tor browser

• electronic frontier foundation ve privacy international 'ın görüşlerine göre web sitelerinin yasal liyakatlarına bakılmaksızın kullanılması gerekir... mahremiyeti savunan bu iki organizasyona göre tor sadece: "internet'i anonim kullanmanıza yardımcı olan bir yazılım paketidir..." ve: "bu da kim olduğunuzun ya da neye baktığınızın bilinmesini engeller..." bu açıklamalara göre ise, tor %99'un üzerinde bir gizlilik vaat ediyormuş gibi anlaşılıyor; yanıt tam olarak evet değil, bazı şüpheler var.
  
  internet servis sağlayıcılarının trafik analizlerine karşı savunmak için tasarlanan tor, gerçekten bir kimlik gizleyebilir mi? [the guardian] gazetesinin iddiasına'na göre nsa tor trafiğini izleyebilir. ama, yine the guardian gazetesinin iddia ettiği -tor stinks- adlı bu belgeye göre, uluslararası veya abd için önemli bir yasal ihlal yoksa, tor bu durumda kullanıcılarının anonimliğini garanti ediyor.
  
  tor en az default 3 çıkış rölesi kullanıyor; bağlantı kurulan web sitesine trafik son röleden yani exit node denilen açık bir sunucudan ulaşıyor. *a bilgisayarından gelen trafik <c> sunucusuna gidiyor ve <c> sunucusu da yine başka bir <c >sunucusuna aktarıyor ve zikzak çizmeye devam eden trafik bu kez özel tor rölelerine ulaşıyor: tor röle sunucu listesi - örnek (fakat tor'un bağlantı kurduğu bu özel röleler yukarıdaki gibi halka da açık değil; amacı sansür önleme olan sunucularla - kimlik gizlemek için trafik manipüle edecek olan köprü sunucular aynı işlevi görmez ve açıkta değildir...) orta röleden geçen istek ise, şimdi son bir tor sunucusuna; halka açık bir sunucusuna bağlanıyor. nihayet bağlantı kurulan web sitesine trafik, bu son exit node rölesinden ulaştı... şimdi web sitesi ya da daha doğrusu bağlanılan bu sunucu, isteğin geldiği *a bilgisayarını <d> olarak kabul ediyor. sunucunun artık bu trafiği takip edebilmesi için, internet servis sağlayıcılarının yardımına ihtiyacı var, çünkü hiçbir sunucu kendisine ulaşmış bir kimliğin gerçek -ya da- manipüle edilmiş bir kimlik olduğunu ayırt edebilecek yetenek ve bir teknik drifte sahip değildir. internet servis sağlayıcısının kimlik takibi yapabilmesi için: *a bilgisayarından gelen kimliği ortaya çıkarabilmesi için, <a>'dan gelen 3 çıkış rölesini çözmesi gerekir ama bu 3 çıkış rölesinin takibini zorlaştıran ve <a> kimliğine ulaşılmasının önünü kesen, bağlanılan ilk orta çıkış rölesidir; yani yukarıdaki şemadaki gibi c'den c'ye aktaran röledir, ki en önemli kimlik manipülesi de budur... kimliği çarpıtacak olan ve olası bir durumda kalkan olacak tam hedefe yaklaşılmışken bir itiraz daha yapacak olan bu 2. orta röledir. çünkü şemadaki *a bilgisayarı ilk <c>'ye / orta röleye bağlandığında, ilk orta röle *a bilgisayarının konuşlandığı lokasyonu tanır... kısaca: bu ilk orta röle, *a bilgisayarındaki çıkış rölesini çarpıtmak için, ikinci bir orta röle ile bağlantıya geçer; bir başka ifade ile de: ip takibini birbirine dolaştırmak için yalancı bir kimlik verir; böylelikle tor sunucuları üzerinden de sahte bir kimlik/adresle geçer...
  
  internet servis sağlayıcılarının, gerçekte dört ve temelde en az 3 çıkış rölesinden geçen bu zikzak kimliğin takibini teknik olarak yapabilmeleri şu an için çok zor, ve teknik olarak bu röleleri çözüp gerçek bir kimliğin takibini yapabilmeleri için hareket edebilecekleri bir alan neredeyse yoktur... internet servis sağlayıcıları, bağlantı kurulan web sitelerini okuma / görme imkanlarına sahiptir ama bu da bağlantı kurulan web sitelerinde hangi işlemlerin gerçekleştirildiğini görmelerine izin vermiyor; a*'dan x siteye bir trafik gidiyor, ancak bu trafiğin içeriği ile ilgili bilgiyi de toplayamıyor. tıpkı kredi kartı ile yapılan bir alışveriş gibi: banka x'in adına 1 x şirketine bir miktar para veriyor, ama x'in 1 x şirketinden ne aldığını da okuyamıyor, sadece 1 x şirketinin adını ve çalışma sahasını görüyor; bankanın bunu görebilmesi şirketin satış faturalarına / kasasına bağlanması gerekiyor; ama burada da poz cihazı şirketin satış faturalarının okunabildiği kasaya bağlı değil, dolayısıyla banka da satış faturalarının listelendiği kasaya değil, sadece şirketin banka hesabına bağlanıyor. durum internet servis sağlayıcıları içinde aynı, *a'nın hangi sunucuya trafik gönderdiğini okuma şansına sahipken, içerikle ilgili gönderilen bilgileri keylogger gibi okuma şansına sahip değildir. tor ise, isp'nin bu okuma şansını da manipüle etmek için tor bridges denilen ek köprüyü kullanır. tor tarayıcıdaki javascript'indeki false / kapalı ayarlanması ve 3.şahıs bir eklenti kullanılmaması teknik anlamda isp'lerin tor rölelerini çözmekte zaten çok dar olan alanlarını daha da daraltıyor. tor hakkındaki iddiaları ve tor'un teknik yapısını birleştirdiğimizde ortaya çıkan sonuç ise: tor'un çıkış rölelerini; onun da kesinliği bilinmemekle birlikte, çözebilecek çapta olan -nsa / fbi- gibi bir iki istisnanın olduğu veya olabileceği ama tor'un vaat - garanti iddiasına göre bunların hedefleri dışında kalan kullanıcılarının anonim olacağıdır; anonimlik iddiası bunların dışındakiler içindir.
  
