انجمن‌های فارسی اوبونتو
کمک و پشتیبانی => شبکه و سرویس دهنده‌ها => نویسنده: kamnazir در 15 مهر 1397، 08:52 ق‌ظ
-
فکر میکنم مشکل مربوط به گواهی نامه ها (certificate) و اتصالات HTTPS باشه، فکر میکنم این دو مرورگر از مکانیزم‌های متفاوتی برای اجرای آنها استفاده میکنند.
دقیقا همین‌طور که دوستمون گفتن مشکل از بعضی گواهینامههای SSL هست که متاسفانه ما رو تحریم کردن!
اینکه کروم و فایرفاکس رفتار متفاوتی از خودشون نشون میدن هم بر می‌گرده به سخت‌گیری زیاد کروم
اینکه با بعضی از ISPها مشکل نداره، بخاطر استفاده اونا از سرورهای خارج از کشور (مثلا امارات برای همراه اول) هست.
حل مشکل هم خیلی راحته.
با https://shecan.ir (https://shecan.ir) و تغییر دی‌ان‌اس دیگه این مشکل پیش نمی‌آد
-
حل مشکل هم خیلی راحته.
با https://shecan.ir (https://shecan.ir) و تغییر دی‌ان‌اس دیگه این مشکل پیش نمی‌آد
این کار و استفاده از سرویس‌های این چنینی روی کل کامپیوتر اصلا کار درستی نیست و کاملا امنیت‌تون رو به خطر می‌اندازه و جدا توصیه میکنم تحت هیچ شرایطی این کار رو انجام ندین!
-
فکر میکنم مشکل مربوط به گواهی نامه ها (certificate) و اتصالات HTTPS باشه، فکر میکنم این دو مرورگر از مکانیزم‌های متفاوتی برای اجرای آنها استفاده میکنند.
دقیقا همین‌طور که دوستمون گفتن مشکل از بعضی گواهینامههای SSL هست که متاسفانه ما رو تحریم کردن!
اینکه کروم و فایرفاکس رفتار متفاوتی از خودشون نشون میدن هم بر می‌گرده به سخت‌گیری زیاد کروم
اینکه با بعضی از ISPها مشکل نداره، بخاطر استفاده اونا از سرورهای خارج از کشور (مثلا امارات برای همراه اول) هست.
حل مشکل هم خیلی راحته.
با https://shecan.ir (https://shecan.ir) و تغییر دی‌ان‌اس دیگه این مشکل پیش نمی‌آد
متوجه نشدم ... اگر مشکل تحریمه پس باید همه جا اینجور باشه. دوستان میگن اینترنت ایرانسل توی ویندوز مشکلی نداره ولی توی لینوکس ایراد پیدا میکنه. اینجا مشخصا سایت گیت هاب و مرورگر کروم ذکر شده ولی چندجای این انجمن گفتن مشکل کلیه و بعضی سایت‌ها با تأخیر باز میشه ولی توی ویندوز مشکلی وجود نداره.
این کار و استفاده از سرویس‌های این چنینی روی کل کامپیوتر اصلا کار درستی نیست و کاملا امنیت‌تون رو به خطر می‌اندازه و جدا توصیه میکنم تحت هیچ شرایطی این کار رو انجام ندین!
دوست عزیز گواهینامههای SSL تغییری پیدا نمیکنن. اگر سایت‌های بازدید پروتکل HTTPS بازدید بشن به نظر من مشکلی نداره.
-
دوست عزیز گواهینامههای SSL تغییری پیدا نمیکنن. اگر سایت‌های بازدید پروتکل HTTPS بازدید بشن به نظر من مشکلی نداره.
می‌تونن به راحتی یه log از تمام سایت‌هایی که مراجعه میکنید، ذخیره کنن. برای اینکار فقط کافیه که log مربوطه به DNS translation requests ها رو ذخیره کنن. من هم اصلا توصیه به استفاده از این سایت نمی‌کنم. یا حتی ممکنه که به سایت‌های fake شما رو ببرن. همه چیز ممکنه.
-
دقیقا همین‌طور که دوستمون گفتن مشکل از بعضی گواهینامههای SSL هست که متاسفانه ما رو تحریم کردن!
