tor browser

• electronic frontier foundation ve privacy international 'ın görüşlerine göre web sitelerinin yasal liyakatlarına bakılmaksızın kullanılması gerekir... mahremiyeti savunan bu iki organizasyona göre tor sadece: "internet'i anonim kullanmanıza yardımcı olan bir yazılım paketidir..." ve: "bu da kim olduğunuzun ya da neye baktığınızın bilinmesini engeller..." bu açıklamalara göre ise, tor %99'un üzerinde bir gizlilik vaat ediyormuş gibi anlaşılıyor; yanıt tam olarak evet değil, bazı şüpheler var.
  
  internet servis sağlayıcılarının trafik analizlerine karşı savunmak için tasarlanan tor, gerçekten bir kimlik gizleyebilir mi? [the guardian] gazetesinin iddiasına'na göre nsa tor trafiğini izleyebilir. ama, yine the guardian gazetesinin iddia ettiği -tor stinks- adlı bu belgeye göre, uluslararası veya abd için önemli bir yasal ihlal yoksa, tor bu durumda kullanıcılarının anonimliğini garanti ediyor.
  
  tor en az default 3 çıkış rölesi kullanıyor; bağlantı kurulan web sitesine trafik son röleden yani exit node denilen açık bir sunucudan ulaşıyor. *a bilgisayarından gelen trafik <c> sunucusuna gidiyor ve <c> sunucusu da yine başka bir <c >sunucusuna aktarıyor ve zikzak çizmeye devam eden trafik bu kez özel tor rölelerine ulaşıyor: tor röle sunucu listesi - örnek (fakat tor'un bağlantı kurduğu bu özel röleler yukarıdaki gibi halka da açık değil; amacı sansür önleme olan sunucularla - kimlik gizlemek için trafik manipüle edecek olan köprü sunucular aynı işlevi görmez ve açıkta değildir...) orta röleden geçen istek ise, şimdi son bir tor sunucusuna; halka açık bir sunucusuna bağlanıyor. nihayet bağlantı kurulan web sitesine trafik, bu son exit node rölesinden ulaştı... şimdi web sitesi ya da daha doğrusu bağlanılan bu sunucu, isteğin geldiği *a bilgisayarını <d> olarak kabul ediyor. sunucunun artık bu trafiği takip edebilmesi için, internet servis sağlayıcılarının yardımına ihtiyacı var, çünkü hiçbir sunucu kendisine ulaşmış bir kimliğin gerçek -ya da- manipüle edilmiş bir kimlik olduğunu ayırt edebilecek yetenek ve bir teknik drifte sahip değildir. internet servis sağlayıcısının kimlik takibi yapabilmesi için: *a bilgisayarından gelen kimliği ortaya çıkarabilmesi için, <a>'dan gelen 3 çıkış rölesini çözmesi gerekir ama bu 3 çıkış rölesinin takibini zorlaştıran ve <a> kimliğine ulaşılmasının önünü kesen, bağlanılan ilk orta çıkış rölesidir; yani yukarıdaki şemadaki gibi c'den c'ye aktaran röledir, ki en önemli kimlik manipülesi de budur... kimliği çarpıtacak olan ve olası bir durumda kalkan olacak tam hedefe yaklaşılmışken bir itiraz daha yapacak olan bu 2. orta röledir. çünkü şemadaki *a bilgisayarı ilk <c>'ye / orta röleye bağlandığında, ilk orta röle *a bilgisayarının konuşlandığı lokasyonu tanır... kısaca: bu ilk orta röle, *a bilgisayarındaki çıkış rölesini çarpıtmak için, ikinci bir orta röle ile bağlantıya geçer; bir başka ifade ile de: ip takibini birbirine dolaştırmak için yalancı bir kimlik verir; böylelikle tor sunucuları üzerinden de sahte bir kimlik/adresle geçer...
  