  şimdi tersine bir mühendislik düşünelim; tor'un arkasına gizlenen kimliği nasıl açığa çıkartırız? siyah ve beyaz şapka hackerların başvurdukları yöntemlerinden birisi de: sosyal mühendisliktir. denilebilir ki, yeri gelince bu bir teknik yetenekten daha önemli ve gerekli olabilir. tor bağlantısı kuran bir kimse henüz güvende değildir; bütün teknik sağlamaları yerine getirmiş olsa bile asla başında güvende değildir... bu kişinin kimliğini açığa çıkartmak için, kullanabileceğimiz sosyal mühendislik yöntemlerimiz var. izini süreceğimiz bu hedefin açığa çıkmasına katkı verecek ama belki de tek katkıyı verecek olan, onun önünden geçip de bakmadığı ufak tefek şeyler olacaktır. hedef, kimlik bilgisayarının gizlendiğinin yeterli olduğunu düşünerek, daha önce gerçek kimlik adresi ile aldığı bir e-posta adresini kullanabilir ve de telefon numarasını bile kullanmış olabilir. bu ikisi yanıtsız kalıyorsa; güçlü ihtimal vermese bile, tahmin yapılabilmesine olanak tanıyacak olan; beceri ve zeka gerektiren üçüncü yöntemdir: yazım ve yorumlama üzerinden bir çıkarım yapılabilir. hedef kişi, teknik kimliğini manipüle ettiği gibi, sosyal kimliğini de manipüle etmeyi başaramazsa yargı vermemiz çok zor olur ama gözlemlerimiz keskin ve analitik ise en azından şüphe edilebilecek konuma da çekeriz. hedef sosyal kimliğini manipüle etmeyi de başarabilir; o güne kadar bilinen yazım, imla ve yorumlama biçimlerini değiştirebilir, anonim bir yorumlama sıfatı kazanmak için yazım kurallarını şimdi hiç olmadığı kadar bozabilir ve yorumlama nüansını baştan sonra benzersiz değiştirebilir; bu durumda maalesef girebileceğimiz açıklar da kapanır... hedefimiz, sosyal mühendislik açıkları ile teknik gizlilikteki tüm açıkları da yakmak istiyorsa, tor yazılımını harddiske değl ram / geçici belleklere atacaktır; bu durumda da hedefin bilgisayarına tor kurduğu bilgisine bile ulaşamayız ya da <gutmann metodu> ile bunları ortadan kaldırdıysa, hedef ya azılı bir manyaktır ya da gizliliği kafaya takmış bir paranoyak. tersine bir mühendislikle düşündüğümüzde hedefimize ulaşabilecek fiziksel ve sosyal delillerin olduğunu da görüyoruz.
  
  /*düzenleme*/ electronic frontier foundation
• ifade özgürlüğünü destekler. vpn ağının aksine tor sunucuları public sunuculardır ve kullanıcılar kendi çıkış rölelerini de kurabilirler. bu önemli ayrıntıdır; çünkü, ip adresinizden çıkacak ilk istek statik röleye girer ardından orta röleye geçer, son olarak exit node rölesine bağlanır ve bu röle de trafiğinizi hedefine gönderir. artık hedef sunucu bu çıkış rölesinin ip adresini alır... tor güvenliğini tehdit eden unsur spoiled relay denilen kötü niyetli röledir. tor geliştiricileri rutin olarak bu casus röleleri takip etmeye çalışır. ileri düzey kullanıcıların yardımını da talep eder; bkz: reporting bad relays anlayacağınız şımarık röle denilen kötü niyetli bu röle ip adresinizin takibini yapabilir.
  
  bu rölelerin çoğu ifade özgürlüğü ve mahremiyete önem veren gönüllüler tarafından çalıştırılır... aynı zamanda bu röleler sizin bant genişliğinizden yararlanır, tor kullananların sayısı arttıkça tor bağlantı hızınız da artar. bu röleleri kuranlar aslında yasal sorumluluk altınadır; yani korkunç bir bilgisayar korsanı değilseniz, tor ekibi evinizde bir röle kurarak bu işe burnunuzu sokmamanızı önerir. çünkü çıkış rölesinin adresi aklınıza gelebilecek iyi ya da kötü her türlü şey için kullanılır. öyle ise herhangi bir yasa dışı işlemde eylemin sizin rölenizden geldiği anlaşılır ve size ulaşılır... ama bir bilgisayar korsanı bunu dikkate almaz; muhtemelen kendisi de size pek benzemektedir. bazen bu çıkış röleleri; herhangi bir soruşturma ve takip ihtimalinin direncini kırmak için halka açık kurumlarda da konumlanır. ancak uluslararası suçlarda bile takibin birçok zorluk ve engelle karşılaştığı bu durumda; baskıcı rejimlerdeki hükümetlerin -ya da- dar görüşlü ifade özgürlüğü yasalarına sahip olan ülkelerin şansı yoktur. başta iran olmak üzere bu ülkeler kara listededir ve bu tip dar görüşlü ve baskıcı rejimlerden gelen talepler; röle sahiplerinin de yasal olarak feragat ettiği ülkelerdir... baskıcı rejimler ve ifade özgürlüğünün oldukça dar olduğu ülkelerde, zaten tor rölelerinin ip adresleri tespit edilerek engellenir. tor ekibi de bu ülkelerin baskıcı olduğunu ifade ederek web sitesinde de mimlemiştir. tor ekibi aynı zamanda bu ülkelerdeki rejimlerin kafa veya hukuklarının ne kadar dar görüşlü olduğundan haberdardır. zaten bu ülkeler mimlenerek yasal olarak dikkate alınmayacağı için aynı ülkelerde tor röleleri engellenir. geriye köprü yöntemi kalır. bridges denilen bu köprü yöntemi röleden de daha güvenli; kötü niyetli bir köprü olamaz çünkü.
  
