История создания Tor: от разработок ВМС США до наших дней

Краткая история Tor

История Tor началась в 1995 году в Исследовательской лаборатории ВМС США. Дэвид Голдшлаг, Майкл Г. Рид и Пол Сиверсон создали там первые прототипы луковой маршрутизации. В собственной хронологии Tor Project указано, что они задались вопросом, можно ли «создать интернет-соединения, которые не раскрывают, кто с кем общается». Сеть, которую пользователи применяют сегодня, была развернута в октябре 2002 года, а её код выпущен под свободной лицензией. Организация Tor Project, Inc. была основана как некоммерческая в 2006 году.

Все даты ниже взяты из опубликованной хронологии Tor Project, примечаний к релизам или страниц поддержки. В случаях, когда утверждение является спорным (например, вопрос о финансировании), в разделе приводится имеющаяся информация и источники, где вы можете проверить её самостоятельно.

Что на самом деле делает onion routing

Onion routing разделяет два факта, которые в обычном интернете связаны: кто вы и что вы запросили. Ваш Tor клиент выбирает три реле и строит через них цепочку. Он оборачивает ваш трафик в три слоя шифрования, по одному слою на каждое реле. Каждое реле снимает один слой, узнает только адрес следующего узла и передает пакет дальше. Именно от этого многослойного процесса и произошло название.

Первое реле, называемое guard, видит ваш IP-адрес, но не видит пункт назначения. Последнее реле, exit, видит пункт назначения, но не видит ваш IP-адрес. Промежуточное реле не видит ни того, ни другого. Ни одно отдельное реле не обладает обеими частями информации, и в этом заключается основной аргумент в пользу безопасности. Именно поэтому реле должны управляться независимыми людьми. Если бы одна организация управляла вашим guard и exit, разделение исчезло бы, и шифрование стало бы бесполезным.

Известная уязвимость — корреляция трафика. Наблюдатель, который может одновременно следить за обоими концами цепочки, способен сопоставить время и размер входящих и исходящих пакетов. Tor не защищает от злоумышленника, способного наблюдать за всем интернетом сразу, и об этом прямо говорится в модели угроз в статье 2004 года "Tor: The Second-Generation Onion Router", написанной Roger Dingledine, Nick Mathewson и Paul Syverson.

Почему частная сеть была бы бесполезна

Это та часть, которую опускают краткие обзоры, и она объясняет всё остальное на этой странице.

Военная или разведывательная организация не может получить анонимность в сети, которая передает только её собственный трафик. Анонимность — это свойство толпы, а не свойство шифра. Если каждое соединение, покидающее сеть, принадлежит одному ведомству, то наблюдатель, видящий исходящее соединение, уже получил ответ. Шифрование при этом работает безупречно. Анонимность отсутствует, так как не с кем смешаться.

Поэтому архитектура должна была быть публичной, а трафик — смешиваться с трафиком других людей. Код был выпущен под лицензией свободного программного обеспечения в октябре 2002 года, и любой желающий мог запустить ретранслятор. Журналисты, активисты, исследователи и обычные люди, избегающие рекламных сетей, стали той толпой, которая защищает всех остальных внутри системы. Динглдайн и Мэтьюсон изложили этот аргумент в 2006 году в статье под названием "Anonymity Loves Company: Usability and the Network Effect", представленной на семинаре по экономике информационной безопасности (Workshop on the Economics of Information Security). Вывод заключается в том, что размер и разнообразие пользовательской базы являются свойством безопасности системы. Это не маркетинговый показатель.

От альфа-кода до некоммерческой организации

Хронология The Tor Project и опубликованные ими документы фиксируют следующие этапы:

• Октябрь 2002: развернута сеть Tor, код которой распространяется «под свободной лицензией на открытое программное обеспечение».
• Конец 2003: сеть работает на «примерно дюжине волонтерских узлов, в основном в США, плюс один в Германии».
• 2004: Dingledine, Mathewson и Syverson публикуют проектную работу «Tor: The Second-Generation Onion Router».
• 2004: Electronic Frontier Foundation (EFF) начинает финансировать работу над Tor.
• 2006: основана The Tor Project, Inc. как некоммерческая организация со статусом 501(c)(3) для поддержки разработки.
• 2007: начинается работа над мостами (bridges), так как национальные межсетевые экраны начали блокировать публичный список ретрансляторов.
• 2008: начинается разработка Tor Browser.

