Facebook официально доступен в Tor

[@ValdikSS]

Trying to grok this Facebook-over-Tor thing. On the one hand, cool! On the other, it seems a little like taking a shower and rolling in mud.

twitter.com/matthew_d_green/status/528187078149144577

[@amarao]

КАК? КАК?? КАК???? КАК ОНИ СУМЕЛИ ПРОБРУТФОРСИТЬ ХЕШИ НАСТОЛЬКО ГЛУБОКО? ЭТО ЖЕ ТРИЛЛИОНЫ ТРИЛЛИОНОВ КОМБИНАЦИЙ!

Извините, что недостаточно большие буквы для вопроса.

(краткая справка: чтобы получить звучное начало имени в *.onion, нужно подбирать такой приватный ключ, чтобы публичный содержал желаемые буквы — чем больше букв, тем больше комбинаций надо перебирать. Например, 64¹⁵).

[@ValdikSS]

Да, я тоже крайне удивился. Даже core, е-мое.

[@vibornoff]

Не зря, ох не зря все внезапно решили отказаться от SHA-1 в SSL-сертификатах.

[@ValdikSS]

Говорят, что они сбрутили кучу хешей, начинающихся на facebook, и выбрали наиболее красивый.
archives.seul.org/tor/talk/Oct-2014/msg00433.html

[@vsespb]

Значит ли это, что кто-то ещё может сбрутфорсить то же имя?

[@ValdikSS]

Нет. Они просто перебирали совершенно случайные имена, потом взяли те, которые получились с «facebook» в начале и выбрали самое красивое.

[@rPman]

Непонимаю ваше нет!
Если кто то смог получить адрес (и приватные ключи к нему) до последней буквы желаемый — значит сможет это сделать с любым другим адресом!?

[@ValdikSS]

В том и дело, что они подбирали только первые 8 символов (facebook), а на остальные 8 они не могли влиять. Получился такой красивый ключ, в который входило слово «core», вот они и решили его выбрать из-за того, что можно хоть историю придумать.

[@vsespb]

facebook сбрутфорсить можно.
facebook + красивое слово — сбрутфорсить можно.

Значит, чтобы сейчас сбутфорсить facebookcorewwwi — нужно в N раз больше усилий, чем потратило facebook,
где N — количество «красивых слов»?

[@Meklon]

Нет. Facebook+Corewwwi по сложности не отличается от facebook+fgxdiojh или fghyzcgs+fdsahkuy. Просто они из огромной пачки случайных ключей выбрали симпатичный.

[@ValdikSS]

facebook + красивое слово — сбрутфорсить можно.

Случайно получилось, что последовательность после «facebook» «core».

Вот смотрите, брутилка на GPU.

.onion Address 2^(5*length-1) / hashspeed

For example on my nVidia Quadro K2000M, I see around 90 MH/s.

Чтобы получить конкретно facebookcoreXXXX, нам нужно 203 года. Чтобы сбрутить facebookcorewwwi, нужно 212971034 лет.

[@tangro]

212 миллионов GPU-карточек сбрутят его за 1 год.

[@MacIn]

Извините, как случайно-то? Я правильно понял (сам не в теме, извините; просто заинтересовало), что нам нужно вычислить хеш, на выходе которого мы и получаем, условно, нужную строку? И вдруг, совершенно случайно, на очередном раунде, имеем на выходе нужную красивую строчку?

[@ValdikSS]

Чуть сложнее даже. Нам нужно сгенерировать такой ключ, хеш которого будет равен нужной строке. Но, в целом, верно.

[@MacIn]

Неплохое тогда такое везение получается.

[@amdf]

Брутил джаваскрипт, встроенный в страницы фейсбука :)

[@Chamie]

Так вот почему он у меня так тормозит!</irony>

[@vagran]

Возможно это и было сделано, чтобы публично продемонстрировать их возможности знающим людям, скомпрометировать Tor, или что-нибудь ещё из этой серии. Времена сейчас тревожные.

