17 06.2015

17 żelaznych zasad dla użytkowników sieci TOR

Tydzień temu rozpoczęliśmy cykl porad dla email marketerów. Dzisiejszym artykułem zaczynamy zaś kolejny cykl porad, tym razem dla użytkowników i potencjalnych użytkowników sieci TOR.

Tak naprawdę jest to już drugi artykuł na ten temat na naszych łamach, już wcześniej bowiem opublikowaliśmy zbiór naszych wewnętrznych procedur dotyczących szyfrowania dysków twardych (artykuł Ochrona danych o krytycznym stopniu poufności).

Dzisiaj przedstawimy podstawowe zasady korzystania z sieci TOR. Zaś w kolejnych odcinkach napiszemy o:

  • sprzęcie komputerowym i sieciowym, jakiego potrzebujesz, aby zapewnić sobie bezpieczeństwo
  • bezpiecznym szyfrowaniu dysków
  • bezpiecznej konfiguracji oprogramowania TOR, oraz stacji roboczych
  • obwodach zasilających i mechanizmach killswitch, zabezpieczających Cię przed przechwyceniem Twoich komputerów włączonych, z rozszyfrowanymi dyskami
  • sposobach pracy działów bezpieczeństwa w korporacjach i ich współpracy ze służbami
  • technikach identyfikacji użytkowników TOR przez korporacje i służby państwowe, oraz metodach oszukiwania tych technik


Jeśli chcielibyście poczytać o innych aspektach TOR, niż te z powyższej listy, piszcie w komentarzach albo bezpośrednio do nas na adres pomoc@fajne.it.


Intencją autora ani wydawcy artykułu nie jest namawianie bądź zachęcanie do łamania prawa. Jeśli popełniłeś lub masz zamiast popełnić przestępstwo, bądź masz wątpliwości, czy Twoje działania nie będą łamać prawa, powinieneś skonsultować się z najbliższą jednostką Policji lub Prokuratury, a jeśli są one związane z pieniędzmi, dla pewności również z Urzędem Skarbowym.