دقیقا میشه بگی که چجوری میشه یه گواهینامه که صادر شده رو تحریم کرد؟؟؟
-
دوست عزیز گواهینامههای SSL تغییری پیدا نمیکنن. اگر سایت‌های بازدید پروتکل HTTPS بازدید بشن به نظر من مشکلی نداره.
می‌تونن به راحتی یه log از تمام سایت‌هایی که مراجعه میکنید، ذخیره کنن. برای اینکار فقط کافیه که log مربوطه به DNS translation requests ها رو ذخیره کنن. من هم اصلا توصیه به استفاده از این سایت نمی‌کنم. یا حتی ممکنه که به سایت‌های fake شما رو ببرن. همه چیز ممکنه.
دوست عزیز درخواست‌های DNS شما در مرحله‌ی اول امکان مانیتور توسط خود ISP شما رو داره پس اگر نگرانی از این بابت هست باید از ISP خود هم نگران باشید.
دوم اینکه اگر از دامنه‌ای با پروتکل HTTPS بازدید بشه امکان تغییر مسیر شما به سایت‌های fake وجود نداره چون گواهینامههای SSL مخصوص دامنه‌ی تعریف شده هست و باید کلیدهای خصوصی گواهینامه در اختیار سایت جعلی باشه.
-
دوست عزیز درخواست‌های DNS شما در مرحله‌ی اول امکان مانیتور توسط خود ISP شما رو داره پس اگر نگرانی از این بابت هست باید از ISP خود هم نگران باشید.
با استفاده از تور این امکان وجود نداره :)
دوم اینکه اگر از دامنه‌ای با پروتکل HTTPS بازدید بشه امکان تغییر مسیر شما به سایت‌های fake وجود نداره چون گواهینامههای SSL مخصوص دامنه‌ی تعریف شده هست و باید کلیدهای خصوصی گواهینامه در اختیار سایت جعلی باشه.
بله درسته اما همه‌ی سایت‌ها ممکنه گواهی ssl نداشته باشن! همچنین خیلی راحت می‌تونن بفهمن شما به چه سایت‌هایی می‌رین و چیکار می‌کنین ! به فلان سرویس (مثلا همین شکن) چه ربطی داره که من چه سایتی میرم؟! این نقض حریم خصوصیه تو روز روشن!
-
با استفاده از تور این امکان وجود نداره :)
یعنی شما تضمین میکنید که سرورهای تور داده‌هایی رو که منتقل میکنن لاگ نمیکنند؟!!! داده‌ای که جابجا میشه اگر رمزنگاری End-to-End نشده باشه توسط هر واسط میانی قابل روئیته. چه ISP باشه چه سرورهای تور ...
بله درسته اما همه‌ی سایت‌ها ممکنه گواهی ssl نداشته باشن! همچنین خیلی راحت می‌تونن بفهمن شما به چه سایت‌هایی می‌رین و چیکار می‌کنین ! به فلان سرویس (مثلا همین شکن) چه ربطی داره که من چه سایتی میرم؟! این نقض حریم خصوصیه تو روز روشن!
شما اگر سایتی رو که پروتکل SSL نداشته باشه بازدید بکنید از طرف ISP و چه بسا شبکه‌ی محلی خودتون قابل ردگیری هست. وقتی از ابتدای مسیر ترافیک شبکه امکان ردگیری داده‌های غیر رمزنگاری وجود داره نگرانی در مورد سروریس‌های انتهایی مثل این مورد چه فایده‌ای داره؟! مثل این میمونه که آبی که از سرچشمه امکان آلودگی داره ولی شما نگران آلودگی دریاچه‌ی پایین دست اون باشید!!!
-
دوست عزیز درخواست‌های DNS شما در مرحله‌ی اول امکان مانیتور توسط خود ISP شما رو داره پس اگر نگرانی از این بابت هست باید از ISP خود هم نگران باشید.
