洋蔥路由—Tor潛航安全注意事項（下）
2020/06/18 04:13:05 網誌分類: 經濟
第一，你的瀏覽器本身就可以出賣你。大部份瀏覽器都會有不同程度漏洞，而且他們所宣稱的無痕或私密瀏覽模式，基本上等同廢話。上星期Google的Chrome瀏覽器在美國被集體訴訟的新聞，就是因為其「無痕瀏覽模式」，並不能真正發揮作用，而是會被Google分析及外掛應用程式等，收集使用者資料。
瀏覽器與互聯網連接，漏洞及風險較多，也成為監管機構的重點破解對象。其中美國國家安全局（NSA）就有一個專案，專門針對這些瀏覽器的漏洞，來企圖追蹤Tor使用者。所以我們從來不使用最新版本的瀏覽器，因為它們通常有更多已知及未知漏洞，反而會選用「長期支持版本」（ERS），其中Firefox的ERS版本是不錯選擇。
第二，要盡量限制瀏覽器功能。瀏覽器就像一張嘴，與其他人交流互動，你有見過想匿藏行蹤的人，會隨街和人談話嗎？所以你的瀏覽器一定要把自動填寫、Javascript支援、Flash等互動功能關閉及卸載，把不必要的功能全剁掉，還有就是在過程中不要使用任何網絡搜尋器及P2P網絡服務等。
第三，Tor的中繼覆蓋網絡節點隨機性及隱藏性極強，同時開放予所有人建立使用，所以有一部份節點，其實是情報及執法機關建立出來的蜜罐（陷阱），偽裝中繼覆蓋網絡節點並提供服務，企圖在你潛行時反向追蹤你的真實身份。
所以設置Tor時，我們通常會編輯「Torrc」的文件，對軟件隨機選擇的入口、中繼及出口三個節點進行地域排除。當中的規則非常簡單：你不相信誰就把它排除吧！一般最慣常排除的地域節點，包括北韓、越南、俄羅斯、白俄羅斯、伊朗、敘利亞、黎巴嫩、中國及美國等地，更好的習慣是入口和出口接點，分別有兩個不同的排除列表。最後就是使用強力加密算式作為保護，根據斯諾登曝光的美國「稜鏡計劃」，美國國家安全局能夠破解舊版本Tor節點使用的一千零二十四位元DHE密匙，所以使用的節點，最好是有新版本ECDHE密匙（橢圓曲線算法）的節點，否則與赤裸無異。最後重提大家，「匿藏潛行」是一個複合技術，講求軟件、技術及用家潛行意識的配合，才能得心應手。
TOZ聯合創辦人
龐博文
回應 (0)
我要發表