GLF

*seufz*

In diesem Fall war es so: Hier wurden nicht die Benutzer der Seite enttarnt, sondern der echte Standort des Servers. Und zwar hat der Betreiber einfach Mist bei der Konfiguration gebaut. Allerdings kann man keinen solchen Mist bauen, dass die Besucher enttarnt werden, sondern man kann nur seinen eigenen Server verraten, wenn man nicht vorsichtig ist.

Das hat nichts mit Javascript zu tun. Javascript ist ohne Lücke sicher und geht nach wie vor über das Tor-Netzwerk.

Ich mache mal ein vereinfachtes Beispiel:

Du betreibst einen Server mit der öffentlichen IP 123.123.123.123.
Du willst aber natürlich nicht, dass man die IP weiß. Also machst du einen Hiddenservice namens "meinserver.onion" auf. Alle Links auf dieser Seite gehen über meinserver.onion, also z.B. meinserver.onion/Hautpseite.html.
Blöderweise hat er einen Fehler begangen. Das Captcha ging nicht etwa auf meinserver.onion/Captcha.html, sondern auf 123.123.123.123/Captcha.html.

Für die Besucher der Seite über Tor ist das kein Problem. Denn die gehen dann mit der Exitnode auf 123.123.123.123/Captcha.html.
Aber der Server selbst ist enttarnt, weil wir nun die echte IP wissen. Nämlich 123.123.123.123.

Deswegen soll man bei der Konfiguration des Servers immer eins tun: Niemals den Server normal über das Internet zugänglich machen, sondern NUR über das Tor-Netzwerk. Er hatte beides offen und hat übersehen, dass der Captcha über das normale Netz zu seinem Server geht.

Also nochmal: Kein Benutzer wurde enttarnt. Keine Lücke wurde ausgenutzt. Es hatte nichts mit Javascript zu tun. Der Serverbetreiber war einfach dumm und hat das Captcha über das offene Netz verlinkt.

Ovid hat geschrieben:*seufz*

....

Also nochmal: Kein Benutzer wurde enttarnt. Keine Lücke wurde ausgenutzt. Es hatte nichts mit Javascript zu tun. Der Serverbetreiber war einfach dumm und hat das Captcha über das offene Netz verlinkt.

Danke für diese fällige Aufklärung.

Überhaupt: Wie kommt jemand auf die Idee dass die Identifizierung eines Hidden-Service für den Drogenhandel etwas mit einem Fehler in TOR zu haben muss? Rieselt der Stoff etwa aus dem Diskettenlauwerk? Die Durchführung des Geschäfts funktioniert nur offline. Da setzt die Polizei an, indem sie etwa die Transport/Geldwege erkundet. Die studieren nicht den Quellcode von TOR, um eine Lücke zu finden, die sie dann ausnützen. Für den gewöhnlichen TORuser besteht weiterhin kaum Gefahr, wenn er gewisse einfache Standards beachtet.

mfg

Captcha hat geschrieben:Wenn das einfach so an TOR vorbeilaufen kann, weil da so ein Ei einen Programmierfehler gemacht hat, wozu dann das ganze noch?
[...]
Was hat das TOR Entwicklerteam dagegen getan?

Es wurde Tails entwickelt. Dies ist ein Linux-Live-System, bei dem nicht nur der Browser über Tor mit dem Internet verbunden ist, sondern jegliche Netzwerkverbindungen.

Bei Wikipedia unter "Tails" leicht nachlesbar.

Viel Spaß beim Ausprobieren.

Nur so nebenbei:
Das Coole ist, dass man sofort ein "Ausrufezeichen" auf der Zwiebel im Browser oben links sieht, wenn eine neuere Version vom TOR Bundle verfügbar ist. Wie vor einigen Tagen

facebook hat geschrieben:Wie vor einigen Tagen

Nee, wie immer! Grrr verdammt.

Lolimat hat geschrieben:

facebook hat geschrieben:Wie vor einigen Tagen

Nee, wie immer! Grrr verdammt.

Wie jetzt, verpasst?