Проект Tor представил выпуск утилиты OnionShare 2.2, позволяющей безопасно и анонимно передавать и получать файлы, а также организовать работу публичного сервиса для обмена файлами. Код проекта написан на языке Python и распространяется под лицензий GPLv3. Готовые пакеты подготовлены для Ubuntu, Fedora, Windows и macOS...Подробнее: https://www.opennet.me/opennews/art.shtml?num=51680
> Код проекта написан на языке PythonНевероятно! Ну кто бы мог подумать, что оказывается оно на петоне!
Не на электроне, уже хорошо.
Написали, на чём проще было написать. Теперь у тебя есть возможность отличиться, и используя питоновую реализацию как референсную, запилить реализацию на C, C++, Go, Rust, или на любом другом языке по твоему выбору.
Вот зачем этот комментарий?
Читаю опеннет десяток лет, вполне устраивают новости. Но очень обидно за сообщество - пишут в комментариях, лишь бы написать, лишь бы оскорбить. От этого мало/мальски грамотные люди и СОВЕТЫ постить перестали последние годы ...
Община читающих - если вам/нам, мы же технари, если сказать по делу нечего - давайте не будем писать мусор! Предлагаю поднимать интерес к чтению комментариев!
А то блин, тема интересная, а скролл в комментарии даже спускать не хочется ...
> Вот зачем этот комментарий?Как зачем? Я не уверен, что мне нужен этот OnionShare, но если он понадобиться я предпочту C++ реализацию пайтоновой. Надо вкинуть эту мысль в головы других, может быть кому захочется попрактиковаться в написании программ на C++, и он запилит такое. Я бы и сам взялся, если бы мне больше заняться было нечем: писать программу имея эталон под рукой -- сплошное удовольствие.
И, конечно, я не совсем понимаю возмущающихся тем, что какую-то там программу написали поверх технологий, которые они не одобряют. На чём захотели, на том и написали. Не нравится, напиши так, как считаешь нужным. Не хочешь писать, заткнись и иди мыть посуду.
> но если он понадобиться я предпочту C++ реализацию пайтоновойИ это будет очень глупо.
>> но если он понадобиться я предпочту C++ реализацию пайтоновой
> И это будет очень глупо.И что с того?
они сделали скрипт для поднятия onion-сервиса к которому бекендом крепится мелкий хттп-сервер с мелким вебсайтиком?передача файлов осуществляется стандартно сервер-(tor-туннель)-клиент без всякой распределёнщины и возможно только пока жив мой сервер с onion-сервисом?
>мелкий хттп-серверв стандартной библиотеке питона есть.
> в стандартной библиотеке питона есть.это случайно не тот-самый который будет до-самой-смерти держать в своей памяти все входящие соединения, которые были разорваны втихомолку (БЕЗ отправки syn fin пакета) ?
(и в документации мол сказано "Warning | http.server is not recommended for production. It only implements basic security checks." -- ни кто не задумывется по какой причине эту надпись сделали?)
Там зависимость python3-Flask, так что думаю там другой.
>без всякой распределёнщиныНу-ка, ну-ка, расскажи про какой-такой распределёнщины тебе надо для обмена файликами. Между двумя, предпорложительно, лицами, стремящимися отгородиться/сховаться от всего остального Мира?
> и возможно только пока жив мой сервер
Типа, положил _торрент_ в [... куда?? Интернет? Облако??] и отключился. И он там лежит и хостится, и доступен -- всем. И навсегда?!
Всё уже там --> https://duckduckgo.com/?q=%D0%B3%D1%83&#...
>>без всякой распределёнщины
> Ну-ка, ну-ка, расскажи про какой-такой распределёнщины тебе надо для обмена файликами.
>> и возможно только пока жив мой сервер
> Типа, положил _торрент_ в [... куда?? Интернет? Облако??] и отключился. И
> он там лежит и хостится, и доступен -- всем.
> И навсегда?!ipfs выглядит лучше (без учёта шифрования "туннеля получения" и ананимности отправителя/получателя, про них в ipfs не помню)
и есть шанс что останется доступен "навсегда", особенно если сделать сервер (общественный или там платный/подписка как на амазоне) с припиниванием
>>>без всякой распределёнщины
>>про какой-такой распределёнщины
>особенно если сделать серверЗахватывающе! Сколько длинных, интересных слов Вы знаете. Огорошьте нас ещё.
Круто, чё!
Пригодится во многих местах!А на сером IP работает?
> на сером IP работает?tor работает на сером ip, оно поверх tor'а
Как там имена резолвятся? Один васят нищет адрес и все опнимают что на нем что-то лежит?
> Как там имена резолвятся?Они не резолвятся. Имя и есть адрес. Понимать же надо!?
>Один васят нищет адрес и все опнимают что
> на нем что-то лежит?Что ты несёшь?7
>Что ты несёшь?7Смею предположЫть, что чел на счет секюрности пережЫвает.
