为什么Tor用户应该保持警惕 - 彭博社
bloomberg
摄影：Getty Images周末在深网发生了一件大事——似乎一堆隐藏的网站消失了，可能是由于爱尔兰一个托管操作的关闭。这里有很多猜测，但这涉及到Tor浏览器捆绑包的可能泄露，这是一个常用于逃避在线监视的工具。
Tor是一个由志愿者托管的节点网络，旨在允许私密浏览——用户的浏览数据在随机节点之间跳转，以模糊该用户的身份。尽管它有许多积极的用途，例如帮助记者和异议人士在压制国家中低调行事，但Tor的特性也使其非常适合用于所谓的深网或黑暗网，这是一个与Google索引的在线世界平行的世界。
Tor最容易通过Tor浏览器捆绑包使用，该捆绑包包括一个基于Firefox的修改版浏览器——具体来说，它目前基于Firefox 17，这是最新的享有扩展支持的版本。访问深网网站的人，可能是一个促进毒品购买或儿童色情的非法网站，可能会使用这样的浏览器来找到他们想要的内容。内容通常存放在“.onion”网站上（这是对Tor分层安全方法的引用），只能以这种方式找到和访问。
那么让我们从我们所知道的开始。首先，Tor项目的志愿者在周日午夜开始 收到报告，称“大量隐藏服务地址已经完全从Tor网络中消失。” Tor的“phobos”在一篇博客文章中表示，这是由于一个隐藏服务托管公司被关闭所导致的。
与此同时，在周六，爱尔兰独立报 报道 美国正在寻求从爱尔兰引渡一名名叫Eric Eoin Marques的男子，他被指控参与在线传播儿童色情内容。这引起了 在Reddit上发布，主题为“自由托管的创始人被捕。”
现在，这里是我们退出可验证信息的世界。根据这种混淆，Marques经营着一个名为自由托管的隐藏服务主机，给任何想要它的人提供服务器空间，包括儿童色情网站。FBI关闭了他和他的服务，打击了非法网站，并且（一些人在随后的讨论中表示）关闭了半数的隐藏.onion网站。再次强调，确实很难准确确认这些细节。
然而，Tor项目的人对此事非常重视，并不是因为他们卷入了什么肮脏的事情——该项目与自由托管管理员之间绝对没有任何关联——而是因为一个广泛使用的Tor浏览器捆绑包可能存在一个侵犯隐私的漏洞。
这是Tor的phobos在星期天写的：
“在过去，对抗组织通常跳过尝试破解Tor隐藏服务，而是攻击位于点洋葱地址后面的服务器上运行的软件。针对PHP、Apache、MySQL和其他软件的漏洞远比针对Tor的漏洞更为常见。目前的消息表明，有人利用了Freedom Hosting背后的软件。
“根据目前所知，漏洞被用来以某种方式配置服务器，使其在交付给用户的网页中注入某种javascript漏洞。这个漏洞用于加载恶意软件负载，以感染用户的计算机。恶意软件负载可能试图利用Firefox 17 ESR [扩展支持版本]中的潜在漏洞，而我们的Tor浏览器正是基于此。我们正在调查这些漏洞，如果可以的话会修复它们。”
Mozilla还发布了一篇 简短的博客文章，表示它已“被通知Firefox 17中存在潜在的安全漏洞，并正在对此进行调查。”
根据安全专业人士的说法 引用的专家Brian Krebs，通过Firefox 17漏洞潜入的恶意软件实际上并不执行任何命令。相反，它只是找出用户的真实IP地址，可能是为了识别他们。这与它来自执法部门而非犯罪世界的观点一致，并且与所谓的儿童色情内容删除链接相符。尽管如此，这并不能直接证明Reddit的传闻。
顺便提一下，似乎最新版本的Firefox——甚至最新版本的Tor浏览器捆绑包——都没有这个漏洞。
这一事件突显了追求在线匿名性所面临的一个重大问题：虽然有些人希望出于合法和积极的目的获得隐私，但其他人则希望利用隐私掩盖非法和有害的活动。这种紧张关系的表现方式在很大程度上将决定在线自由的未来。
它还提醒我们，Tor并不一定是解决在线隐私问题的万灵药。虽然该服务可以在很大程度上逃避监视，但缺陷偶尔会出现。
正如安全专家艾伦·伍德沃德 在六月所写，Tor志愿者是匿名的，因此实际上存在许多节点可能是诱捕的真实风险。也就是说，Tor在节点之间的随机路由使得任何人以这种方式针对特定个体的可能性不大，除非他们控制了大量的Tor节点。数据的加密也会减轻这一风险。
此外，伍德沃德指出，深网页面上的JavaScript或Flash插件漏洞也可能带来风险。Tor浏览器捆绑包默认禁用JavaScript和插件，但“任何在网上浏览过的人都知道，安装附加组件或启用JavaScript以访问内容的诱惑是很大的。”
简而言之，对于这个周末的行动，关于发生了什么和谁参与了的确实信息太少，无法准确说明，但——尽管存在混乱——如果你严重依赖Tor来逃避窥探的目光，还是要保持警惕。
来自GigaOM的更多信息：
为什么企业应该考虑软件定义的数据中心技术 （需要订阅）
从DIAL到Chromecast，Netflix和谷歌如何拯救电视