  _______ ______
  vpn gibi log tutmaz. tor, hangi bilgisayarın hangi trafiği istediğini bilmenin teorik olarak imkansız olacağı bir şekilde tasarlanmıştır. belki bilgisayarınız sadece bir trafiği başka bir sunucuya ileten bir röle işlevi görüyor da olabilir. yani bağlandığınız röleler büyük bir şanssızlık sonucunda sahte - kötü niyetli bir röleye girmemişse röle hangi trafiği talep ettiğinizi bilmez. trafiği alan web sitesi, çıkış rölesinin ip adresini elbette görecektir ve çıkış rölesini çalıştıran -korsana ulaşabilirse- senin röleden böyle bir istek aldık diyeceklerdir. ama çıkış rölesinin de vpn gibi ilk ip adesi buydu sonra da bana bağlandı deme şansı yoktur. tehdit yalnız statik / ilk röleden sonra bağlanılan orta rölede pusuya yatmış şımarık röle adı verilen casus rölelerdir; trafiği yalnızca bu röle koklayabilir. zaten bu tip röleler de tor geliştiricilerin rutin olarak takibindedir. ek bir güvenlik katmanı olarak köprü yöntemi de bu tip casus rölelerin ağına düşme ihtimalini kaldırıyor... ama sonuç olarak; bu casus röleler dışında tor'da log tutulması tor'un tasarımında yoktur. ip adresiniz belki de başta denildiği gibi bir trafiği başka röleye ileten sadece bir düğümdür... tor, bu rölelerde kimin ne çevirdiği ya da ne amaçla bulunduğu bilinmeyecek şekilde tasarlanmıştır. aslında tor'un ne denli güvenli olduğu casus rölelerden anlaşılır... ip adresinin izini sürmek için tek seçenek; orta rölede pusuya yatarak bir casus röle kurmaktır. ama tor kullanıcısı bu casus rölenin ağına düşmemişse hayalet olmuştur.
  _______ ______
  
  *ben eyleme geçmeyen ve eylem hazırlığında da bulunmayan her şeyin ifade özgürlüğü kapsamı altında olduğuna inanıyorum... konuşmalıyız; istediğimiz gibi hem de! ben buna inanıyor ve bu yüzden tor'u internetin başına gelen en güzel şey olarak değerlendiriyorum. bir sözcük ancak ve ancak insanın canı ve malına dokunulma eylemine geçtiğini belirttiğinde ifade özgürlüğü olamaz. ama bunun dışında herhangi bir şeyi ve herhangi bir kişiyi dilediği gibi tanımlama hakkına sahip olunduğuna inanıyorum. insanın onur ve şerefini hiçbir sözcüğün incitemeyeceği kadar güçlü bir zırhı olarak görüyorum. bu zırhı küfürler delip geçecekse, haberimiz yok o zaman; günde kaç kez bize görünmeden delinip geçiliyor ve o zaman da kulak ve gözümüzü kapatınca mı korunuyoruz. yasaların; insanın onur ve şerefini öne sürüp atfettikleri bu şey samimi ve insanı gerçek anlamda düşünmüş olan bir ayrıntı olsaydı kalp kırmak suç olmalıydı. ben hiçbir din, hiçbir tanrı ve hiçbir felsefede hoşa gitmeyen sözcüklerin veya küfür etmenin lanetlediğine hiç tanıklık etmedim. ama tanrısı hangi isim altında olursa olsun; bütün dinlerin ve tüm felsefenin kalp kırmayı lanetlediğini biliyorum. yüzyılları aşan bir birikimin ve üzerinde değerli filozof ve peygamberlerin yorumladığı kalp kırmak neden suç değildir? onur ve şerefe atfedilen bu şeyler samimi ve değerli olsaydı eğer önce kalp kırmak suç olmalıydı. öyle ki, sözde zedelenen onuru para cezası telafi ederken kırılan kalbi para da telafi edemez. ağzımızdan çıkan tanımlar suç olacaksa kalp kırmak suç olmalıydı.*
• alternatifi vpn değildir. eskiden bu sözlük elit bir platformdu, bilen bilmeyen herkes entry girmek için entry girmezdi. başlıklara neredeyse tek başına bir kaynak olabilecek entry'ler girilirdi. belki bilmezseniz; bu sözlük önceden böyle bir yerdi. özel bir yazılım kursuna gittiğim dönem hocanın konuyu anlamak için ekşi sözlük'deki şu başlığa bakın dediğini biliyorum... vpn - tor 2 ayrı dünya. öte yandan vpn servislerine -neden güvenilmemesi gerektiğini- detaylı anlattım. bkz: #87359139 tor'un ne olduğunu da buradaki entry'lerimi yine baştan yorumlayıp hazırladığım bu sayfada aktardım. tor nedir - amacı nedir - nasıl çalışır diyerek temiz, abartısız bir çeki düzenle anlattım. hakkında üretilen efsanelere, saçma sapan kulaktan dolma ifrit hikayelerine birinin son vermesi gerekiyordu. yerli platformlarda insanların korku ve gizem fetişlerinden yararlanılarak çok fazla çarpık içerik hazırlandı paparazi flaşlarla başlıklar atıldı. bu kadar şamata yeter, bilen konuşsun. /*düzenleme*/ ayrıca şu -deep web efsanesi- hk- (bkz: #92948551) tor browser'ın bir gizemi yok.
  
