• kullananların ip adreslerini sızdıran bir açık bulunması nedeniyle mac ve linux kullanıcılarının tor browser'larını güncellemeleri tavsiye edilmiş. (windows ve tail'de sıkıntı yokmuş)
  • internet saglayiciniz, tor browser'da ne yaptiginizi bilmese bile tor kullandiginizi anlayabilirmis.
    ve, bunu anlamalarini zorlastirmak icin bridge relays (bridges) kullanmak gerekliymis.

    ayrintilar tor project sitesinde anlatilmis:
    https://www.torproject.org/docs/bridges
  • adamlar ciddi http://www.torproject.com/ a erişimi yasaklamışlar. vay be :) gerçi normal bir şey.
  • galiba açılmıyor.
  • galiba açılan alternatif browser'dır.
  • electronic frontier foundation ve privacy international 'ın görüşlerine göre web sitelerinin yasal liyakatlarına bakılmaksızın kullanılması gerekir... mahremiyeti savunan bu iki organizasyona göre tor sadece: "internet'i anonim kullanmanıza yardımcı olan bir yazılım paketidir..." ve: "bu da kim olduğunuzun ya da neye baktığınızın bilinmesini engeller..." bu açıklamalara göre ise, tor %99'un üzerinde bir gizlilik vaat ediyormuş gibi anlaşılıyor; yanıt tam olarak evet değil, bazı şüpheler var.

    internet servis sağlayıcılarının trafik analizlerine karşı savunmak için tasarlanan tor, gerçekten bir kimlik gizleyebilir mi? [the guardian] gazetesinin iddiasına'na göre nsa tor trafiğini izleyebilir. ama, yine the guardian gazetesinin iddia ettiği -tor stinks- adlı bu belgeye göre, uluslararası veya abd için önemli bir yasal ihlal yoksa, tor bu durumda kullanıcılarının anonimliğini garanti ediyor.

    tor en az default 3 çıkış rölesi kullanıyor; bağlantı kurulan web sitesine trafik son röleden yani exit node denilen açık bir sunucudan ulaşıyor. *a bilgisayarından gelen trafik <c> sunucusuna gidiyor ve <c> sunucusu da yine başka bir <c >sunucusuna aktarıyor ve zikzak çizmeye devam eden trafik bu kez özel tor rölelerine ulaşıyor: tor röle sunucu listesi - örnek (fakat tor'un bağlantı kurduğu bu özel röleler yukarıdaki gibi halka da açık değil; amacı sansür önleme olan sunucularla - kimlik gizlemek için trafik manipüle edecek olan köprü sunucular aynı işlevi görmez ve açıkta değildir...) orta röleden geçen istek ise, şimdi son bir tor sunucusuna; halka açık bir sunucusuna bağlanıyor. nihayet bağlantı kurulan web sitesine trafik, bu son exit node rölesinden ulaştı... şimdi web sitesi ya da daha doğrusu bağlanılan bu sunucu, isteğin geldiği *a bilgisayarını <d> olarak kabul ediyor. sunucunun artık bu trafiği takip edebilmesi için, internet servis sağlayıcılarının yardımına ihtiyacı var, çünkü hiçbir sunucu kendisine ulaşmış bir kimliğin gerçek -ya da- manipüle edilmiş bir kimlik olduğunu ayırt edebilecek yetenek ve bir teknik drifte sahip değildir. internet servis sağlayıcısının kimlik takibi yapabilmesi için: *a bilgisayarından gelen kimliği ortaya çıkarabilmesi için, <a>'dan gelen 3 çıkış rölesini çözmesi gerekir ama bu 3 çıkış rölesinin takibini zorlaştıran ve <a> kimliğine ulaşılmasının önünü kesen, bağlanılan ilk orta çıkış rölesidir; yani yukarıdaki şemadaki gibi c'den c'ye aktaran röledir, ki en önemli kimlik manipülesi de budur... kimliği çarpıtacak olan ve olası bir durumda kalkan olacak tam hedefe yaklaşılmışken bir itiraz daha yapacak olan bu 2. orta röledir. çünkü şemadaki *a bilgisayarı ilk <c>'ye / orta röleye bağlandığında, ilk orta röle *a bilgisayarının konuşlandığı lokasyonu tanır... kısaca: bu ilk orta röle, *a bilgisayarındaki çıkış rölesini çarpıtmak için, ikinci bir orta röle ile bağlantıya geçer; bir başka ifade ile de: ip takibini birbirine dolaştırmak için yalancı bir kimlik verir; böylelikle tor sunucuları üzerinden de sahte bir kimlik/adresle geçer...