Две более поздние даты важны для понимания того, как сеть используется сегодня. Хронология The Tor Project относит использование Tor во время «Арабской весны» к концу 2010 года, когда он применялся для защиты личности и доступа к заблокированным сайтам. Также в ней зафиксировано, что документы Snowden 2013 года стали моментом, когда роль Tor получила широкое признание; согласно этим документам, на тот момент Tor не был скомпрометирован. Ни одно из этих событий не изменило протокол. Оба изменили круг лиц, устанавливающих его.

Кто финансирует Tor и как это проверить

The Tor Project отвечает на этот вопрос на своих страницах поддержки: «The Tor Project поддерживается за счет сочетания государственных грантов, частных фондов и индивидуальных пожертвований». Государственные средства являются частью этого финансирования с самого начала. На странице спонсоров указан Государственный департамент США наряду с Ford Foundation, Open Technology Fund, Craig Newmark Philanthropies и такими компаниями, как Brave, DuckDuckGo, Mullvad VPN и Fastly. В октябре 2026 года проект сообщил, что сохраняет узкоспециализированное техническое сотрудничество с Mullvad, но приостановил совместный брендинг с компанией после опасений по поводу политического пожертвования одного из сооснователей Mullvad. Аудированные финансовые отчеты публикуются в виде записей в блоге, последний из которых охватывает финансовый год с 2023 по 2024 и был опубликован в декабре 2025 года. Заявленная позиция проекта заключается в том, что «открытый разговор о наших спонсорах и модели финансирования — лучший способ сохранить доверие нашего сообщества».

Полезный вопрос заключается не в том, кто платил, а в том, что можно купить за эти деньги. Tor — это не сервис, в который вы входите под своей учетной записью. Это спецификация протокола, клиент, чей исходный код можно прочитать, и сеть ретрансляторов, управляемых незнакомыми людьми. Тот, кто захотел бы внедрить бэкдор, должен был бы разместить его в одном из трех мест, и каждое из них поддается проверке.

• В исходном коде. Клиент имеет открытый исходный код, а протокол описан публично. Академические исследователи регулярно публикуют отчеты об атаках на Tor, и у них есть все профессиональные стимулы, чтобы первыми обнаружить уязвимость.
• В бинарном файле. Сборки Tor Browser являются детерминированными с августа 2013 года, поэтому независимый сборщик может собрать релиз заново и сравнить его побайтово с опубликованным файлом для загрузки. Бинарный файл, который не совпадает с исходным кодом, можно выявить, не доверяя тому, кто его выпустил.
• В ретрансляторах. The Tor Project не управляет сетью. «Сеть Tor полагается на волонтеров, которые жертвуют пропускную способность», а входные, промежуточные, выходные узлы и мосты принадлежат тысячам независимых операторов. Компрометация спонсора не означает компрометацию этих узлов.

Собственное заявление проекта кратко: «В Tor нет бэкдоров. Программное обеспечение имеет открытый исходный код, его код может быть независимо проверен, а каждый релиз подписан для защиты от несанкционированных изменений». Это утверждение имеет ценность только потому, что каждая его часть называет то, что вы можете проверить самостоятельно.

Существует реальное предостережение, и оно касается приоритетов, а не целостности. Грантовые деньги определяют, какая работа будет выполнена в первую очередь, поэтому обход цензуры финансируется более последовательно, чем, например, производительность сети. Это справедливая критика проекта. Она отличается от утверждения «код скомпрометирован», и на нее следует отвечать чтением финансовых отчетов, а не доверием к чьим-либо заверениям.

Скрытые сервисы стали onion-сервисами

Onion-сервис — это сервер, который не раскрывает свой IP-адрес. Клиент и сервер выстраивают собственные цепочки до точки встречи внутри сети, поэтому ни одна из сторон не узнаёт адрес другой. Адрес не является именем, назначенным кем-либо в реестре. Он вычисляется на основе открытого ключа сервера, поэтому адрес .onion выглядит как набор случайных символов.

Хронология onion-сервисов содержит следующие релизы:

• 8 апреля 2004: первая реализация скрытых сервисов в Tor 0.0.6pre1.
• 21 сентября 2007: появление скрытых сервисов версии 2 в Tor 0.2.0.7-alpha.
• 19 декабря 2016: начало разработки версии 3 в Tor 0.3.0.1-alpha.
• 9 января 2018: выпуск версии 3 в Tor 0.3.2.9.