Суда но скриншотам там V3, а оно должно быть безопаснее в плане энумерации.
Тебя винрарус покусал?
https://2019.www.torproject.org/docs/onion-services
Using Tor "rendezvous points,"Хотя тема интересная будет.
> (например, "http://ash4...pajf2b.onion/slug", где slug - два случайных слова для усиления защиты).Похоже там не дураки работают (где slug - два случайных слова для усиления защиты).
Так, я не понял, почему не https://?
Где на onion ресурсы можно сертификаты раздобыть? Срок службы сертификата 3 - 6 месяцев.
Как такие сертификаты надежно и безпаливно (э, чего захотел, может быть только или ;) через сеть Tor получать? Сколько времени хранить их на компьютере принимающей стороны? Как организовать защищенное хранилище для таких сертификатов?Может быть для одноразовых коммуникаций все же лучше использовать одноразовые почтовые ящики с доступом по ВЕБ интерфейсу через Tor?
Let's Encrypt технически могли бы их выдавать. По крайней мере через acme-challenge.
Да много где: https://www.digicert.com/blog/ordering-a-onion-certificate-f.../Цимес в том, что для .onion выдаются только EV сертификаты, что превращает идею tor в какой-то лулз. :)
> Да много где: https://www.digicert.com/blog/ordering-a-onion-certificate-f.../
> Цимес в том, что для .onion выдаются только EV сертификаты, что превращает
> идею tor в какой-то лулз. :)это ж административное ограничение регистратора?
Зависит от того как понимать ваши слова. Насколько я понял, это требование >к< регистраторам. Сейчас сертификаты для .onion доменов можно выдавать только EV. По этому Let's Encrypt и в стороне.
На счет лузла в данном контексте полностью согласен.
> Да много где: https://www.digicert.com/blog/ordering-a-onion-certificate-f.../
> Цимес в том, что для .onion выдаются только EV сертификаты, что превращает
> идею tor в какой-то лулз. :)пробитие фаервола/блокировок остаётся
> Так, я не понял, почему не https://?роль s выполняет сам tor
Не выполняет. Во первых не все пользователи имеют возможность (по разным причинам) держать клиент на своём компьютере. Кто-то должен использовать VPN и отдавать нешифрованный трафик на милость владельца VPN. Во вторых браузеры начинают косо смотреть на голый http.
ТВ можно не держать на ПК, но иметь при себе.
Чем мешает ВПН для использования ТВ?
Причем тут остальные браузеры?
> ТВ можно не держать на ПК, но иметь при себе.В некоторых странах это может быть черевато.
> Чем мешает ВПН для использования ТВ?
Тем, что с точки зрения безопасности - нонсенс использовать tor и пропускать трафик до него через vpn, при условии, что владельцу vpn не составит сложности читать и даже модифицировать незашифрованный транзитный трафик.
> Причем тут остальные браузеры?
TB - всего лишь Firefox. А он как и остальные рано или поздно будет всё сильнее дискриминировать http.
> нонсенс использоватьЭто вы разработчикам расскажите ))
tor-over-vpn у них описан> TB - всего лишь Firefox.
ТВ всего лишь пропатченный Firefox )))
Согласен. Если exit node-а получит slug ( - два случайных слова для усиления защиты), без https защитится нет возможности, то "злонамеренная" (злонамеренный держатель ноды) нода может проксировать (или подменять) данные. Как говорят, кто первым встал, того и тапки ;) Да и просто, если данные идут не шифрованные, то в чем смысл сего мероприятия?
А то что ссылка одноразовая
не навевает?
Что мешает шифровать сам файл?
> Как говорят, кто первым встал, того и тапки ;)Ну если выходная нода уже сходила и натоптала там своими тапками то да, остается только что отдать проксированные данные. Вы же предоставили выходной ноде право действовать от вашего имени.
>> Как говорят, кто первым встал, того и тапки ;)
> Ну если выходная нода уже сходила и натоптала там своими тапками то
> да, остается только что отдать проксированные данные. Вы же предоставили выходной
> ноде право действовать от вашего имени.И что?
> Что мешает шифровать сам файл?Обязательно.
Да и еще
Какова вероятность попадания на злонамеренную ноду
Которая ждет именно ВАС?
Все зависит от количества "злонамеренных" нод.
> Все зависит от количества "злонамеренных" нод.Это не вопрос
Это вектор для размышления
> Которая ждет именно ВАС?Они там не ждут, они там работают.
>> Которая ждет именно ВАС?