[@inkvizitor68sl]

Во-первых у них МНОГО машин.
Во-вторых за 30 минут на лаптопе легко брутится нечто, начинающееся с нужных 6 букв.

Так что я удивлен, что они себе просто facebook.onion не сбрутили =)

[@ValdikSS]

6 букв это совсем не 8. Брутить 8 значительно сложнее.
Tor-адрес не может быть менее или более 16 символов.

[@inkvizitor68sl]

6 букв — это на лаптопе. за 30 минут.
Средний сервер, которые сейчас у нас закупают имеет 16 ядер (+HT), при том каждое ядро раза в 2 быстрее одного ядра моего лаптопа. И да, на моём лаптопе 2 ядра (+HT).

А сервера в mapreduce прекрасно собираются, да.

[@ValdikSS]

Вы за 30 минут получаете всего один ключ, который начинается на нужные вам 6 символов. На все остальные символы вы не можете влиять. Для получения нужных 7 символов, потребуется уже десятки часов.

[@inkvizitor68sl]

А они и не влияли на остальные символы — набрали кучу разных вариантов и выбрали самый красивый.

А ваши десятки часов (сотни для 8 символов?) становятся минутами с кластером mapreduce на 1к машин.

[@ValdikSS]

habrahabr.ru/post/242145/#comment_8103671

[@achekalin]

Спалились парни. Они знаю о TOR-е что-то, чего мы с вами не ведаем :)

Если только, конечно, Цукербергу не приснились эти ключи после долгого рабочего дня — как Менделееву его Периодическая таблица.

[@ValdikSS]

Кое-кому удалось купить SSL-сертификат на имя facebookcorewwwi.onion
blog.ian.sh/2014/10/31/tls-over-tor/

[@ivanko]

Уже отозвали.

[@amdf]

А что если купить домен первого уровня .onion?

[@Ayahuaska]

А вам его кто-то продаст?

[@amdf]

Да, их продают. Яндекс себе уже купил.

[@Ayahuaska]

Вы — Яндекс? (: Повторю вопрос: кто вам его продаст? Посмотрите, сколько времени заняла эта заявка у Яндеха, а они — не самая мелкая и малозначительная организация.

[@amdf]

Почему вы хотите обсуждать не обобщённую (при этом реализуемую) возможность покупки домена, а конкретную возможность покупки домена именно мной. Нет, я не могу купить этот домен. Зарплата не позволяет. Вообще же такие домены продаются.

[@Ayahuaska]

Я думаю, вы замучаетесь собирать «бумажки». Более того, я не думаю, что люди распределяющие домены первого уровня — наивные идиоты.

[@Mendel]

Зря минусуете. Человек может неверно выразился, но вообще дело говорит.
Яндекс действительно получил домен… ну если быть точнее, то зону, потому что это Яндекс. И не потому что у них бабок больше. Там всё тоньше и сложнее. Помимо бабла там нужно еще доказывать что ты будешь хорошим хозяином этой зоне. Арабам халяль дали, и вот у евреев с кошером пока проблемы — конкуренты выступают против.
Конечно вероятность создания такой зоны не нулевая, но пока я не очень себе представляю процедуру того как она должна работать, чтобы это допустили в текущей структуре Интернета.

[@Ayahuaska]

Здорово, что хоть кто-то понял о чём я.
Кстати, о деньгах я даже не упоминал. Лишь о том, что Яндекс — довольно крупная и значимая в русскоязычной части Интернета компания. Однако, они сами пишут:
Это была большая работа финансово-юридического департамента, а помогала нам подавать заявку Британская фирма Safenames, которая давно помогает нам с регистраций доменов.
Заявка стоит достаточно дорого — 185 тысяч долларов, так что, видимо, не каждый.
Ещё где-то писалось, что это заняло не мало времени, правда сейчас найти не смог источник.
Итого:
с одной стороны — крупная и авторитетная компания, домен совпадающий с именем компании,
с другой — не малые затраты на регистрацию.

