplne zapamätať dlhý base32 reťazec tak, ako si pamätá clearnetovú doménu. Namiesto toho sa spolieha na vzťah medzi adresou, publikovanou identitou služby a cestou, ktorou ju získal. Adresa je bližšie k odtlačku verejného kľúča než k názvu značky.

• Adresa dokazuje kryptografickú identitu, nie reputáciu
• Adresa je samopotvrdzujúca
• Adresa je citlivá na presný prepis
• Adresa vychádza z pravidiel protokolu, nie z ľudských preferencií

V praxi to znamená, že používatelia by mali onion adresu považovať za verifikačný cieľ, a nie za heslo alebo štítok záložky. Reťazec je bez dôveryhodného kontextu bezvýznamný: kde bol prvýkrát zverejnený, či sa zhoduje s adresou zobrazenou uloženým deskriptorom služby a či celá URL obsahuje správny protokol a cestu. Holý reťazec, ktorý sa objaví v správe, takýto kontext neponúka.

Úplný Dread odkaz je malý reťazec rozhodnutí, nie jeden nepriehľadný celok. Keď ho čítate kúsok po kúsku, každá časť buď lokalizuje službu, vyberá spôsob prenosu, alebo určuje hranicu toho, čomu sa práve chystáte dôverovať. Návyk čítať celú URL adresu je dôležitý, pretože zásadná zmena v ktorejkoľvek časti môže ukazovať na iný cieľ bez toho, aby sa zmenila viditeľná podobnosť reťazca.

Prvý viditeľný prvok je protokol: http:// alebo, menej často, https://. V relácii prehliadača Tor je http:// pri onion službe už aj tak prenášané v šifrovanom okruhu Tor, takže absencia https:// neznamená, že sa stránka medzi vami a skrytým serverom posiela ako obyčajný text. Označenie protokolu len hovorí prehliadaču, ktorú miestnu konvenciu na úrovni aplikácie má použiť. Berte ho ako vonkajší rámec, nie ako samotný certifikát dôvery.

Názov hostiteľa je dlhá časť .onion. Toto nie je bežný názov domény a neprekladá sa cez verejný DNS. Kóduje kryptografickú identitu služby, takže zmena čo i len niekoľkých znakov vytvorí úplne inú skrytú službu. Keď čítate odkaz, názov hostiteľa by ste mali vnímať ako primárne pole identity, zatiaľ čo všetko okolo neho ako cestu ku konkrétnej funkcii v rámci tejto služby.

Za názvom hostiteľa sa môže objaviť port oddelený dvojbodkou. V mnohých odkazoch v štýle Dreadu je predvolený port implicitný, ale keď zrkadlo používa nepredvolený port, tento údaj je súčasťou adresy. Nesprávny alebo chýbajúci port môže spôsobiť, že fungujúca onion adresa vyzerá pokazene, alebo vás môže poslať k inému poslucháču na tej istej identite hostiteľa.

Cesta nasleduje za prvou jednoduchou lomkou za hostiteľom alebo portom. Tu URL prestáva opisovať ktorú službu a začína opisovať kam v rámci služby sa chcete dostať. Cesta ako používateľský profil, vlákno príspevkov alebo front na moderovanie má zmysel až potom, keď ste si istí názvom hostiteľa.

Poradie čítania ako mentálny model

Ľudia často berú adresu .onion ako jednu generáciu reťazca: kratšiu verzus dlhšiu, starú verzus novú. V praxi je však rozdiel hlbší: mení sa tým, ktorá časť adresy nesie kryptografickú záruku a ktorú časť dokážu vaše oči reálne porovnávať medzi jednotlivými reláciami.

Adresa v2 je zostavená zo skráteného hashu verejného kľúča RSA. Časť s názvom hostiteľa je krátka, zvyčajne 16 alfanumerických znakov, za ktorými nasleduje .onion. Kompaktná dĺžka uľahčovala písanie, no zároveň uľahčovala kolízie: útočník s dostatočným výpočtovým výkonom mohol vygenerovať druhý kľúč, ktorého skrátený hash sa zhodoval s viditeľným reťazcom cieľa. Overovanie sa tak stalo pascou. Človek nedokázal posúdiť, či je reťazec v2 „dosť podobný“ tomu uloženému, pretože úplná kryptografická identita na obrazovke ani nebola prítomná.

Adresa v3 to rieši použitím inej konštrukcie: celý verejný kľúč skrytej služby je zakódovaný priamo do názvu hostiteľa a následne reprezentovaný v kódovaní Base32. Výsledkom je 56 znakov pred .onion. Nič nie je skrátené. To znamená, že viditeľný reťazec nie je skratkou pre kľúč; je to samotný kľúčový materiál vykreslený v abecede, ktorú človek dokáže vnímať. Jediný zmenený znak zvyčajne znamená úplne inú službu, nie preklep tej istej.

