Хабр Курсы для всех
РЕКЛАМА
Практикум, Хекслет, SkyPro, авторские курсы — собрали всех и попросили скидки. Осталось выбрать!
Хабр доступен 24/7 благодаря поддержке друзей
Комментарии 41
Анонимные публикации подписывать электронным ключом, так автор и читатели будут знать что она не изменена.
А как анонимно до читателй доставить наш публичный ключ? Тоталитарный режим же его тут же перехватит и подменит.
Предполагается, что «тут же подменит» не происходит — по крайней мере всегда. Вообще, для решения этой проблемы есть понятие WoT — web of trust, подразумевающее, что ключ человека подписан каким-то количеством других ключей, которые доверяют ему.
Основным является защита от спонтанной подделки, а не от курирования человека всю жизнь с самого детства посредством постоянного MiM (в этом случае человек ничего не узнает о криптографии, а то, что узнает, не будет содержать в себе рабочих алгоритмов).
Основным является защита от спонтанной подделки, а не от курирования человека всю жизнь с самого детства посредством постоянного MiM (в этом случае человек ничего не узнает о криптографии, а то, что узнает, не будет содержать в себе рабочих алгоритмов).
Тоталитарный режим тут же выловит тех, кто подписал ключ анонимного автора, и деанонимизирует под пытками.
Как она это сможет сделать по ключу?
Подписывая чей-то ключ, я удостоверяю соответствие ключа и указанного в нём идентификатора. Например, если в ключе указано, что это ключ владельца email'а anonymous@somewhere.nowhere, то я должен каким-то образом удостовериться, что владелец ключа, который я подписываю, действительно является владельцем указанного email'а. Иначе никакого trust быть не может. Т.е. подписание чьего-то ключа равно деанонимизации владельца.
Доверие читателя автору возникает только тогда, когда есть цепочка подписей, которая ведёт от читателя до самого автора. Таким образом, можно пройти по этой цепочке физически, начав с читателя, и деанонимизировать всех, заканчивая автором.
На самом деле, для идентификации анонимного автора не нужна никакая WoT. Анонимный автор — это виртуальная личность, которая состоит из публикаций. Достаточно надёжно удостоверить, что автором всех этих публикаций является одна личность. Для этого достаточно иметь неподписанный секретный ключ.
Доверие читателя автору возникает только тогда, когда есть цепочка подписей, которая ведёт от читателя до самого автора. Таким образом, можно пройти по этой цепочке физически, начав с читателя, и деанонимизировать всех, заканчивая автором.
На самом деле, для идентификации анонимного автора не нужна никакая WoT. Анонимный автор — это виртуальная личность, которая состоит из публикаций. Достаточно надёжно удостоверить, что автором всех этих публикаций является одна личность. Для этого достаточно иметь неподписанный секретный ключ.
То, что вы описываете — это один из вариантов WoT, подразумевающего «real names».
Но вполне может быть подпись чужого ключа в стиле «да, этот тот чувак, который коммитил в мой репозиторий и сделал такую-то фичу». Или «да, это тот самый ключ, который был подписан известный слив информации с серверов ФСБ». То есть идентичность,
которая подтверждается не имеет выхода IRL.
Собственно, подписание, возможно, например, газетой или правозащитной организацией. При этом для внутренних целей там используется другой ключ, который (по известному принципу) хранится в тайне в полном комплекте, включая публичный ключ.
Но вполне может быть подпись чужого ключа в стиле «да, этот тот чувак, который коммитил в мой репозиторий и сделал такую-то фичу». Или «да, это тот самый ключ, который был подписан известный слив информации с серверов ФСБ». То есть идентичность,
которая подтверждается не имеет выхода IRL.
Собственно, подписание, возможно, например, газетой или правозащитной организацией. При этом для внутренних целей там используется другой ключ, который (по известному принципу) хранится в тайне в полном комплекте, включая публичный ключ.
«да, этот тот чувак, который коммитил в мой репозиторий и сделал такую-то фичу». Или «да, это тот самый ключ, который был подписан известный слив информации с серверов ФСБ». То есть идентичностьНет, это не идентичность. Можно заверить, что X закоммитил нечто в репозиторий, но нельзя заверить факт, что X является автором этого нечто, если подписант не заглядывал через плечо в процессе авторства.
Кто мешает купить vps за 5 копеек и поднять там i2p / onion / что угодно? При этом саму настройку осуществлять через tor / vpn.
tor, это вариант, да. Если настройку осуществляют через VPN, то возникает вопрос во-первых в доверии к VPN-провайдеру, а во-вторых проблеме тайминг атаки: если у тоталитарной Евы есть возможность задерживать пакеты на указанное время (например, 100-300мс), то она с лёгкостью найдёт пользователя VPN, контролируя трафик между VPN и пользователем и между VPN и VPS.