حرف شما کاملا درست هست، بالاخره یکی باید دامنه‌ها رو به آی‌پی مربوط به اون سایت ترجمه کنه و ما رو به وب‌گاه مورد نظر وصل کنه. وقتی که به صورت عادی وصل میشیم این کار رو ISPها انجام میدن. ولی وقتی که مثلا از VPN استفاده می‌کنیم، ISP فقط می‌تونه ببینه که ما به وی‌پی‌ان وصل شدیم و داریم داده رد و بدل می‌کنیم ولی نمی‌دونه که ما به چه وب‌گاه‌هایی وصل میشیم یا چه داده‌هایی رو داریم رد و بدل می‌کنیم.
این سایت که دوستمون معرفی کرده، داره به صورت کاملا واضح میگه که از وی‌پی‌ان استفاده نکنید و از من استفاده کنید! چون داره کاربران رو به نوعی گول می‌زنه و میگه که ویروس می‌گیرید و هزارتا مزخرف دیگه. این مساله هست که من رو مشکوک میکنه، جمله‌های زیر به نقل از اینجا (https://shecan.ir/shecan.pdf) هست
* در مقایسه با راهکارهای جایگزین (مانند فیلترشکن و VPN)، از امنیت برخوردار است. !!!!!
* یا میگه اگه از وی‌پی‌ان استفاده کنید ممکنه که ویروس بگیرید!
* یا در دام کلاهبردارها بیوفتید چون وقتی از وی‌پی‌ان استفاده میکنید بقیه سایت‌ها فیلتر نیستن!!!!!
-
... ولی وقتی که مثلا از VPN استفاده می‌کنیم، ISP فقط می‌تونه ببینه که ما به وی‌پی‌ان وصل شدیم و داریم داده رد و بدل می‌کنیم ولی نمی‌دونه که ما به چه وب‌گاه‌هایی وصل میشیم یا چه داده‌هایی رو داریم رد و بدل می‌کنیم.
شما تضمین میکنید سرویس دهنده‌ی VPN داده‌های شما رو نمی‌دزده؟!!! بعید میدونم کسی بتونه تضمین کنه. چه داده‌ها دست ISP باشه چه دست سرویس دهنده‌ی vpn چه دست سرویس shekan فرقی میکنه؟!
این سایت که دوستمون معرفی کرده، داره به صورت کاملا واضح میگه که از وی‌پی‌ان استفاده نکنید و از من استفاده کنید! چون داره کاربران رو به نوعی گول می‌زنه و میگه که ویروس می‌گیرید و هزارتا مزخرف دیگه.
* در مقایسه با راهکارهای جایگزین (مانند فیلترشکن و VPN)، از امنیت برخوردار است. !!!!!
* یا میگه اگه از وی‌پی‌ان استفاده کنید ممکنه که ویروس بگیرید!
* یا در دام کلاهبردارها بیوفتید چون وقتی از وی‌پی‌ان استفاده میکنید بقیه سایت‌ها فیلتر نیستن!!!!!
سرویس‌های VPN اگر داده‌های شما تا مقصد رمزنگاری نشوند براحتی قابل دستکاری و تغییر و دزدی توسط VPN هستند. فرق صحبت‌های شما با مطالب سرویس shekan چیست؟! شما هم میگویید VPN امن است و ویروس نمیگیرد در صورتی که خلاف واقع است. (تعجب میکنم که احتمال آلودگی برخی VPNها به ویروس و محتوای تبلیغاتی رو مزخرف میدونید!!!)
-
یعنی شما تضمین میکنید که سرورهای تور داده‌هایی رو که منتقل میکنن لاگ نمیکنند؟!!! داده‌ای که جابجا میشه اگر رمزنگاری End-to-End نشده باشه توسط هر واسط میانی قابل روئیته. چه ISP باشه چه سرورهای تور ...
سرورهای تور؟!
بد نیست یه نگاهی به چگونگی کارکرد تور بندازین.
سرویس‌های VPN اگر داده‌های شما تا مقصد رمزنگاری نشوند براحتی قابل دستکاری و تغییر و دزدی توسط VPN هستند. فرق صحبت‌های شما با مطالب سرویس shekan چیست؟! شما هم میگویید VPN امن است و ویروس نمیگیرد در صورتی که خلاف واقع است. (تعجب میکنم که احتمال آلودگی برخی VPNها به ویروس و محتوای تبلیغاتی رو مزخرف میدونید!!!)