Praktický dôsledok pre čitateľov Dread Forumu je ten, že adresa v3 odmeňuje presné porovnávanie reťazcov. Zvyk z éry v2 — kontrola prvých a posledných pár znakov — mal zmysel len preto, že stred bol príliš neprehľadný na čítanie. Pri v3 je celý 56-znakový blok odtlačkom. Ak si ho raz uložíte zo zdroja, ktorému už dôverujete, a potom ho porovnáte celý, samotná tvorba adresy za vás odvedie časť overovacej práce.

Útržok ako dreadtoobigfes3...onion môže vyzerať úplne, ale tvrdenie o overení založené na tomto holom reťazci ignoruje štruktúru celej Tor URL. Dve služby môžu uvádzať rovnaký názov hostiteľa, pričom sa líšia v schéme, ceste alebo porte, a každý rozdiel mení skutočný cieľ, ku ktorému sa prehliadač pokúša pripojiť.

Kde sa slabé klony prezrádzajú

Klony často skopírujú známy názov hostiteľa a tam skončia. Plná URL obsahuje ďalšie referenčné body, ktoré holý reťazec odstraňuje: http:// oproti http:// s koncovou cestou, presnú pozíciu hlavného adresára a akúkoľvek príponu portu alebo služby. Fórum, ktoré zrazu vyžaduje /login pred štandardným indexom alebo sa presunie z kanonickej cesty do neohláseného podadresára, už nie je tým istým koncovým bodom, aj keď sa názov hostiteľa zhoduje znak po znaku.

1. Holý názov hostiteľarovnako sedí na klon aj originál, pretože klon používa presne tie isté znaky
2. Plná cestaodhalí dodatočné presmerovanie alebo iný vstupný adresár na falošnej kópii
3. Prvky portu a subdoményprinútia klon vysvetliť, prečo sa jeho štruktúra líši od referencie, ktorú si pamätáte
4. Úplná URLsa stáva jediným objektom, ktorý sa oplatí uložiť do záložiek, pretože každá jej súčasť musí zostať konzistentná

Pre bežných používateľov to nie je technická záľuba. Je to ten istý dôvod, prečo poštová adresa obsahuje číslo domu, a nie iba názov mesta: široká časť sa dá ľahko napodobniť, zatiaľ čo konkrétna časť nesie skutočné rozhodnutie o smerovaní.

Overovací rutina nie je jedna kontrola; je to krátky sled úkonov, ktorý z celého onion URL urobí stabilný referenčný bod ešte pred začiatkom každej relácie. Cieľom je, aby sa nezrovnalosti okamžite ukázali, nie dokázať pravosť odkazu jedným pohľadom.

Trojdielna kontrola pred každou reláciou

1. Prečítajte si celé URL ako tri poliaprotokol + názov hostiteľa + cesta, pričom ignorujte ozdoby, ako sú koncové lomky alebo kotvy
2. Porovnajte názov hostiteľa znak po znakureťazec v3 medzi http:// a prvým .onion sa musí presne zhodovať s predtým uloženou referenciou
3. Skontrolujte poradie a veľkosť písmen v cesteštruktúra trás Dreadu je predvídateľná, takže neočakávaný segment alebo adresár navyše je signál na zastavenie
4. Potvrďte presný vstupný boduprednostnite uloženú vstupnú cestu pred hlbším odkazom prijatým z četu alebo zo zoznamu na trhovisku

Táto rutina je dôležitá, pretože časť URL s názvom hostiteľa je to, kam sieť Tor skutočne smeruje, zatiaľ čo cesta je to, čo dostane webová aplikácia. Odkaz, ktorý zachová správny názov hostiteľa, ale zmení cestu, môže viesť k inému zobrazeniu, výzve alebo formuláru na nahrávanie na tej istej skrytej službe. Odkaz, ktorý zmení čo i len jeden znak názvu hostiteľa, vedie úplne inde.

BLOCKQUOTE

BLOCKQUOTE

Keď niektorá časť nesedí

• MomentNázov hostiteľa sa o jeden alebo viac znakov líši od referencie ;; Akcia
• MomentCesta obsahuje segmenty navyše, iný vzor veľkých písmen alebo výzvu na prihlásenie mimo očakávaného priebehu ;; Akcia
• MomentStránka sa načíta, ale pýta si informácie, ktoré bežná vstupná stránka nikdy nežiada ;; Akcia

Dôvod tohto opatrného prístupu je štrukturálny: skryté služby nemajú verejnú certifikačnú autoritu, ktorá by potvrdzovala identitu tak, ako pri bežných webových stránkach. Samotný názov hostiteľa je identita. Preto akúkoľvek viditeľnú odchýlku treba považovať za hraničnú udalosť, nie za preklep, ktorý treba ručne opraviť.

Súvisiace