а что помешает тоталитарному режиму посмотреть, откуда эти 5 копеек пришли и наказать покупателя? Или уже есть сервисы, продающие VPS за биткоины?
а что помешает тоталитарному режиму проследить транзакции кошелька, с которого оплачен биткоинами VPS?
Полная анонимность — сложная и дорогая штука, требующая к тому же дисциплины и системности действий.
Полная анонимность — сложная и дорогая штука, требующая к тому же дисциплины и системности действий.
Псевдоанонимные криптовалюты типа биткоина могут сделать микширование. Можно с помощью zerocoin. Есть и другие варианты.
Т.е. в криптовалютах можно очень сильно усложнить отслеживание.
Т.е. в криптовалютах можно очень сильно усложнить отслеживание.
Или уже есть сервисы, продающие VPS за биткоины?
Есть, и немало их.
Есть такие сервисы!
www.ccihosting.com/vps.php
libertyvps.net/offshore-vps/
ititch.com/
А 5 копеек пока ещё можно и анонимно перевести — например, купив через терминал qiwi виртуальную визу, и получив данные на левую симку и левый телефон. Если вы не крадёте мильон и не убиваете никого — вас не догонят :)
Всё вышесказанное является умозрительным упражнениям для ума, отказ от гарантий и всё такое.
www.ccihosting.com/vps.php
libertyvps.net/offshore-vps/
ititch.com/
А 5 копеек пока ещё можно и анонимно перевести — например, купив через терминал qiwi виртуальную визу, и получив данные на левую симку и левый телефон. Если вы не крадёте мильон и не убиваете никого — вас не догонят :)
Всё вышесказанное является умозрительным упражнениям для ума, отказ от гарантий и всё такое.
Зависит от того насколько «в режиме» сложно добывать «левые» платежные инструменты
В рамках своей статьи вы рассматриваете тоталитарный режим как нечто всемогущее. Но что же тогда может помешать этому режиму ворваться в серверную хостинга i2p серверов, и сделать горячий дамп всей оперативной памяти, чтобы вычислить преступника?
Предположим, они это делают. Даже не «ворваться в серверную», а получить полный контроль над бизнесом, причём долгосрочный.
Дано: i2p хэш-такой-то заплатил биткоинами через миксер, а потом на наш ханипот логинится.
Что мы (как тоталитарный режим) имеем?
хеш пользователя без его адреса.
его контент.
историю транзакций монеток.
его публичный ключ
историю в баше и т.д.
Что из этого позволяет указать на личность автора/владельца сервера?
Дано: i2p хэш-такой-то заплатил биткоинами через миксер, а потом на наш ханипот логинится.
Что мы (как тоталитарный режим) имеем?
хеш пользователя без его адреса.
его контент.
историю транзакций монеток.
его публичный ключ
историю в баше и т.д.
Что из этого позволяет указать на личность автора/владельца сервера?
Ладно, минусы за предыдущий коммент я огреб закономерно. Но тогда еще два момента:
1)Где гарантия что поставщик услуг не скроется, получив биткоины?
2)Если поставщик светит свою персону (обеспечивая безопасность пункта №1), то выгоден ли такой бизнес? Не сделают ли его крайним в случае нарушения «закона»? Не поэтому ли вы предлагаете это как идею, а не как сервис? :)
1)Где гарантия что поставщик услуг не скроется, получив биткоины?
2)Если поставщик светит свою персону (обеспечивая безопасность пункта №1), то выгоден ли такой бизнес? Не сделают ли его крайним в случае нарушения «закона»? Не поэтому ли вы предлагаете это как идею, а не как сервис? :)
Это и называется «малое доверие». Обычно его зарабатывают в процессе работы, а если сотрудничество идёт давно, если поставщик скроется с деньгами за 1 месяц (из предыдущих 30) — не велика потеря.
Проблема с «крайним» есть. Частично может быть решена, если действует компания за пределами стран, где происходит размещение. Например, на Фолклендских островах, или в Эквадоре. При этом заказ происходит по всем странам, но операции координируются из нейтральной страны.
Проблема с «крайним» есть. Частично может быть решена, если действует компания за пределами стран, где происходит размещение. Например, на Фолклендских островах, или в Эквадоре. При этом заказ происходит по всем странам, но операции координируются из нейтральной страны.