  /*düzenleme*/ tor için i2p gibi daha nazik yönlendirmeler belki bir alternatifi kabul edilir... fakat vpn sistemleri tor alternatifi değildir. eğer amacınız sadece bir web sitesine erişmek ise, o zaman vpn'i bir alternatif olarak isimlendirirsiniz. fakat amacınız katı bir gizlilik ise seçeneğiniz sanal ağ değildir. vpn, internet servis sağlayıcınızın yerine geçer ve sadece özel tek sunucu kullanır. kendi vpn yönlendirmelerini kuranlar, vpn'in nasıl çalıştığını daha iyi anlayacaklardır. tor'un tasarlanış amacı erişime kapatılan web sitesine bağlanmak değil; trafik takibine karşı yapılan bir savunma. yani tor, mahremiyet hakkını kullanarak kabaca; ne var ne - yok bunların hepsine karşı savunma yapıyor. bu savunma öyle katı ki tor sunucuları genellikle korsanlar tarafından çalıştırılıyor; fakat bu korsanlar mahremiyeti savunan aktivist network manyaklarıdır. yine bu sunucuların da casus olup olmadıkları tor geliştiricileri tarafından denetlenir ve tor'u katı hale getiren bir sistem de bu sunucuları çalıştıranlar bile kullanıcının bu sunucu içinde ne yaptığını göremez. çünkü tor bunun için tasarlandı ve bu yüzden tor, profesyonel bir network çılgını değilseniz asla kendi çıkış rölenizi kurmanızı önermez. çünkü siz bu çıkış rölenizden gelen isteklerden sorumlusunuz; ama ne var ki bunların kaydı yok. dolayısıyla sorumlu olacak olan kullanıcı değil, bu sunucuyu çalıştıranlar. tor, üstü kapalı olarak bir network çılgını değilseniz asla kendi çıkış sunucunuzu kurmayın demesinin altında şu var: "bir kullanıcı sizin sunucunuzda haydutluk yaparsa bu kullanıcıya ulaşamazsanız; dolayısıyla sorumlusu siz olacaksınız, eğer kendi güvenliğinizi de alamazsanız işler ters gidebilir" tor, sunucu yapılandırma rehberinde bu uyarıyı kalın kalın fontlarla yapmıştır; az buçuk bilginizle burnunuzu bu işe sokmayın demiştir. eğer anlamıyorsanız siz sadece indirin ve tadını çıkarın der.
  
  tor, web sitesinde exit node ip'lerini yayınladıkları listede de (web sitesine tor'dan gelen istekleri reddetmek isteyenler içindir bu - bu ip adreslerini paylaşmaları yasal zorunluluk) haydutların da tor browser kullandığını kabul eder ve bunu söyler. ama tor ağının tasarımında bu haydutlar için bile yapabilecekleri bir şey olmadığını ve suistimal ettiklerini kabul eder ve belki tor uluslararası suçlara giren kritik durumların takibi için -nsa-nın casus sunucu kurmalarına izin verebilir... ama kendi yerel yasalarına göre yaramazlık yapan kullanıcılar da kimsenin umurunda olmayacaktır. tor'un dünyada gizlilik ve güvenlik için tercih edilmesi bu yüzdendir. tor, asla vpn gibi çalışmaz. vpn'in çalışması hakkında basit bir grafik hazırladım. (bkz: tor - vpn) şimdi iyi anlayacaksınız.
• edward snowden tarafından açık yürekli övgü ve destek almıştır. bu kişi aynı zamanda en ünlü tor kullanıcısıdır... öncelikle gizlilik bir tutkudur; aslında bilgisayar teknolojileri ile yakından ilgilenen kişiler için bunun bir mantığı yoktur. ethical hackerlar'da böyle çalışır; onlar bir şeye zarar vermez veya çeşitli dolaplar çevirme peşinde değillerdir. -tor browser geliştiricileri de- bir dolap çevirmek istedikleri için bunu yapmadılar. gizlilik; internet ve bilgisayar teknolojisine ilgi duymuş olanların bir tutkusudur... çocukken satın aldığınız bilgisayarınızın içindeki parçaları merak ederseniz ya da sistemin nasıl çalıştığını; bu sizde bir tutku haline gelir, başka bir çocuk bununla ilgilenmeyebilir. tor browser'ın arkasındaki movite de -en başta- gizlilik tutkusu ve onlar aynı zamanda korunması gereken iyi insanlara yardımcı olduklarını söylerler ve yine bunu bir ethical hacker dayanışmasına benzetirler. gerçekten ne yaptığını bilen kişiler de -az bir sayı dışında- bilgilerini kötüye kullanmaz ve şımarıklık yapmazlar. 2005 - 2006 yıllarında bir bilişim platformunda da "bilgisayardaki deliller nasıl yok edilir" diye tartışıyorduk. gerçekte hiçbirimizin sakladığı bir şey de yoktu. ama bizim için iyi bir sohbetti. yani -bilgisayar ve internet teknolojileri ile ilgilenen herkes- bunlara tutkuludur ve tersine mühendislik senaryoları üzerinden tartışırlar. onlar, bu sistemin ne olduğunu bilmek ister.
  