Переименование из «скрытых сервисов» в «onion-сервисы» происходило постепенно, а не в конкретную дату, и в документации Tor Project до сих пор используются оба термина. Старое название описывало ситуацию неверно. Многие onion-сайты являются публичными, индексируемыми и рекламируемыми; скрыто лишь местоположение сервера, а не сам сайт. Оригинальное название сохранилось в конфигурационном файле, что является полезным артефактом. Именно так вы объявляете сервис в torrc:

HiddenServiceDir /var/lib/tor/my_service/
HiddenServicePort 80 127.0.0.1:8080

В директории хранятся ключи сервиса и файл hostname, содержащий адрес. Директива port связывает порт onion-адреса с локальным адресом на той же машине, поэтому веб-сервер может оставаться привязанным к 127.0.0.1 и вообще не слушать публичный интерфейс. Версия 3 используется по умолчанию, поэтому сервис, созданный сегодня с помощью этих двух строк, получит v3-адрес. Настройка на арендованном сервере сводится к тому, чтобы оставить nginx на loopback-интерфейсе и устранить утечки, которые могли бы связать адрес с вашим публичным IP. Этому пошагово посвящено руководство размещение .onion-сайта на собственном VPS.

Onion-адрес также не является доменным именем. RFC 7686, опубликованный в октябре 2015 года, зарезервировал .onion как доменное имя специального назначения, чтобы обычные резолверы перестали передавать эти запросы в публичную систему DNS (domain name system). Установленное правило категорично: «Авторитетные серверы ДОЛЖНЫ отвечать на запросы для .onion кодом NXDOMAIN». Сравните это с тем, как разрешается обычное доменное имя, и вы поймёте, в чём заключается принципиальная разница. DNS-имя назначается вам реестром и разрешается через серверы, которые вы не контролируете. Onion-адрес — это открытый ключ, поэтому он аутентифицирует сам себя, и никакой внешний поиск не требуется.

Почему перестали работать старые .onion-адреса

Эти два формата адресов несовместимы, и поддержка старого формата была окончательно отключена.

[
  {
    "version": "v2 (retired 2021)",
    "address_length_chars": 16,
    "service_key": "RSA-1024",
    "address_hash": "SHA-1, truncated to 80 bits"
  },
  {
    "version": "v3 (current)",
    "address_length_chars": 56,
    "service_key": "Ed25519",
    "address_hash": "SHA3-256"
  }
]

Адрес v2 состоял из 16 символов, так как содержал только первые 80 бит SHA-1 хеша открытого ключа RSA-1024. Адрес v3 состоит из 56 символов, поскольку он содержит полный открытый ключ Ed25519, а также контрольную сумму и байт версии. Адрес v3 длиннее, так как в нем отказались от усечения, и теперь сам адрес является полным идентификатором сервиса.

О прекращении поддержки было объявлено в июле 2020 года в соответствии со следующим графиком:

• 15 сентября 2020 года, Tor 0.4.4.x: Tor начал предупреждать операторов и клиентов о том, что v2 устарел.
• 15 июля 2021 года, Tor 0.4.6.x: поддержка v2 была удалена из кодовой базы.
• 15 октября 2021 года: новые стабильные клиентские релизы для всех поддерживаемых серий отключили v2.

Фактические релизы не совпали с этими датами. Код был изменен раньше: в журнале изменений Tor 0.4.6.1-alpha от 18 марта 2021 года указано: «Начиная с этого релиза, Tor больше не поддерживает старые onion-сервисы v2». 10 мая 2021 года в Tor 0.4.5.8 было добавлено предупреждение «при подключении к теперь уже устаревшим onion-сервисам v2», а Tor 0.4.6.3-rc предоставил более понятное сообщение об ошибке для тех, что «больше не поддерживаются». Браузер перешел на новый стандарт позже. Стабильный Tor Browser отказался от v2 в версии 11.0 от 8 ноября 2021 года: «После обновления до Tor 0.4.6.8 onion-сервисы v2 больше недоступны в Tor Browser».

Указанная причина была криптографической. «По мере развития математики и криптографии фундамент второй версии стал хрупким и на данный момент небезопасным». 80-битный усеченный SHA-1 хеш и 1024-битный ключ RSA к 2021 году перестали соответствовать разумным требованиям безопасности, а формат адреса не оставлял возможности изменить ни то, ни другое.