    internet servis sağlayıcılarının, gerçekte dört ve temelde en az 3 çıkış rölesinden geçen bu zikzak kimliğin takibini teknik olarak yapabilmeleri şu an için çok zor, ve teknik olarak bu röleleri çözüp gerçek bir kimliğin takibini yapabilmeleri için hareket edebilecekleri bir alan neredeyse yoktur... internet servis sağlayıcıları, bağlantı kurulan web sitelerini okuma / görme imkanlarına sahiptir ama bu da bağlantı kurulan web sitelerinde hangi işlemlerin gerçekleştirildiğini görmelerine izin vermiyor; a*'dan x siteye bir trafik gidiyor, ancak bu trafiğin içeriği ile ilgili bilgiyi de toplayamıyor. tıpkı kredi kartı ile yapılan bir alışveriş gibi: banka x'in adına 1 x şirketine bir miktar para veriyor, ama x'in 1 x şirketinden ne aldığını da okuyamıyor, sadece 1 x şirketinin adını ve çalışma sahasını görüyor; bankanın bunu görebilmesi şirketin satış faturalarına / kasasına bağlanması gerekiyor; ama burada da poz cihazı şirketin satış faturalarının okunabildiği kasaya bağlı değil, dolayısıyla banka da satış faturalarının listelendiği kasaya değil, sadece şirketin banka hesabına bağlanıyor. durum internet servis sağlayıcıları içinde aynı, *a'nın hangi sunucuya trafik gönderdiğini okuma şansına sahipken, içerikle ilgili gönderilen bilgileri keylogger gibi okuma şansına sahip değildir. tor ise, isp'nin bu okuma şansını da manipüle etmek için tor bridges denilen ek köprüyü kullanır. tor tarayıcıdaki javascript'indeki false / kapalı ayarlanması ve 3.şahıs bir eklenti kullanılmaması teknik anlamda isp'lerin tor rölelerini çözmekte zaten çok dar olan alanlarını daha da daraltıyor. tor hakkındaki iddiaları ve tor'un teknik yapısını birleştirdiğimizde ortaya çıkan sonuç ise: tor'un çıkış rölelerini; onun da kesinliği bilinmemekle birlikte, çözebilecek çapta olan -nsa / fbi- gibi bir iki istisnanın olduğu veya olabileceği ama tor'un vaat - garanti iddiasına göre bunların hedefleri dışında kalan kullanıcılarının anonim olacağıdır; anonimlik iddiası bunların dışındakiler içindir.

    şimdi tersine bir mühendislik düşünelim; tor'un arkasına gizlenen kimliği nasıl açığa çıkartırız? siyah ve beyaz şapka hackerların başvurdukları yöntemlerinden birisi de: sosyal mühendisliktir. denilebilir ki, yeri gelince bu bir teknik yetenekten daha önemli ve gerekli olabilir. tor bağlantısı kuran bir kimse henüz güvende değildir; bütün teknik sağlamaları yerine getirmiş olsa bile asla başında güvende değildir... bu kişinin kimliğini açığa çıkartmak için, kullanabileceğimiz sosyal mühendislik yöntemlerimiz var. izini süreceğimiz bu hedefin açığa çıkmasına katkı verecek ama belki de tek katkıyı verecek olan, onun önünden geçip de bakmadığı ufak tefek şeyler olacaktır. hedef, kimlik bilgisayarının gizlendiğinin yeterli olduğunu düşünerek, daha önce gerçek kimlik adresi ile aldığı bir e-posta adresini kullanabilir ve de telefon numarasını bile kullanmış olabilir. bu ikisi yanıtsız kalıyorsa; güçlü ihtimal vermese bile, tahmin yapılabilmesine olanak tanıyacak olan; beceri ve zeka gerektiren üçüncü yöntemdir: yazım ve yorumlama üzerinden bir çıkarım yapılabilir. hedef kişi, teknik kimliğini manipüle ettiği gibi, sosyal kimliğini de manipüle etmeyi başaramazsa yargı vermemiz çok zor olur ama gözlemlerimiz keskin ve analitik ise en azından şüphe edilebilecek konuma da çekeriz. hedef sosyal kimliğini manipüle etmeyi de başarabilir; o güne kadar bilinen yazım, imla ve yorumlama biçimlerini değiştirebilir, anonim bir yorumlama sıfatı kazanmak için yazım kurallarını şimdi hiç olmadığı kadar bozabilir ve yorumlama nüansını baştan sonra benzersiz değiştirebilir; bu durumda maalesef girebileceğimiz açıklar da kapanır... hedefimiz, sosyal mühendislik açıkları ile teknik gizlilikteki tüm açıkları da yakmak istiyorsa, tor yazılımını harddiske değl ram / geçici belleklere atacaktır; bu durumda da hedefin bilgisayarına tor kurduğu bilgisine bile ulaşamayız ya da <gutmann metodu> ile bunları ortadan kaldırdıysa, hedef ya azılı bir manyaktır ya da gizliliği kafaya takmış bir paranoyak. tersine bir mühendislikle düşündüğümüzde hedefimize ulaşabilecek fiziksel ve sosyal delillerin olduğunu da görüyoruz.