  tor browser'ın gizlilik çapı ve güvenirlik puanına gelince de tor; network kuralları baştan yazılana kadar en iyisidir. tor browser'ın gizlilik çapı değerlendirildiğinde; -microsoft windows- sisteminde bile yeterli gizliliği sağlar... ancak, bu kullanıcının ne kadar bir gizlilik istediğine de bağlı olacaktır. paranoyak bir gizlilik takıntısı olan kullanıcı windows ya da macos tercih etmeyecektir. ileri düzey gizlilik senaryosuna; qubes, kali, whonix ya da tails üzerinden başlayacaktır. bunun nedeni diğer işletim sistemlerinin hem network şeması -hem arka planda çalışan uygulamalarının- lokasyonu biliyor olmasıdır... örneğin; tails network şemasında hiçbir uygulamanın gerçek kimlikle internete çıkış yapılmasına izin verilmez. tails aynı zamanda diğerlerine göre yalnız ram bellekte/live çalışır. bu işletim sistemlerinin aralarındaki fark da kullanıcının nasıl bir anonimlik planladığına bağlıdır. bunlar bile paranoyak gizlilik senaryosunda ısrar eden kullanıcı için yeterli olmayacaktır; çünkü o yine de kullandığı makinenin kimliğini biliyor olduğu gerçeğini düşünecektir. yani sistem ve tor ne kadar -hedef sunucuya maskelenmiş kimlik gönderiyor olsa bile- modem makineye gerçek kimlik gönderir ve kullanıcı paranoyak anonimlikte ısrarlı ise internet servis sağlayıcısını da çarpıtmaya karar verecektir. bunun için kendi imkanları ile raspberry pi gibi bir karta -tor vpn- kuracaktır. ama bu vpn; hedef sunucuya giden maske olarak değil, olası bir ihtimalde sistemin ya da tor'un sızıntı ihtimalinde veya casus röleye yakalanma durumlarında internet servis sağlayıcısı gibi görünecek olmasıdır ki bunu planlayan hazır kurulum cihazlar bile var * bkz: anonabox (tek başına basit vpn olarak da kullanılabilir) işte bu paranoyak bir anonimlik planıdır. (*sosyal mühendislik hariç) (kali linux, sızma testi araçlarına sahip bir sistem olmasına rağmen; tor network yapılandırılarak anonimlikte yoğunlaşabilir. whonix ve tails dışında; kali ve qubes profesyonel kullanıcılar içindir)
  
  tor'da -kötü niyetli- veya -şımarık- röle denilen casus rölelerin doğrulanması biraz karmaşık bir süreçtir. qubes - tails - kali ya da tek başına sanal makinede çalışan whonix'de bağlantı kurulan röleler hakkındaki bilgiler alınabilir. ama bu yeterli de değildir. tor ağındaki rölelerin ne amaçla çalıştıklarını izlemek için; bir tor kullanıcısının yazılımsal bir araştırmaya katılması zorunludur. karmaşık olabilecek bir sürece katılmak istemeyen daha yüzeysel kullanıcılar yalnızca bağlantı kurdukları rölenin davranışlarına göz atacaktır. check.torproject.org aracı başta kullanıcıya tor ağında olup olmadığı bilgisini verirken bağlantı kurulan röle hakkındaki detayları da arayabilir. tor ekibi ağı düzenli olarak tarar; bu rölelere bir bayrak ekler ve aynı araç kullanıcının bağlantı kurduğu -rölenin parmak izi anahtarı- dahil bilgilerini verir... eğer kullanıcının gerçek ip adresi açıkta görünüyor ya da diğer kontrol araçlarında bir sızıntı / tutarsızlık görünüyorsa ve kontrol edilen röle -bad exit- bayrağı ile işaretlenmiş ise, bu kullanıcı röleyi terk edecek ve tor ekibine bildirecektir. bütün bu şüphelerin bir araya gelmediği / güvenli görünen fakat casus röleler de olabilir; fakat bu durumlar çok yüksel ihtimaller de değildir. tor'a doğru çıkış yapıldığına emin olmak isteyen kullanıcılar zaten tek başına tor browser tercih etmeyeceklerdir. /*düzenlendi*/
• tor'dan giden isteklerin internet servis sağlayıcıları tarafından analiz edilmesi nitelik gerektirecek özel bir çaba ister. tor; zaten internet servis sağlayıcılarının trafik analizlerine karşı savunmak için tasarlanmıştır. tor, yalnızca ip adresini maskeleyen bir ağ yapısı değil; trafikleri ve okunabilirliğini çarpıtan bir mühendisliktir. tor ekibinin üzerinde en çok çalıştığı şey anonimlik; tor felsefesindeki anonimlik ise ip'nin maskelenmesinden öteye geçen bir anonimliktir. bu anlamda tor, gazeteci ya da gizlilik içinde araştırmak yapma hakkını savunarak; yine bu kişilerin takip edilmelerini ortadan kaldırmayı amaçlamıştır... bunlar, sıradan internet kullanıcıları için pek önem arz etmez ve zaten tor kullanıcılarının en az yarısı da tor'u bu amaçla kullanmaz ve tek isteği, adresinin iyi gizlendiği bir uygulamadır. ancak, aktivist ya da hükümetlerine ters düşmüş aksi gazeteciler veya istihbarat gibi faaliyetlerde bulunan; yani takip edilme / dinlenme ihtimalleri olan için -alternatifi olmayan- bir savunmadır. birçok kullanıcının ip adresini gizlediğini sandığı tor; bundan çok daha fazlasıdır.
  
  tor, profesyonel yapılandırıldığında / teknik düzeyde bilinçli kullanıldığında internetin pelerinidir. tor'da ne yapılacağına bağlı olarak; kimden / neden / ne için gizlenilmek istenildiğine göre strateji çizimleri vardır. ileri düzey anonimlik senaryosunda, windows ya da mac tercih edilmez ve yerine göre veriler sadece ram belleklere yazılır; diske yazılmaz, yazılsa bile *eraser gibi araçlarla verinin üzerine rastgele veriler yazılarak esas verilerin izleri silinir. tor'un vpn ile kullanılmasını önerenler ve önermeyenler vardır; bunların ikisi de yanlıştır. ileri düzey hesaplanmış anonimlik planlarında tor, vpn ile kullanılır. ama bu vpn de satın aldığınız ya da üçüncü platformlara ait vpn'ler değildir. vpn cihazı bizzat modemin yanında ve elinizin altındadır; kurulumu tamamen size özgü - özeldir. bunun amacı sızıntı ihtimallerine kalkan olması için makineye isp'nin adresini göndermemek ve tor'a internet servis sağlayıcısı gibi davranan bir cihazdan ip adresi göndermektir -ve- burada ise makinenin network kartı da özgün ip adresini bilmez ve burada sızıntı ihtimalinde sahte internet servis sağlayıcısının devreye girmesi planlanır. güvenlik için odaklanan linux modelleri de bunları simüle etmeye çalışır... örneğin: bu ekran görüntüsünde iki sanal makine vardır ve bunlardan birisi tamamen network tasarımıdır ve bu tasarım da sızıntı ihtimallerine karşı yapılandırılmıştır. eğer, makineden -özgün ip adresi sızmaya başlarsa- diğer makinedeki tor ağı da bağlantıyı keser. bu, bir emniyet valfi gibi ya da gaz kaçaklarında akımı kesen otomatik vanalar gibi düşünülebilir.
  