اینجا چندتا مسئله پیش میاد:
اول اینکه قرار نیست از وی پی ان‌های بی در و پیکر استفاده کنیم. وی‌پی‌ان‌هایی مثل openvpn یا shadowsocks ساز و کارشون مشخصه و می‌دونیم از این اتفاقا نمی‌افته.
حالا اینکه برین از هر نرم افزاری که به عنوان وی پی ان یا فیلترشکن به خوردتون میدن استفاده کنین و اصلا ندونین پشت قضیه چیه، منطقا باید انتظار این چیزا رو هم داشته باشین.
دوما اینکه خارج از همه‌ی این موضوعات ایران کشوری نیست که بشه به سرویس‌های این چنینی‌ش اعتماد کرد چرا که رعایت حریم خصوصی در ایران یه جورایی خیلی غیرمستقیم جرم محسوب میشه :)))) من خودم شخصا ترجیح میدم اگه اطلاعاتی از من قراره لاگ شه توی یه کشوری باشه که به کسی آسیب نمی‌زنن و داخل ایران و دست سرویس‌های این چنینی ایرانی نباشه :) و چه بسا با رعایت یه سری نکات امنیتی دست همون کشورای دیگه هم نمی‌افته ؛)
**تاپیک هم داره از موضوع اصلیش خارج میشه. اگه این موضوع براتون جالبه می‌تونین یه تاپیک مربوط بزنین که اونجا بحث ادامه پیدا کنه.**
-
سرورهای تور؟!
بد نیست یه نگاهی به چگونگی کارکرد تور بندازین.
دوست عزیز من از روی بیسوادی چیزی نگفتم! نمیدونم از شبکه‌ی تور چه تصور اتوپیا و آرمان‌شهرگونه‌ای دارید. ساده‌نگر نباشید، فقط یک نمونه عرض میکنم:
سال ۲۰۰۷ یک متخصص سوئدی با مونیتور کردن ترافیک خروجی نودهای شبکه‌ی تور نام کاربری و پسورد حساب‌های ایمیل رو جمع آوری کرد. اطلاعات بیشتر: (https://goo.gl/Eqzpv5)
... اول اینکه قرار نیست از وی پی ان‌های بی در و پیکر استفاده کنیم. وی‌پی‌ان‌هایی مثل openvpn یا shadowsocks ساز و کارشون مشخصه و می‌دونیم از این اتفاقا نمی‌افته...
این مواردی که ذکر کردید پروتکل هستند. راه ارتباطی هستند. فقط داده‌ها رو تا سرویس دهنده‌ی VPN میرسونند و تمام. از اونجا به بعدش رو شما خبر داری چی میشه؟!!!
-
سال ۲۰۰۷ یک متخصص سوئدی با مونیتور کردن ترافیک خروجی نودهای شبکه‌ی تور نام کاربری و پسورد حساب‌های ایمیل رو جمع آوری کرد. اطلاعات بیشتر: (https://goo.gl/Eqzpv5)
بله درسته از این موارد هم پیش میاد اما اینطوری بخوایم حساب کنیم سرویس‌هایی مثل شکن بسیار نا امن‌تر هستن. حرف من این نبود که تور کاملا امنه و مو لا درزش نمیره و از اینجور حرفا ...
در واقع من به مسائل این چنینی اینجوری نگاه میکنم که یه سرویسی هست که مطمئنم با استفاده از اون امنیت و حریم خصوصیم کاملا زیر سوال میره و در مقابل یه سرویسی هم هست که مطمئن نیستم این مشکلات برام به وجود بیاد.
همچنین چون تور آزاده حداقلش اینه می‌دونیم چجوری کار میکنه و چیکار میکنه. اما سرویسی مثل شکن واقعا اینطور نیست و هیچ درکی از این که پشت قضیه داره چه اتفاقی می‌افته نداریم.
این مواردی که ذکر کردید پروتکل هستند. راه ارتباطی هستند. فقط داده‌ها رو تا سرویس دهنده‌ی VPN میرسونند و تمام. از اونجا به بعدش رو شما خبر داری چی میشه؟!!!