Заявку на регистрацию ".onion" ICANN даже рассматривать не будут, имхо. Это всё равно что попытаться зарегистрировать localhost.

[@inkvizitor68sl]

Да, заметьте, 185 тысяч стоит именно заявка, а не домен =)

[@Mendel]

Где-то была калькуляция. Вроде как простенькая зона без конфликтов и т.п., без спорных ситуаций, и сильно сложных технический решений выходит около полумиллиона. Точную цифру не помню, но порядок такой.

[@amdf]

Специально поискал зарегистрированные и использующиеся пищевые домены, нашёл: .beer, .fish, .soy, .vodka. С чего бы это не будут рассматривать заявку на .onion?

[@Ayahuaska]

Чтобы избежать пересечения с адресами TOR?

[@amarao]

Внезапно, оно не даёт регистрироваться из orweb'a (tor-браузер для андроида). Требует js и все такое. Пока что не катит.

[@ValdikSS]

Ну, вы не надейтесь, что они будут поддерживать работу без js. Как бы и в Tor Browser поддержку js по умолчанию не выключают.

[@amarao]

Вообще, надеюсь. Js слишком много говорит о браузере и платформе, это позволяет трекать человека и следить за ним. Я понимаю, что это священная обязанность фейсбука, но уж раз сказали тор, то анонимность надо делать до конца.

[@ValdikSS]

Да как бы об анонимности ничего сказано не было, только о безопасности. Это смешно как-то, facebook и анонимность.
По сути, это просто более удобный способ попасть на facebook в случае блокировки.

[@amarao]

Why not? Если они разрешат анонимность (пусть, с ограничениями по взаимодействию с обычными пользователями), то сумеют нарастить аудиторию из гиков, параноиков и т.д., из той их части, которая 100% потеряна при текущей политике.

[@EuroElessar]

Можете попробовать mbasic.facebook.com/ — это мобильная версия Facebook для тех странных устройств, которые не умеют js.

[@areht]

> сумеют нарастить аудиторию из гиков, параноиков

Вы знаете анекдот про неуловимого Джо?

Но сделать 4chan из фейсбука — идея интересная.

[@amarao]

Это аудитория, которой иначе не будет.

[@Evengard]

Это нерентабельная аудитория.

[@amarao]

Вы это считали?

[@Mairon]

Фейсбук считал

[@amarao]

Линк?

[@valemak]

Ждём несколько сотен миллионов новых пользователей из Китая.

[@astronom]

Особо надеяться не стоит, как мне кажется:



В сравнении с Россией выглядит совсем печально…

[@ColorPrint]

Хм, а что случилось в середине августа 2013 и в июне 2014?

[@Chamie]

Про июнь 2014 с ходу не вспомню, но про август 2013-го: geektimes.ru/post/188556/

1 августа — Всероссийская интернет-забастовка (#ЗаконПротивИнтернета)
^{Регулирование интернета*, Законодательство и IT-бизнес*, Копирайт*}
1 августа вступил в силу 187-ФЗ.
Более известный широкой общественности под разными эпитетами: «антипиратский», «закон о произвольных блокировках», «руcская SOPA».
Или просто — закон против интернета.

[@bioskiller]

Тор в Китае давно научились блокировать, как и i2p.

[@vilgeforce]

IMHO, ничего особо сложного в блокировке TOR нет: блокируем доступ к 10 корневым серверам и клиенты не смогут получить список узлов, следовательно не смогут и построить маршрут. Profit.

[@vilgeforce]

Эта часть сети как-то прошла мимо меня, спасибо за информацию. Буду разбираться как это работает.

[@gonzazoid]

интересно, кто выиграет больше — лицокнига или тор?

[@Ivanhoe]

Больше пользователей -> больше нод, даже если не выходных, то промежуточных. Так же вроде?