> Они там не ждут, они там работают.Ознакомьтесь с матчастью сети Tor
Не очень понимаю, причем тут exit node, который используется при выходе из сети tor. Эта штуковина работает через скрытые сервисы TOR. Трафик не выходит за пределы сети TOR. Т.е. клиент (tor-browser) подключается к сети tor, сервер тоже находится в сети tor. Они встречаются в точке рандеву (тоже в сети tor) и таким образом ни клиент не знает, где находится сервис, ни сервис не знает откуда пришел клиент. В точке рандеву трафика, скорее всего, тоже зашифрован. Чтобы они нашли друг друга, используется хитрый адрес (клиент по этому адресу находит точку встречи).Ссылка на документацию по скрытым сервисам TOR с более подробным объяснением, как они работают:
Семен Семенович. Все подаю в отставку.
Срочно перечитать новость
вы хоть разберитесь в теме прежде чем постить, клиент тора(тот что запущен у вас) шифрует весь трафик для получателя с побличным ключом хеш которого есть "onion" адрес, то есть передаваемый внутри канала хттп трафик не виден участникам цепочки.
это легко проверяется, поднимаем свою выходную ноду на одном впс и скрытый сервис на другом, на клиенте указываем свою выходную ноду, на выходной ноде слушаем трафик и обламываемся, на скрытом сервисе слушаем не локалхост трафик и опять обламвываемся. как-то так.
На скриншотах прям суперсекретные данные
Не поверишь, через тор можно раздавать котиков.
> После завершения передачи адрес сразу удаляется, т.е. передать файл второй раз в обычном режиме не получится (требуется применение отдельного публичного режима).Классно, прямо как в реальном мире, "поймал" фотон, измерил например его поляризацию, и все нет больше этого фотона!
Необходимо только "мусор" в виде этого файла через shred -f -u сразу же пропускать.
Наступает новая эпоха порно раздачи )
А мусьё таки сведущий гурман?
Наоборот, уже прошла. Lolita City и MagicKingdom закрылись.
В чем новизна?
В персональной раздаче?
Ахринеть
> Готовые пакеты подготовлены для Ubuntu, Fedora, Windows и macOSПакеты для Windows и macOS, я чего то пропустил?
msi и dmg — чем не пакеты?
"например, "http://ash4...pajf2b.onion/slug", где slug - два случайных слова для усиления защиты"Прямо классика: Для усиления поражающего фактора ядерная бомба была обмотана пакетами с болтами и гайками...
Что-то мне подсказывает, что на одном адресе можно сделать несколько раздач для разных людей.
Допустим. Но при чём здесь тогда "усиление защиты"?
Ну допустим с некоторой "последней" (с той с которой идет подключение к нашему сервису) ноды идет много попыток обращения по несуществующим slug. Понимаем, что видимо по этому IP есть злонамеренная нода. Нажимаю на кнопочку (скрипт, пусть на том же питоне, в cron-е сканирует логи), таракан в западне (fail2ban к примеру), можно выпить и стопочку, можно выпить и две!
Правда тут есть и обратная сторона, нода может быть не злонамеренная, а тот господин на другом конце может быть (того) да.
как соотносится передача 10 гигов через OnionShare с заявленым ранее "tor не для торентов" ?
я честно не понимаю разницы для самой сети tor
Да это вроде старое заявление было, когда узлов мало было. Вообще, по идее, если куча людей будет качать/раздавать торренты через tor, держа у себя узел, работающий в том числе и транзитным, это сети только на пользу пойдёт.
Заявление не старое
актуальное
В количестве и длительности, что и генерирует нагрузку
Ну во первых tor полезно, чтобы там что-то постоянно передавалось. Так сложнее отследить что кому кто передаёт. А во вторых сами торрентщики по определению не против, чтобы их компы что-то постоянно скачивали и раздавали, т.е. идеал для транзитной ноды.
Вопрос лишь в нагрузке
Если она перераспределяется динамически,
то больших ппроблем нет
> Вопрос лишь в нагрузке
> Если она перераспределяется динамически,
> то больших ппроблем нета почему бы ей не перераспределятся?
Сломать можно все
Поэтому и говорится, чтобы
воздержались от прокачки торрентов
Да.. и вы ж помните
в чем смысл "лукового" шифрования
Вам не жаль вычислительных мощностей?
> Да.. и вы ж помните
> в чем смысл "лукового" шифрования
> Вам не жаль вычислительных мощностей?с законодателями в россии и в мире - не жалко
я как раз ознакомился с частичным перечнем стран где запрещена онлайн-порнография, и с официальными причинами
и с наказаниями за оное
"tor не для торентов" , если мне не изменяет память относилось к тому, что тор = tcp-прокси, поэтому udp-трафик торрентов через него не попрёт.
Файл передается один раз, в отличие от торрентов.
Теперь файл напрямую загружается в FBI и NSA?
Ну если вы там сидите,
ТО ДА
Эм...это для тех кто не осили запустить apache/ngingx/lighttp в качестве hidden service?
А вот помотрим что безопасней будет.
Уважаемые Доны,
подскажите ламеру пароль на mar архивы с офсайта и/или расскажите про правильный способ возни с mar-tools.. как-то пока не понел для чего именно эти штуковины предназначены..
спасибо.