خیر مثلا openvpn پروتکل نیست. طبق ویکی پدیا:
OpenVPN is a free and open-source software application that implements virtual private network (VPN) techniques to create secure point-to-point or site-to-site connections in routed or bridged configurations and remote access facilities. It uses a custom security protocol[9] that utilizes SSL/TLS for key exchange. It is capable of traversing network address translators (NATs) and firewalls. It was written by James Yonan and is published under the GNU General Public License (GPL).[10]
-
بله درسته از این موارد هم پیش میاد اما اینطوری بخوایم حساب کنیم سرویس‌هایی مثل شکن بسیار نا امن‌تر هستن. حرف من این نبود که تور کاملا امنه و مو لا درزش نمیره و از اینجور حرفا ...
در واقع من به مسائل این چنینی اینجوری نگاه میکنم که یه سرویسی هست که مطمئنم با استفاده از اون امنیت و حریم خصوصیم کاملا زیر سوال میره و در مقابل یه سرویسی هم هست که مطمئن نیستم این مشکلات برام به وجود بیاد.
همچنین چون تور آزاده حداقلش اینه می‌دونیم چجوری کار میکنه و چیکار میکنه. اما سرویسی مثل شکن واقعا اینطور نیست و هیچ درکی از این که پشت قضیه داره چه اتفاقی می‌افته نداریم.
تور، openvpn، ... تا وقتی ارتباط شما رمزنگاری e2e نباشه هر کسی ممکنه اطلاعات شما رو بین مسیر بدزده. شما حفاظتی از حریم خصوصی و امنیت نکردید. صرفا اطلاعات خودتون رو به جای ISP دودستی تقدیم سرویس دهنده‌های VPN کردید. گول لغات خوش رنگ و لعاب مثل نرم‌افزار آزاد و ... نخورید. شما از پشت پرده‌ی نودهای شبکه‌ی تور هم خبر ندارید (ظاهرا مقاله رو هم درست مطالعه نکردید.)
افرادی که داوطلبانه نودهای تور راه‌اندازی میکنن یا به صورت کلی سرویس‌های رایگان VPN ارائه میدن بدون هزینه؛ مطمئنا استفاده‌های دیگه‌ای رو میبرن.
کسی که خدمات رایگان ارائه میکنه قطعا بیشتر احتمال سوءاستفاده از داده‌های جمع‌اوری شده داره تا ISP که سود خودش رو از قبل درآورده.
خیر مثلا openvpn پروتکل نیست. طبق ویکی پدیا:
ببخشید پس چی هستن؟!
خودتون نقل قول ویکیپدیا رو خوندین؟!
...It uses a custom security protocol[9] that utilizes SSL/TLS for key exchange...
-
تور، openvpn، ... تا وقتی ارتباط شما رمزنگاری e2e نباشه هر کسی ممکنه اطلاعات شما رو بین مسیر بدزده. شما حفاظتی از حریم خصوصی و امنیت نکردید. صرفا اطلاعات خودتون رو به جای ISP دودستی تقدیم سرویس دهنده‌های VPN کردید. گول لغات خوش رنگ و لعاب مثل نرم‌افزار آزاد و ... نخورید. شما از پشت پرده‌ی نودهای شبکه‌ی تور هم خبر ندارید (ظاهرا مقاله رو هم درست مطالعه نکردید.)
سرویس دهنده‌ی وی پی ان رو چیکار داریم؟ رو سرور شخصی خودمون و برای خودمون اوپن وی پی ان راه می‌اندازیم! من منظورم این نبود بریم از سرویس دهنده‌های وی پی ان خرید کنیم. منظورم این بود نرم افزارهایی مثل اوپن وی پی ان آزاد هستند و می‌دونیم داریم چی اجرا می‌کنیم و قراره برامون چیکار کنن.
نرم افزار آزاد هم فقط اسمش خوش رنگ و لعاب نیست. این روزا تنها راهی که می‌تونین حریم خصوصی‌تون رو باهاش حفظ کنین همین نرم افزار آزاد هست.
مقاله رو هم گذرا مطالعه کردم. (قبلا هم مقاله‌ای با همین عنوان توی یه سایت دیگه خونده بودم.) همونطور که گفتم منم نمی‌گم مو لای درز تور نمیره، حفره‌های امنیتی همیشه و همه جا پیدا میشن، اما حداقلش اینه که می‌دونیم امن تر از سرویس‌هایی مثل شکن هست که تابلو هست یه هدفی دارن :)
افرادی که داوطلبانه نودهای تور راه‌اندازی میکنن یا به صورت کلی سرویس‌های رایگان VPN ارائه میدن بدون هزینه؛ مطمئنا استفاده‌های دیگه‌ای رو میبرن.