17 żelaznych zasad dla użytkowników sieci TOR
  1. Bezwzględnie szyfruj wszystkie dane i nośniki związane z TOR (dyski twarde, pen drive'y itp.). Każdy nośnik powinien być szyfrowany innym kluczem/hasłem. W kolejnych artykułach podpowiemy Ci szereg dobrych praktyk związanych z naprawdę bezpiecznym szyfrowaniem nośników.
  2. Używaj TOR tylko na wydzielonej infrastrukturze IT, fizycznie odseparowanej od Twojego normalnego komputera. Maszyna wirtualna nie wystarczy, idealna sytuacja to przynajmniej 3 osobne komputery i dodatkowy router (po co aż tyle, wyjaśnimy w kolejnych artykułach).
  3. Nie używaj TOR na laptopie, chyba że ma całkowicie wyjętą baterię i jest na stałe przypięty w jednym miejscu, jako komputer stacjonarny. Nie wynoś komputerów i nośników związanych z TOR poza zaufany lokal, w którym pracujesz.
  4. Nie daj się zaskoczyć z włączonymi komputerami i rozszyfrowanymi nośnikami danych. Zasilaj je za pośrednictwem tzw. killswitchy, umożliwiających odcięcie zasilania i wyłączenie komputerów jednym ruchem ręki, oraz automatycznie w przypadku wyłamania drzwi wejściowych. W jednym z kolejnych artykułów podpowiemy Ci, jak skutecznie zabezpieczyć lokal za pomocą killswitchy i innych niespodzianek dla nieautoryzowanych gości.
  5. Nigdy nie przenoś danych i nośników z komputerów związanych z TOR do Twojego normalnego komputera. Niech to, co robiłeś w TOR, pozostanie tylko w Twojej głowie, oraz na nośnikach schowanych w bezpiecznych miejscach - ale nadal podłączanych w razie czego tylko do komputerów przeznaczonych do użytku z TOR.
  6. Nie pracuj na komputerach związanych z TOR jako administrator. Pracuj na zwykłych kontach, a uprawnienia administratora uzyskuj za pomocą su/sudo tylko na potrzeby wykonania danej czynności administracyjnej. Co jakiś czas reinstaluj od zera całe oprogramowanie używane z TOR, twórz nowe konta, konfiguruj na nich od początku przeglądarkę itd. A jeśli chcesz używać systemu Windows, koniecznie wykonaj te kroki.
  7. Przyjrzyj się oprogramowaniu typu Tor Browser. Używaj na komputerach związanych z TOR albo takiego oprogramowania, albo standardowego, ale skonfigurowanego w analogiczny sposób, tj. wyłączone ciastka, wyłączone różne pluginy do przeglądarki itd.
  8. Zwracaj uwagę na to, czy łączysz się z poszczególnymi stronami przez połączenie http (nieszyfrowane), czy https (szyfrowane). Unikaj stron bez obsługi https, w szczególności nie pobieraj z nich dużych plików (większych niż kilka megabajtów) i nie wypełniaj na nich jakichkolwiek formularzy.
  9. Jeśli chcesz używać z TOR oprogramowania do obróbki grafiki, do składu tekstu itp., bądź niestandardowych czcionek, rób to wyłącznie na kolejnym, dedykowanym do tego komputerze. Upewnij się, że na głównej stacji roboczej do TOR nie ma zainstalowanych żadnych niestandardowych czcionek.
  10. Nie uruchamiaj żadnego oprogramowania ściągniętego przez TOR - nawet tego podpisanego cyfrowo (może ono wpływać na konfigurację komputera, np. modyfikując działanie przeglądarki, i posłużyć do identyfikacji Twojego komputera). Jeśli naprawdę musisz, rób to na kolejnym, dedykowanym do tego komputerze, uruchamianym z Live CD i wyłączanym po każdym użyciu.
  11. Nie ufaj i nie mów nikomu, co robisz w sieci TOR. Nawet żonie i dzieciom. Staraj się nie pić alkoholu (jeśli już, to tylko w niewielkich ilościach i w zaufanym towarzystwie), ani nie używać żadnych substancji wpływających na działanie umysłu.
  12. Nigdy nie podawaj za pośrednictwem TOR swoich prawdziwych danych osobowych, adresowych, ani żadnych innych związanych z Tobą lub innymi osobami, które znasz (w szczególności, których nie lubisz, lub które nie lubią Ciebie).
  13. Jeśli zarabiasz w sieci TOR, nie afiszuj się stanem majątkowym i nie kupuj nic dużego i/lub rzucającego się w oczy (samochód, mieszkanie itp.) za zarobione pieniądze. Nie wprowadzaj tych pieniędzy do obiegu bankowego. Fizycznie je ukryj i traktuj jako zabezpieczenie na czarną godzinę (tj. na wypadek, gdy nie będziesz się już musiał przejmować wytłumaczeniem komukolwiek ich pochodzenia, bo będziesz miał na głowie poważniejsze problemy), możesz także "dosypywać" sobie z nich (byle z umiarem!) do oficjalnych dochodów i kupować dzięki temu droższe, zdrowsze jedzenie, nieco lepsze ubrania, zacząć chodzić na siłownię, czy nawet od czasu do czasu kupić tańszy komputer stacjonarny albo inną rzecz potrzebną do pracy. Pamiętaj jednak, by za wszystkie te rzeczy płacić wyłącznie gotówką i nie brać faktur, a jedynie paragony.
  14. Jedna z podstawowych technik identyfikacji użytkowników w sieci TOR to korelacja czasowa zdarzeń - czymkolwiek zajmujesz się w sieci TOR, staraj się wypracować strategię łamania korelacji czasowej: Twoje maile powinny być wysyłane automatycznie, gdy Ty śpisz lub gdy jesteś poza zaufanym lokalem, najlepiej o losowych porach (w kolejnych artykułach podpowiemy Ci, jak to zrobić). Na Twoim łączu internetowym powinien przez cały czas (24/7) być ruch związany z siecią TOR, nawet niewielki (może to być pobieranie w kółko jakichś losowych plików lub cokolwiek innego).
  15. Jeśli Twoje komputery zostaną Ci odebrane przez funkcjonariuszy, a następnie oddane - pamiętaj: to już nie są Twoje komputery. Możesz z nimi zrobić dwie rzeczy: używać do całkowicie jawnych celów (np. dać dziecku do zabawy i pamiętać o legalności ewentualnych gier), lub sprzedać np. na Allegro. Absolutnie nie uruchamiaj na nich już nigdy TOR, nie używaj haseł związanych z TOR, nie odszyfrowuj dysków twardych, ani nie podpinaj żadnych nośników (poza płytami DVD z oryginalnym, legalnym oprogramowaniem).
  16. Jeśli prowadzisz ukrytą usługę TOR na dedykowanym serwerze w firmie hostingowej, traktuj zdarzenia takie jak podpięcie czegokolwiek do portu USB, czy nagłe wyłączenie/restart maszyny, jako jej kompromitację. Jeśli do tego doszło, absolutnie nie rozszyfrowuj już nigdy dysku na takiej maszynie (przygotuj się zawczasu - powinieneś mieć backupy danych, oraz zapasowe maszyny w innych serwerowniach).
  17. Jeśli dopiero chcesz prowadzić ukrytą usługę TOR - pamiętaj, że Twoja wolność i bezpieczeństwo są ważniejsze od stabilności łącza i wydajności łącza, serwera, czy dysków. Pojedyncze łącze i kilka megabitów przepustowości powinny w zupełności wystarczyć na początek, więc w miarę możliwości uruchom tą usługę bezpośrednio z lokalu, w którym pracujesz, zamiast z zewnętrznej serwerowni, nad którą nie masz żadnej kontroli. I koniecznie pamiętaj o killswitchach.


Intencją autora ani wydawcy artykułu nie jest namawianie bądź zachęcanie do łamania prawa. Jeśli popełniłeś lub masz zamiast popełnić przestępstwo, bądź masz wątpliwości, czy Twoje działania nie będą łamać prawa, powinieneś skonsultować się z najbliższą jednostką Policji lub Prokuratury, a jeśli są one związane z pieniędzmi, dla pewności również z Urzędem Skarbowym.



Ten artykuł jest częścią naszej misji wyrównywania szans przeciętnego człowieka w starciu z korporacjami i służbami obcych państw, działającymi z pozycji siły. Zobacz także pozostałe dotychczas opublikowane artykuły na ten temat:



Tomasz Klim
Administrator serwerów i baz danych, specjalista w zakresie bezpieczeństwa, architekt IT, przedsiębiorca. Prawie 20 lat w branży IT. Pracował dla największych i najbardziej wymagających firm, jak Grupa Allegro czy Wikia. Obecnie zajmuje się doradztwem dla klientów Fajne.IT, a w wolnych chwilach pisze artykuły. Chętnie podejmuje się ciekawych zleceń.


Wzbudziliśmy Twoje zainteresowanie?

Szukasz pomocy? formularz kontaktowy