Меня как раз смущает в i2p, что сайты остаются сайтами в обычном понимании — контент и логика централизованны на сервере. Просто дорога до него запутана. Нужно что-то распределяющее на этом уровне. Что-то вроде гипертекстового торрента, когда данные есть в разных местах и облава на конкретный сервер бессымысленна.
А что теоретически мешает сделать распределённый frontend-only сервер? По сути та же раздача, как в пиринговых сетях, только в содержимом кучка html-ей, css и js. Тогда тиранам не удастся даже сервер изъять.
… ну и конечно подписанных издателем, чтоб тираны не «редактировали». И также обновления контента от издателя — с подписью.
Как я понимаю, сделать распределенный статический веб — не проблема — BitTorrent Sync в помощь(например), но статический он не так интересен, вот если бы динамический, но тут все сложнее, начиная от того, что каждому придется ставить свой веб-сервер (что, впрочем, не так уж и страшно) и заканчивая довольно-таки сложной задачей распределения БД.
Только вот поправьте меня, если я сильно не прав, только сейчас в i2p сетях нету практически ничего кроме пары хиленьких форумов разработчиков i2p. Так что главный стерх может спать спокойно.
По моим наблюдениям там вполне себе активная жизнь. Через epsilon.i2p не всё находится.
А можете тогда сделать обзор этой самой активной жизни с адресами и описанием?
Или даже проще — все кто прочитали это сообщение, пожалуйста ответьте на него списком ресурсов, которые вы посчитали интересными. Спасибо.
Не ресурс i2p, но тоже интересно. Возразите, что это ни на что не повлияет?
Дело не в том, что I2p предлагает нечто принципиально новое™.
Дело не в том, что I2p предлагает нечто принципиально новое™.
Сайты в i2p
inr.i2p — самый известный регистратор доменных имен, который так же собирает имена сайтов с других регистраторов. На нем можно посмотреть весь список зарегистрированных живых сайтов.
hiddenchan.i2p — русскоязычная борда
anch.i2p — тоже борда, здесь собираются анархисты
rus.i2p — русскоязычная wiki всея i2p
pastethis.i2p — аналог pastebin
flibusta.i2p — зеркало Флибусты, созданное Флибустой
lib.i2p — тоже библиотека, но суто внутри i2p
bashorg.i2p — аналог башорга
i2push.i2p — файлообменник
freezone.i2p — да простит мне НЛО, скорее живой, чем мертвый клон хабры с возможностью постинга от имени «anonymous»
nnm-club.i2p — зеркало сайта nnm-club, торренты остались в clearnet
tracker2.postman.i2p — внутрисетевой торрент-трекер
runode.i2p — русскоязычный торрент-трекер
ptt.i2p — торрент-трекер без открытого реестра торрентов.
lenta.i2p — новости
progromore.i2p — wiki для программистов
e-reading.i2p — библиотека
hiddengate.i2p — сайтик, созданный для того, чтобы не-айтишники, не-крипотоанархисты и не-шифропанки смогли освоится в сети и не шарахаться от ужаса при виде чего-то, чем нужно хоть немного уметь пользоваться.
hiddenchan.i2p — русскоязычная борда
anch.i2p — тоже борда, здесь собираются анархисты
rus.i2p — русскоязычная wiki всея i2p
pastethis.i2p — аналог pastebin
flibusta.i2p — зеркало Флибусты, созданное Флибустой
lib.i2p — тоже библиотека, но суто внутри i2p
bashorg.i2p — аналог башорга
i2push.i2p — файлообменник
freezone.i2p — да простит мне НЛО, скорее живой, чем мертвый клон хабры с возможностью постинга от имени «anonymous»
nnm-club.i2p — зеркало сайта nnm-club, торренты остались в clearnet
tracker2.postman.i2p — внутрисетевой торрент-трекер
runode.i2p — русскоязычный торрент-трекер
ptt.i2p — торрент-трекер без открытого реестра торрентов.
lenta.i2p — новости
progromore.i2p — wiki для программистов
e-reading.i2p — библиотека
hiddengate.i2p — сайтик, созданный для того, чтобы не-айтишники, не-крипотоанархисты и не-шифропанки смогли освоится в сети и не шарахаться от ужаса при виде чего-то, чем нужно хоть немного уметь пользоваться.
Закроют же хабр. Как пить дать закроют. Где-то в районе ссылки на ресурсы с инструкциями по организации массовых беспорядков на следующем большом митинге (который на Сахарова).
Зарегистрируйтесь на Хабре, чтобы оставить комментарий
Сервис анонимной аренды хостинга с i2p-доступом