سرویس‌های وی پی ان به کنار و میشه تا حدی قبول کرد حرف‌تون رو، اما تور خیلی جدی‌تر از این حرفاست که هر کسی بیاد یه نود بزنه و برای خودش اطلاعات مردم رو جمع کنه :) با یه مقاله‌ای که حدود 12 سال پیش نوشته شده نمی‌شه همچین نتیجه گیری‌ای کرد.
ببخشید پس چی هستن؟!
خودتون نقل قول ویکیپدیا رو خوندین؟!
بله، خوندم و فرستادم شما هم بخونین. :)
اوپن وی پی ان در مرحله‌ی اول یک نرم افزار آزاد در جهت راه اندازی شبکه‌ی خصوصی مجازی (VPN) با یک پروتکل سفارشی هست که این پروتکل از SSL / TLS برای تبادل کلید استفاده میکنه.
-
... مقاله رو هم گذرا مطالعه کردم. (قبلا هم مقاله‌ای با همین عنوان توی یه سایت دیگه خونده بودم.) همونطور که گفتم منم نمی‌گم مو لای درز تور نمیره، حفره‌های امنیتی همیشه و همه جا پیدا میشن ...
بله گذرا مطالعه کردید. مسئله یکی دوتا حفره امنیتی کوچیک نبود.
... تور خیلی جدی‌تر از این حرفاست که هر کسی بیاد یه نود بزنه و برای خودش اطلاعات مردم رو جمع کنه :) با یه مقاله‌ای که حدود 12 سال پیش نوشته شده نمی‌شه همچین نتیجه گیری‌ای کرد.
هر جور خودتون میدونید. به نظرم به صورت فنی و تخصصی به قدر کافی بحث شد در این مورد.
-
بحث جالبی بود خواستم منم وارد شم
دوست عزیز درخواست‌های DNS شما در مرحله‌ی اول امکان مانیتور توسط خود ISP شما رو داره پس اگر نگرانی از این بابت هست باید از ISP خود هم نگران باشید.
دقیقا برای همین گفته می شه از Tor و Tor dns استفاده کنین
سال ۲۰۰۷ یک متخصص سوئدی با مونیتور کردن ترافیک خروجی نودهای شبکه‌ی تور نام کاربری و پسورد حساب‌های ایمیل رو جمع آوری کرد. اطلاعات بیشتر: (https://goo.gl/Eqzpv5)
تنها و تنها exit node های تور به دیتا خام دسترسی دارن
این فرد هم کار خاصی نکرده فقط از همین قضیه استفاده کرده زمانی می تونیم این رو ایراد شبکه تور مطرح کنیم که فرد مثلا از طریق پل ها و یا رله های میانی داده ها رو اسنیف می کرد وگرنه با یه آشنایی سطحی از شبکه ی تور همه می دونن که رله های خروجی می تونن به دیتاها دسترسی داشته باشن.
بحث سر اینه که آیا می تونن این اطلاعات رو لاگ کنن ؟
جواب خیر هستش چون رله های خروجی به ip شما دسترسی ندارن و نمی دونن فلان سایت توسط چه کسی باز شده و موقع لاگ کردن اطلاعات مشخص نیست که کدوم اطلاعات مال چه کسی هستش.
ولی نکته ای هستش اینه که این مورد به شرط این هستش که دیتا به خودی خود اطلاعات هویتی شما رو نداشته باشه.
خب در اون صورت همینی می شه که شما لینکش رو گذاشتین.