  bu bilgileri tartışmak ve yorumlamak da sansasyonel bir dolap çevirdiğiniz anlamına gelmiyor ve bilişimciler için gizlilik bir tutkudur; amacı olmayan bir oyundur... bkz: #100210633 bunu tersine mühendislik için bilmek isteriz. tor'un güvenli olmadığını iddia edenlerin de tor'un gerçekten ağ yapısını incelediklerini ve tasarımından haberleri olduğunu sanmıyorum. inceleyiniz: #90898969 tor browser için de resmi aynalar kullanarak ve hakkında en temiz bilgilendirme yapmak amacı ile reklam kullanmadan babamın hayrına bir sayfa hazırladım. bkz: /tor tor ile ilişkilendirilen deep web için de saf arayan site ve platformlara ders vermiştim. bkz: #92948551 /*düzenlendi*/
• ifade hürriyeti / iletişim hakkı -ve- demokrasinin şüpheye düştüğü bir ülkede yaşıyorsanız elinizin altında olmalı. tor, internet servis sağlayıcınıza trafik bilgilerini vermez ve trafik analizine karşı bir savunma yaparken; ip adresinizi de en az üç röle üzerinden yollayarak gizler. ip adresinizin bu tor sunucularında hangi amaçla bulunduğu da bilinmez; tor sunucuları talep edilen trafikleri bilmez. röle denilen bu sunucuların tasarımında kayıt yoktur. bu sunucular hem tor ekibi tarafından hem de gönüllü aktivistler ya da bilgisayar korsanları tarafından kurulur. sunucular genellikle public / kamuya açık alanlarda kurulur. bu çıkış rölelelerini (exit node) bir bilgisayar korsanı ise odasında da çalıştırabilir. talep ettiğiniz trafiklere sahte bir ip adresi gösteren işte bu çıkış rölesidir. bu çıkış rölesinin bir iletişim adresi vardır ve bu rölenin sahibine ulaşılabilir; ancak rölenin sahibi istekleri dikkate almaz, çünkü alamaz. kendi rölesine bağlanan istemcinin -ilk ip adresini- çözebilecek bir teknik yetenek sunucuda çalışmaz. bu durumda sorumlu olan da kendisidir ve kendisini koruma altına almadan çıkış rölesi çalıştıracak cesareti göstermez. kısaca, tor'un çalışma prensibi budur.
  
  çıkış rölelerinin ip adresleri kamuya açıktır. yasal olarak tor, bu çıkış rölelerini açmak zorundadır. çıkış röleleri bir gizlilik ayrıntısı değildir; -hem web siteleri hem de internet servis sağlayıcıları- bu çıkış rölelerinden gelen istekleri reddebilir. buna da kısaca sansür diyoruz. iki yıl önce de basında şöyle haberler çıktı: "tor yasaklandı!" yasaklanan tor değildi, tor ekibinin açmak zorunda olduğu sunucuların adreslerinin engellenmesinden ibaretti. tor'un tasarımında "engel" kelimesi yoktur. engel kelimesi, tor'un felsefesine aykırıdır; internet sinyalini kokladığı anda sizi dinler ve açılışta internet servis sağlayıcınızın bir sansürcü olup olmadığını sorar, sizi dinleyen bu sunucu gizlidir, bu gizli tor sunucusuna "sansür ve baskı altındayım" mesajını yolladığınızda kamuya açılmayan özel tor rölelerinin anahtarlarını verir. bu sunucular da gizli köprü sunucuları olarak adlandırılır.
  
  ____________________
  bazı sık aranan yanıtlar:
  
  1
  tor browser, bilgisayarınızın yerel ağ ayarlarını değiştirmez. bu yalnızca tor ağını kullanan linux işletim sistemlerinde mümkündür. tor ağını kullanan linux işletim sistemlerinin kullanım amacı ileri düzey katı anonimlik senaryolarıdır... tor browser'dan farklı olarak bütün ağ, tor sunucuları üzerinden geçirilir ve bunun yanı sıra, sızıntı durumunda internet erişimi otomatik olarak kesilir. kali, tails, whonix ve backtrack (backtrack için tor varsayılan değildir) gibi anonimlik ve güvenlik üzerine çalışan linux işletim sistemleri bunlara bir örnektir. tor browser, işletim sisteminin yerel ağ ayarlarından bağımsız olarak kendi ağını kullanır. tor browser, işletim sisteminizin yerel ağını etkilemeyeceği için, bilgisayarınızda kullandığınız diğer tarayıcılar için gizlilik söz konusu olmaz.
  