  internet servis sağlayıcılarının, gerçekte dört ve temelde en az 3 çıkış rölesinden geçen bu zikzak kimliğin takibini teknik olarak yapabilmeleri şu an için çok zor, ve teknik olarak bu röleleri çözüp gerçek bir kimliğin takibini yapabilmeleri için hareket edebilecekleri bir alan neredeyse yoktur... internet servis sağlayıcıları, bağlantı kurulan web sitelerini okuma / görme imkanlarına sahiptir ama bu da bağlantı kurulan web sitelerinde hangi işlemlerin gerçekleştirildiğini görmelerine izin vermiyor; a*'dan x siteye bir trafik gidiyor, ancak bu trafiğin içeriği ile ilgili bilgiyi de toplayamıyor. tıpkı kredi kartı ile yapılan bir alışveriş gibi: banka x'in adına 1 x şirketine bir miktar para veriyor, ama x'in 1 x şirketinden ne aldığını da okuyamıyor, sadece 1 x şirketinin adını ve çalışma sahasını görüyor; bankanın bunu görebilmesi şirketin satış faturalarına / kasasına bağlanması gerekiyor; ama burada da poz cihazı şirketin satış faturalarının okunabildiği kasaya bağlı değil, dolayısıyla banka da satış faturalarının listelendiği kasaya değil, sadece şirketin banka hesabına bağlanıyor. durum internet servis sağlayıcıları içinde aynı, *a'nın hangi sunucuya trafik gönderdiğini okuma şansına sahipken, içerikle ilgili gönderilen bilgileri keylogger gibi okuma şansına sahip değildir. tor ise, isp'nin bu okuma şansını da manipüle etmek için tor bridges denilen ek köprüyü kullanır. tor tarayıcıdaki javascript'indeki false / kapalı ayarlanması ve 3.şahıs bir eklenti kullanılmaması teknik anlamda isp'lerin tor rölelerini çözmekte zaten çok dar olan alanlarını daha da daraltıyor. tor hakkındaki iddiaları ve tor'un teknik yapısını birleştirdiğimizde ortaya çıkan sonuç ise: tor'un çıkış rölelerini; onun da kesinliği bilinmemekle birlikte, çözebilecek çapta olan -nsa / fbi- gibi bir iki istisnanın olduğu veya olabileceği ama tor'un vaat - garanti iddiasına göre bunların hedefleri dışında kalan kullanıcılarının anonim olacağıdır; anonimlik iddiası bunların dışındakiler içindir.
  
  şimdi tersine bir mühendislik düşünelim; tor'un arkasına gizlenen kimliği nasıl açığa çıkartırız? siyah ve beyaz şapka hackerların başvurdukları yöntemlerinden birisi de: sosyal mühendisliktir. denilebilir ki, yeri gelince bu bir teknik yetenekten daha önemli ve gerekli olabilir. tor bağlantısı kuran bir kimse henüz güvende değildir; bütün teknik sağlamaları yerine getirmiş olsa bile asla başında güvende değildir... bu kişinin kimliğini açığa çıkartmak için, kullanabileceğimiz sosyal mühendislik yöntemlerimiz var. izini süreceğimiz bu hedefin açığa çıkmasına katkı verecek ama belki de tek katkıyı verecek olan, onun önünden geçip de bakmadığı ufak tefek şeyler olacaktır. hedef, kimlik bilgisayarının gizlendiğinin yeterli olduğunu düşünerek, daha önce gerçek kimlik adresi ile aldığı bir e-posta adresini kullanabilir ve de telefon numarasını bile kullanmış olabilir. bu ikisi yanıtsız kalıyorsa; güçlü ihtimal vermese bile, tahmin yapılabilmesine olanak tanıyacak olan; beceri ve zeka gerektiren üçüncü yöntemdir: yazım ve yorumlama üzerinden bir çıkarım yapılabilir. hedef kişi, teknik kimliğini manipüle ettiği gibi, sosyal kimliğini de manipüle etmeyi başaramazsa yargı vermemiz çok zor olur ama gözlemlerimiz keskin ve analitik ise en azından şüphe edilebilecek konuma da çekeriz. hedef sosyal kimliğini manipüle etmeyi de başarabilir; o güne kadar bilinen yazım, imla ve yorumlama biçimlerini değiştirebilir, anonim bir yorumlama sıfatı kazanmak için yazım kurallarını şimdi hiç olmadığı kadar bozabilir ve yorumlama nüansını baştan sonra benzersiz değiştirebilir; bu durumda maalesef girebileceğimiz açıklar da kapanır... hedefimiz, sosyal mühendislik açıkları ile teknik gizlilikteki tüm açıkları da yakmak istiyorsa, tor yazılımını harddiske değl ram / geçici belleklere atacaktır; bu durumda da hedefin bilgisayarına tor kurduğu bilgisine bile ulaşamayız ya da <gutmann metodu> ile bunları ortadan kaldırdıysa, hedef ya azılı bir manyaktır ya da gizliliği kafaya takmış bir paranoyak. tersine bir mühendislikle düşündüğümüzde hedefimize ulaşabilecek fiziksel ve sosyal delillerin olduğunu da görüyoruz.
  
  /*düzenleme*/ electronic frontier foundation