فقط یه نکته ی دیگه ای که می مونه این هستش که سال ۲۰۰۷ مواردی مثل ssl و tls مرسوم نبودن و خیلی از سایتایی که با اطلاعات هویتی افراد در ارتباط بودن از ssl استفاده نمی کردن
مثلا خود جیمیل که شما مثال زدین تو سال ۲۰۰۷ (که هنوز توی مرحله ی تست کردن بود) از ssl فقط تو صفحه ی لاگین استفاده می کرد و اینباکس ها بدون رمزنگاری بودن و همین باعث می شد رله های خروجی تور که به محتوی خام دسترسی دارن بتونن مواردی مثل هویت و پیام ها و ... افراد رو اسنیف کنن ولی الان این طور نیست الان دیگه تمام سایتایی که با موارد هویتی افراد طرف هستش از ssl یا tls استفاده می کنن و دیگه دسترسی به اطلاعات خام نمی تونه مهم باشه
در واقع اگه بخوام جمع بندی کنم:
مواردی که شکن بهشون دسترسی داره :
در مورد در مورد سایتای با پروتکل http که اطلاعات هویتی ندارن :
می تونی به تمام محتوی و کارایی که می کنین دقیقا با ip شما (به عبارتی به اسم شما) لاگ کنه
در مورد سایتای با پروتکل http که اطلاعات هویتی دارن :
طبیعتا هر چقدر هم کار واجبی داشته باشین نباید از این تیپ سایتای ناامن استفاده کنین ولی اگه استفاده کنین تمام اطلاعاتتون لو می ره
در مورد سایتایی با https:
به اطلاعات ورودی و خروجی دسترسی نداره ولی همچنان می تونه بازدید شما رو از یه سایت لاگ کنه و با ip شما یادداشت بشه که شما مثلا فلان سایتو نیگا کردین
در مورد تور:
در مورد در مورد سایتای با پروتکل http که اطلاعات هویتی ندارن :
هیچ دسترسی که به کارایی که شما انجام می دین نداره و فقط می تونه بفهمه فلان کار (توسط فردی نامعلوم) در حال اجراس
در مورد سایتای با پروتکل http که اطلاعات هویتی دارن :
طبیعتا هر چقدر هم کار واجبی داشته باشین نباید از این تیپ سایتای ناامن استفاده کنین ولی اگه استفاده کنین تمام اطلاعاتتون لو می ره
در مورد سایتایی با https:
به اطلاعات ورودی و خروجی دسترسی نداره و نمی تونه بگه شما چه بازدیدهایی رو داشتین
خب الان شما بین موارد بالا کدوم رو انتخاب می کنین ؟
اگه یه فرد از ساختار تور اطلاع داشته باشه احتمال نشت اطلاعاتیش خیلی پایین میاد ولی این در مورد شکن صادق نیست
طببعتا هیچ امنیت صد درصدی وجود نداره و هزاران راه (باگ) برای دور زدن موارد امنیتی وجود داره مثلا همین ssl که جیمیل استفاده می کنه و شما هم بهش اشاره کردین ، همین چند سال قبل توسط ایران با جعل گواهی ها دور زده شد و اطلاعات خیلی از حساب ها مثل جیمیل و ... لو رفت
اینجاس که گفته می شه امنیت صد درصد وجود نداره ولی ما باید منطقی ترین و بهترین راه رو انتخاب کنیم
-
تنها و تنها exit node های تور به دیتا خام دسترسی دارن
این فرد هم کار خاصی نکرده فقط از همین قضیه استفاده کرده زمانی می تونیم این رو ایراد شبکه تور مطرح کنیم که فرد مثلا از طریق پل ها و یا رله های میانی داده ها رو اسنیف می کرد وگرنه با یه آشنایی سطحی از شبکه ی تور همه می دونن که رله های خروجی می تونن به دیتاها دسترسی داشته باشن.
بحث سر اینه که آیا می تونن این اطلاعات رو لاگ کنن ؟
جواب خیر هستش چون رله های خروجی به ip شما دسترسی ندارن و نمی دونن فلان سایت توسط چه کسی باز شده و موقع لاگ کردن اطلاعات مشخص نیست که کدوم اطلاعات مال چه کسی هستش.
ولی نکته ای هستش اینه که این مورد به شرط این هستش که دیتا به خودی خود اطلاعات هویتی شما رو نداشته باشه.
خب در اون صورت همینی می شه که شما لینکش رو گذاشتین.