  2
  tor browser'ı indirmenin birden fazla yolu var. -üçüncü parti indirme siteleri ve tor ayna siteleri- bunların başında gelir. tor browser'i indirebileceğiniz bütün kaynaklara erişim engellenmiş ise, "gettor@torproject.org" email adresine: "windows 32" (ya da) "windows 64" ileti gövdesi ile bir mesaj yollamanız yeterlidir. (işletim sisteminiz / mac-os & linux) bu otomatik olarak gönderilen yanıtta direkt indirme bağlantılarınızı bulacaksınız. ayrıca -google drive ve archive.org- deposu da bu iletide verilecek. bkz: archive.org/details/@gettor - drive.google.com/drive/folders/
  
  3
  tor browser ilk kurulduğunda varsayılan olarak, -bilinen rastgele bir çıkış rölesine- bağlanmaya ayarlanmıştır. internet servis sağlayıcıları; bu rölelere erişimi engellemiş ise, bağlantı başarısız olacak. ama tor, henüz ağa giriş yapmasa bile yine de sizin ne yapmak istediğinizi dinleyebilir... tor browser'da bağlantı başarısız ise, "configuration" düğmesini kullanarak özel yapılandırma alanına gitmelisiniz ve şimdi tor'dan gizli köprü sunucularının anahtarlarını talep etmelisiniz. sadece iki aşamanız var: 1 - tor'a köprü isteğini yolla 2- bu köprü anahtarını al ve gönder
  
  hepsi bu kadar!
  
  resmi tor browser aynaları kullanan hazırladığım bu sayfadan da aynı bilgileri alabilirsiniz. (web sitesi ve sayfa reklam kullanmaz, kayıt tutmaz ve ziyaretçisi üzerinden gelir elde etmez)
  
  "kavga etmek yerine tor kullanmayı seçen ilk insan uygarlığın kurucusuydu . . ." -sigm. freud *
• bağlantı kurmak yeterli değil. bağlantı kurduktan sonra etkileşime geçmek isterseniz ve sizin için mahremiyet arz eden durumlar, çoğu kez telefon numarası gibi engellerle karşılaşır ki bunlardan birisi de e-posta servisleridir. yandex, microsoft ve google bir telefon numarası talep eder; yahoo mail ya da diğer tanınan alternatifler de aynı şeyi yaparlar. bu durumda da anonim mail servisleri devreye girebilir, fakat onlar da spam klasörüne yollanırlar... çözüm için mailfence.com servisi kullanılabilir. zaten servis anonimlik üzerine kurulduğundan; tor da bu anonimliği katılaştıracak.
  
  öte yandan çöp kutusuna bile ziyan yorumlar var. hem burada hem bir gelir ve reklam izlemeden; temiz bir şekilde teknik yorumlara dayanan /tor sayfasında da, -tor'un neden izlenemeyeceği ve neden güvenli olduğunu- tor rölelerinin çalışma tasarımlarından yola çıkarak anlattım. teknik dille böyle ifade edemiyorlar tabi / çevirisini yaparak yanıt vermek gerekirse: tor sunucuları kayıt tutamıyor; bunun böyle olduğuna inandıracak bir kanıt isteyen için yine sadeleştirilmiş bir örnek vermek gerekirse: tor, hedefe çıkış rölesinden talep gönderir (exit node) bu çıkış rölesini kullanıcı kendisi de kurabilir. (tabi riski kabul ederse) bu çıkış röleleri bir ofiste ya da bir yerde toplu halde duran makineler değil; bazen kamuya açık kurumlarda (*bunu internet cafe gibi anlayabilirsiniz) genellikle de aktivist bilgisayar korsanlarının yanı başındadır. siz tor'a bağlandığınızda arkanızda genellikle ethical hacker gibi diyebileceğimiz; bir aktivist bilgisayar korsanı var... o, sizi izleyebilir mi? yanıt: hayır. bu yanıttan emin olmak istiyorsanız, tor röle belgelerine bakın ve bir röle kurun. sonra kurduğunuz rölede kayıt tutun & bunu onaylamaları için tor ekibine gönderin; bu röle asla listeye alınmayacak. tor resmi iddialarında sahtekarlık olsaydı kanıtlamak çok eğlenceli olacaktı. (ileri düzeyde network tecrübeniz -ve- sosyal mühendisliğinizden emin değilseniz röle sahibinin risklerini göze alacaksınız: röleniz üzerinden yapılan bütün işlemlerden siz sorumlu olacaksınız)
  
  vpn ile tor'un tamamen farklı bir tasarıma sahip olduğunu okuma yazmayı yeni sökmüş birisine tane tane anlatır gibi anlattım, bkz: #90898969 - bkz: 2 #99525148 ve edward snowden'ın da, tor kullanıcısı olduğunu söyleyerek; linux ile daha da katılaştırılacağını da ekledim bkz: #100210633
• antivirüsler tarafından engellenebilir. antivirüsler kaydedilmemiş davranışları / dosyaları şüpheli olarak işaretlerler ve tor browser için de botnet ya da malware gibi uyarılar verebilir; paketi resmi web site ya da resmi aynadan indirdi iseniz antivirüs yazılımınızın uyarılarını gözardı edebilirsiniz; bu yanlış bir pozitif olur. tor dosyalarının saldırganlar tarafından taklit edilmesi de mümkün; ama tor ekibi dağıttığı bütün dosyaları imzalar. yine de bu dosyanın taklit edilmediğinden emin olmak istiyorsanız dosyanızın imzasını doğrulayabilirsiniz, *talimatlar için: whonix wiki'ye (windows) veya tor resmi desteğine başvurabilirsiniz. (varsayılan ağ ayarı komut satırında torproject.org için başarısız sonucunu döndürecek ve anahtarları alamayacaksınız - torproject.org tr'de erişime kapalı). *aslında kısaca bir alternatif metot da kullanabilirsiniz; tor resmi desteğinde de belirtilen openpgp imzaları oluşturmak / doğrulamak için kullanılan açık kaynak kodlu gpg4win aracını indirin ve tor exe ya da asc uzantısını; şifrelemeyi aç / doğrula düğmesinden içe aktararak parmak izini okuyabilirsiniz: görüntü 1 sonra da tor resmi web sitesindeki liste ile karşılaştırabilirsiniz: docs/signing-keys.html.en = görüntü 2 (önemli: bu yönteme güvenmemelisiniz, doğrulama için torproject.org'a bağlanmalısınız. bu; dosya aptal bir saldırgan tarafından tasarlanırsa çalışır).
  