    /*düzenleme*/ electronic frontier foundation
  • giriş ve çıkışlardan kullanıcıların yakalandığı browserdır.

    la casa de papel’de bitcoin karşılığı silah alırken kullanılmıştır. ipek yolu kurucuları müebbet yemiştir.
  • 1 yıl önce zerodium adlı bir firma tor browser'ın zero day açığını bulana 1 milyon dolar ödül teklif etmişti. zero day açık daha önce gün yüzüne çıkmamış, kimsenin farketmediği veya farketse bile çaktırmadığı bir tür açık oluyor. şöyle demişler kendileri:

    "pek çok olayda, tor, uyuşturucu ticareti veya çocuk istismarı gibi faliyetlerde bulunan çirkin insanlar tarafından kullanıldı. bu özel ödülü, devletlerin suçla savaşması ve dünyayı herkes için daha iyi bir yer haline getirmesi için sunuyoruz"

    tabii ki bu bir güç gösterisi falan değil, kendileri de iyilik meleği değil zaten. zerodium'daki arkadaşlar bunu 1 milyon dolara satın alıp, devletlere hatta belki de zararlı yazılım* üreticilerine satacaklar.

    10 eylül 2018'de de tor'da kritik bir zero day açık bulunduğuna dair twit atmışlar. herhalde artık satabilecekleri herkese sattıkları için bunu halka açıklayıp bir de oradan prim yapayım demişler.

    açık, tor browser'da yüklü ve aktif gelen, noscript eklentisinden kaynaklanıyor. normalde, sizin kimliğinizi gizili tutmak adına, web sitelerindeki javascript, java, flash gibi içerikleri engelliyor bu eklenti. çünkü bunlar sizin kimliğinizi ortaya çıkarmak veya kullandığınız aygıtın karakteristik bilgilerini elde ederek size dair ipuçları elde etmek için kullanılabilir.

    noscript "classic" 5.0.4'den 5.1.8.6'ya kadar olan ve "en güvenli*" seçeneği aktif olan versiyonları için geçerli. bu da tor browser 7.5.6'da gelen versiyon. header'daki içerik-tipi*'ni json formatına çevirerek her tür javascript dosyasını çalıştırabilir hale getirilebiliyormuş. yani birileri sizin tor browser'ınızda istediği javascript'i çalıştırabilir ve kimliğinizi açığa çıkarabilir demek.

    tor'un yeni sürümlerinde bu açık yok. zaten noscript 5.1.8.7 versiyonuyla bu hata düzeltilmiş.

    siz siz olun uygulamalarınızı güncel tutun efendim. gerçi geçenlerde chrome'un mega eklentisini, kötü amaçlı bir versiyonla değiştirip sonra kullanıcılara güncelleme geldi kardeş diye uyarı vererek güncelleyen herkesin kritik bilgilerini çalmıştı bazı insanlar. öyle hemen her şeye de atlamayın.

    güncelleyin ama çok da hızlı güncellemeyin.
  • mesele internetten gonderilen verilerin gizliligi ise kisi tor browser degil kendi kurdugu vpni kullanmali, hatta bu vpn'i router uzerinden baglantisini yaparak kullanmali.

    tor ile takipten kactiginizi zannederken verilerinizi hic alakasiz sekizinci kisilere verirsiniz.

    (bkz: mikrotik)
    (bkz: pfsense)
    (bkz: wireguard)
  • sitesine bile girilemeyen browser. artık mahkeme kararı çıkarmaktan yorulduklarından olacak; engelli değil, açılmıyor sadece.

    bir şekilde edinirseniz** de çin, türkiye ve 3. bir ülkeden* iseniz, tor browser sizde yasak olduğundan önce şöyle şöyle yapmanız gerekir diyerek ülkenizle gurur duymanızı sağlayabilir.
hesabın var mı? giriş yap