فقط یه نکته ی دیگه ای که می مونه این هستش که سال ۲۰۰۷ مواردی مثل ssl و tls مرسوم نبودن و خیلی از سایتایی که با اطلاعات هویتی افراد در ارتباط بودن از ssl استفاده نمی کردن
مثلا خود جیمیل که شما مثال زدین تو سال ۲۰۰۷ (که هنوز توی مرحله ی تست کردن بود) از ssl فقط تو صفحه ی لاگین استفاده می کرد و اینباکس ها بدون رمزنگاری بودن و همین باعث می شد رله های خروجی تور که به محتوی خام دسترسی دارن بتونن مواردی مثل هویت و پیام ها و ... افراد رو اسنیف کنن ولی الان این طور نیست الان دیگه تمام سایتایی که با موارد هویتی افراد طرف هستش از ssl یا tls استفاده می کنن و دیگه دسترسی به اطلاعات خام نمی تونه مهم باشه
اول اینکه من به ذکر یک نکته در مورد تور اکتفا کردم که دوستان فکر نکن امنیت کاملی وجود داره. قصه‌ی تور مسئله‌ی فراتری هست که از حوصله‌ی این بحث خارج هست اما به صورت خلاصه عرض میکنم: «حتی تکنیک‌هایی برای ردیابی اطلاعات هویتی بین نودهای شبکه‌ی تور وجود دارد.»
دوم اینکه در تمام پاسخ‌هایم به این نکته اشاره کردم که اگر رمزنگاری e2e وجود داشته باشه اونوقت مسئله حل شدس. در واقع چه از تور استفاده کنید چه از سرویس‌هایی مثل شکن، نگرانی بی‌مورد هست. گفتید الآن همه‌ی سایت‌ها از SSL و TLS بهره میبرن پس استفاده از تور اشکالی نداره. پس خودتون نتیجه بگیرید استفاده از سرویس‌های مثل شکن در مورد سایت‌های HTTPS مشکلی نداره ...
اما در مورد اطلاعات هویتی که ذکر کردید:
مواردی که شکن بهشون دسترسی داره :
در مورد در مورد سایتای با پروتکل http که اطلاعات هویتی ندارن :
می تونی به تمام محتوی و کارایی که می کنین دقیقا با ip شما (به عبارتی به اسم شما) لاگ کنه
در مورد سایتای با پروتکل http که اطلاعات هویتی دارن :
طبیعتا هر چقدر هم کار واجبی داشته باشین نباید از این تیپ سایتای ناامن استفاده کنین ولی اگه استفاده کنین تمام اطلاعاتتون لو می ره
در مورد سایتایی با https:
به اطلاعات ورودی و خروجی دسترسی نداره ولی همچنان می تونه بازدید شما رو از یه سایت لاگ کنه و با ip شما یادداشت بشه که شما مثلا فلان سایتو نیگا کردین
تا حدودی مطالبتون غلطه. صرفا سایت‌های تحریمی به سرورهای شکن هدایت میشن. بقیه‌ی سایت‌ها به آی‌پی‌های خودشون resolve میشن. حتی یه مزیت خارج از بحثی که این سرویس داره آدرس‌هایی که توسط فیلترینگ ایران به آی‌پی‌های ثانوی هدایت میشن به درستی پاسخ میده.
خب الان شما بین موارد بالا کدوم رو انتخاب می کنین ؟
اگه یه فرد از ساختار تور اطلاع داشته باشه احتمال نشت اطلاعاتیش خیلی پایین میاد ولی این در مورد شکن صادق نیست
بله ممکنه یه فردی ترجیح بده تمام ترافیک اینترنت خودشو از شبکه‌ی تور مسیردهی کنه و در عوض کاهش پهنای باند و افزایش پینگ چند برابری و جدیدا هزینه‌ی ترافیک نصفه که در قبال بازدید از سایت‌های داخلی می‌پردازه؛ درخواست خودشو بین حداقل ۳ کشور دور دنیا بچرخونه تا به سروری که ۱۰۰ کیلومتر باهاش فاصله داره بروسونه و در عوض هویت خودشو تا حدی مخفی نگه داره.
... همین چند سال قبل توسط ایران با جعل گواهی ها دور زده شد و اطلاعات خیلی از حساب ها مثل جیمیل و ... لو رفت ...
منظورتون متوجه نشدم. باگ Heartbleed رو میگید؟!