  hem torproject.org'un erişime kapatılması hem de tor browser hakkında çeşitli efsanevi yorumlar olması nedeni ile -reklam ve benzeri herhangi bir ticari gelir izlemeden- tor browser için temiz bir sayfa hazırlamıştım - bkz: sayfa bu sayfadaki dosyalar tor resmi aynadan okunur. (tor.ybti.net). karşılaştırın: torproject.org/getinvolved/mirrors.html.en dosyanızı bu sayfadan indirmeniz ile buradan indirmeniz arasında fark yoktur. ayna sunucular, sansürler için tor ekibi tarafından oluşturulur. dosyayı tor resmi sunucu veya resmi ayna dışında aracılık eden bir sunucu üzerinden indirmenin riski de olabilir; ama bu risk web sitesinin güvenliği ile ilgili olabilir. web sitesinin pek iyi güvenliği yoksa referans bağlantıları, bir saldırgan tarafından başka kaynağa yönlendirilebilir. (oluşturulan bu sayfada bu ihtimaller gözardı edilmemiş ve xss - hsts gibi çeşitli web güvenlik önlemleri alınmıştır. sayfa, katı bir owasp zap saldırı simülasyonundan geçmiştir ve de sunucuda arka planda tam zamanlı owasp zap güvenlik duvarı çalışmaktadır. ayrıca özel güvenlik kuralları yazılmıştır ve url tabanlı şüpheli bir sorgulamada potansiyel saldırgan dışarı atılır veya bir saldırı başarılı olursa sunucunun yanıtı kesmesi gerekir. sonuç olarak sayfanın yönlendirdiği referanslar daima doğru çalışmalı: aracılık eden bu sayfa ise, dosya kaynağı da tor.ybti.net ise sorun yoktur).
  
  bu entry; technopat.net'de bir kullanıcının tor browser için oluşturulan söz konusu sayfayı işaret ederek antivirüs uygulamasının raporunu sayfa ile eşleştirme şüphesi yüzünden yazıldı: konu öte yandan tecrübelerime dayanarak sanırım söyleyebilirim ki, saldırgan tarafından hazırlanmış taklit bir tor browser dosyasını antivirüslerin tespit etme olanağı yoktur; saldırgan bu pakette tor rölelerini değiştirecektir ve tor röleleri zaten gizlidir. sonuçta bu rölenin tor'a mı ait olduğu yoksa bir saldırgana ya da sansürcü bir hükümete mi ait olduğunun, antivirüsler için hiç önemi yoktur. dolayısıyla antivirüsler, tor browser dosyaları için asla röle doğrulama aracı olarak çalışamazlar. belki, sadece küçük işler peşindeki acemi bir saldırgan dosyanın simgesini tor'a benzetmiştir ve backdoor gibi işlerin peşindedir ve onda da zaten tor browser penceresini açamasınız; o kendini arka planda sisteme hızla atar ve çalıştıracağınız bir şey göremezsiniz. zaten bu tip şımarıklıkları antivirüsler uygulama açılırken değil, yüklenirken engelliyor. tor browser dosyasının sahte olup olmadığını doğrulamanın tek yolu; -yukarıda yönlendirildiği şekilde- tor ile iletişime geçmektir. (ayrıca önceki yorumlamalar için bkz: tor browser/@yazanbiri deep web hk bkz: #92948551)
• btk'nın bütün internet kullanıcılarına tavsiye ettiği ağ. uzun zamandır güncellenmeyen sayfasını da güncelledim: https://47-1538.s.cdn13.com/tor (not 001: reklam değil. cdn ip ile reklam mı olur - hem basit o numaralar. hem de işbu sunucu; özel gizli bir takım amaçlarla çalışmakta olup, hiçbir sayfasında reklam kullanmaz ve yönlendirme yapmaz: arkada ne dolaplar çevirdiğini asla ve hiç bilemezsiniz ki. içerikleri hakkında bilgilendirilmeden de asla bilgilenemezsiniz. 2018'den beri bu görevi allah rızası için yürütmekte ve masraflarını da btk'nın kesesinden karşılamaktadır). ayrıca bakınız ki benzerleri zaten burada not 002: tor ahlaksız değil - ahlaksız ve kötü olanlar hep insanlardır. tor'u da suistimal eden kişi zaten hep bir delidir. not 002'ye ek: bu entry aslında yoktu: <draft> </draft> etiketlerinden çıkarıldı ve tekrar içeri girebilir; profilde bir kirlilik yaratıp - yaratmadığı ekşi sözlük entry kalite mühendislerinin ellerine verilip itina ile kontrol ettirilecektir.
  
  /*düzenleme*/ bana tor'u anlatma; kim olursan ol: çok az birazcık havalıyım o konuda <3 bir röle kurdum; saçım sakalım ağardı. okuyarak değil, düşerek öğrendim - tavsiyelerin için minnettarım. sansürlere aşırı karşıyım, çünkü ifade hürriyetinin yanındayım. herkes konuşmalı... sen de konuş o da konuşsun; hepimiz konuşalım! // tor'un önemini de (umarım) anlamak zorunda kalmazsınız. evet. bunu umarım. vpn'lerin bağlantı noktaları kim tarafından kontrol ediliyor akıllım? çatır çatır çalışan o vpn'lerin bağlantı noktalarına; iss istese el koyamaz mı? hem de çin gibi şak diye koyar...
  
  demek vpn var sende? sana ben kıyamam ki! birisi şuna orta kutu ne anlatsın ve iss istese nelere muktedir; l2tp falan nedir, tünel bağlantılar nasıl açılıyor, kim izin veriyor bir öğretsin: çin'e kadar gidip yorulmasın. tor tünel bağlantı noktalarını nasıl açıp dağları aşıyor - tor gerçekten nedir; biri ona öğretmelidir. bence bizim hükümete göre sansürler çok naziktir: ya bu işi bilmiyorlar ya da işi oraya henüz vardırmak istemiyorlar... yalnızca (ama belki de şimdilik) http isteklerini filtreliyorlar.