[@lumag]

Нет, Tor можно использовать не только для этого. Я использую Tor для Nat Traversal. Кто-то использует Tor для доступа к заблокированным ресурсам. Кто-то обходит с его помощью корпоративные прокси. Анонимность — только одна из сторон многогранной медали. Просто нужно помнить, что к «анонимным» ресурсам надо ходить используя браузер, отличный от основного. Чтобы исключить возможность утечки cookies/другой информации.

[@vilgeforce]

Не всякий клиент — нода, ноду нужно включать отдельно.

[@lumag]

Нет, «просто пользователи» не используются как промежуточные ноды. Разве что в каком-нибудь TBB режим relay будет включен по-умолчанию.

[@gonzazoid]

уже раскрыли тему, конспектирую:
популяризация тора -> больше пользователей, какой то процент конвертируется в ноды -> больше нод — дороже компрометация системы. Как то так.
Что касается анонимности книголицев — уже ответили, тут речь о других пользователях тора, которые потенциально могут от этого выиграть. Хотя, конечно, при должном уровне паранойи, да, да, мы помним за чей счет банкет.

[@Temych]

Официальные комменты Tor, в ответ на возникшие вопросы от общественности, например, как авторизация в FB согласуется с анонимностью)

[@akamajoris]

Использовать тор для общения с друзьями в соц. сети и указывать реальные данные, ммм… да это ГЕНИАЛЬНО.

[@Temych]

Не все так однозначно.
Одно то, что FB будет доступен вне зависимости от решений о его блокировке на территории страны — уже хороший повод соцсети там присутствовать.
+ Не только общение, но и что боятся больше всего госорганы — координация действий
+ Приход в данную сеть такого гиганта даст хороший повод задуматься и другим о своем присутствии там.

[@Stiver]

Молодцы. Теперь на инсинуации типа «да у вас там в даркнетах одни пиратосуицидальные педотеррористы кучкуются» можно гордо отвечать «ага, они самые + весь город Facebook».

[@Temych]

Да это тоже крайне важно — будет достойный аргумент оппонентам.
Ну и как сказал выше — высока вероятность, что и остальные за фейсбуком потянутся

[@Mairon]

Вы так говорите, будто коллективные Железнязулины различают пиратосуицидальных педотеррористов и Фейсбук.

[@Meklon]

Тем более, что есть православные ВКонтакте и Одноклассники.

[@Inflame]

Те, кто не понимает целесообразности и полезности этого шага, почитайте: blog.torproject.org/blog/facebook-hidden-services-and-https-certs
Там же написано и про брутфорс доменного имени.

[@hioma]

Что-то я не понимаю. Если они планируют отключить проверку от взлома аккаунта из-за выхода с «неизвестного» ранее местоположения, то это значит, что злодей, который уведёт мой пароль, сможет специально заходить на *.onion ресурс и обходить таким образом проверку? То есть это только облегчает несанкционированный доступ по украденным данным?

[@EuroElessar]

Я только предполагаю, но кажется, что Tor может быть одним из «местоположений», и если вы никогда им не пользовались, то facebook может посчитать его за «неизвестный» источник и провести все необходимые проверки, включая аутентификацию по телефону и так далее.

[@hioma]

А, то есть при первом выходе провести такую проверку, а после уже не спрашивать? Ну да, такая схема уже лучше звучит, но всё равно подвергает повышенной опасности тех, кто пользуется Facebook из TOR'а. Получается как бы «общее местоположение», которым любой может воспользоваться. Как всегда, борьба удобства и безопасности

[@EuroElessar]

Для сети тор в принципе отсутствует понятие «местоположения», по идее даже два соседних запроса могут выйти через разные ноды. Но при этом еще может оставаться какая-нибудь проверка по версии/названию браузера, кукам и какой-нибудь косвенной информации, так что косвенных источников аутентификации остается не так мало.

[@Inflame]

Например, Tor Browser Bundle старательно затирает почти всю косвенную информацию, по которой можно различать и отслеживать пользователей. Вот тут можно пройти проверку и сравнить с обычным браузером: ip-check.info/