Последствие для пользователя простое, поэтому его стоит сформулировать прямо. Каждая ссылка .onion из 16 символов, опубликованная до 2021 года, навсегда неработоспособна, и редиректа не существует. Адрес v2 невозможно обновить, так как он был усеченным хешем старого ключа RSA. Операторам пришлось создать новый сервис и опубликовать новый адрес через каналы, которым их пользователи уже доверяли.

Мосты и подключаемые транспорты: непрерывная борьба с цензурой

Список публичных ретрансляторов публикуется намеренно, чтобы клиент мог самостоятельно выбирать путь, а не доверять выбор одному серверу. Однако этот же опубликованный список становится готовым «черным списком» для любой страны, желающей заблокировать Tor. Работа над мостами началась в 2007 году. Мост — это ретранслятор, которого нет в публичном списке. Вы запрашиваете небольшое количество таких адресов через веб или электронную почту, и цензор не может заблокировать адреса, которые не может перечислить. Этот ресурс существует только благодаря волонтерам, и запуск моста obfs4 на дешевом VPS требует лишь нескольких директив torrc и правила межсетевого экрана, а не полноценного проекта.

Затем блокировки перешли от адресов к анализу формы трафика. Глубокий анализ пакетов (DPI) распознает протокол Tor в канале связи независимо от того, на какой IP-адрес он направлен. Ответом стали подключаемые транспорты (pluggable transports) — обертки, которые меняют вид трафика Tor, не меняя его сути. В текущих версиях Tor Browser они поставляются в виде одного бинарного файла под названием lyrebird, преемника obfs4proxy, а настройка на стороне клиента состоит из трех строк torrc:

UseBridges 1
ClientTransportPlugin meek_lite,obfs4,snowflake,webtunnel exec [PATH]/lyrebird
Bridge obfs4 <IP ADDRESS>:<PORT> <FINGERPRINT> cert=<CERTIFICATE> iat-mode=0

Замените [PATH] на путь к каталогу, где находится бинарный файл lyrebird, и скопируйте всю строку Bridge с сайта мостов Tor Project, вместо того чтобы вводить её вручную. Каждый транспорт решает свою задачу по обходу блокировок:

• obfs4 делает трафик неразличимым, не оставляя заголовков протокола, по которым фильтр мог бы его идентифицировать. На страницах поддержки Tor этот транспорт указан первым для использования при попытке обойти блокировку в первый раз.
• snowflake направляет трафик через кратковременные прокси, запущенные волонтерами внутри обычных веб-браузеров, поэтому адрес, к которому вы подключаетесь, постоянно меняется. Он стал стабильной частью Tor Browser в версии 10.5 от 6 июля 2021 года.
• meek маршрутизирует соединение через крупного облачного провайдера, поэтому трафик выглядит так, будто он идет к этому провайдеру, и блокировка этого трафика означает блокировку самого провайдера.
• webtunnel использует подход, противоположный obfs4. Вместо того чтобы выглядеть как «ничто», он выглядит как обычное HTTPS-соединение с веб-сервером, «оборачивая полезную нагрузку в HTTPS-соединение, подобное WebSocket». Tor Project выпустил его в стабильной версии Tor Browser 12 марта 2024 года для сетей, которые разрешают только ограниченный список протоколов.

Эта последовательность — реальная картина последних двадцати лет. Каждый новый транспорт существует потому, что начала работать конкретная техника блокировки, а даты этих релизов служат хроникой действий цензоров в соответствующие годы.

Tor — это не VPN, как и VPS

Многие приходят к Tor после изучения VPN, поэтому важно внести ясность. VPN (виртуальная частная сеть) направляет ваш трафик на один сервер, управляемый одной компанией, и эта компания видит ваш реальный адрес и пункт назначения одновременно. Tor направляет трафик через три реле, управляемые разными людьми, поэтому ни один из них не владеет обеими частями информации. Это разные модели доверия с разными сценариями сбоев. В статье Разница между VPS и VPN описано, для чего предназначен каждый из этих инструментов.

Если вам нужен приватный туннель между машинами, которыми вы управляете, а не анонимность в толпе, вам нужен VPN, который вы развернёте самостоятельно. Вы можете развернуть WireGuard VPN на VPS примерно в сорока строках конфигурации. Это защитит ваш трафик от локальной сети и вашего интернет-провайдера. Это не даст вам анонимности от компании, предоставляющей сервер, так как вы арендовали этот сервер, используя свои платёжные данные. Отдельный вопрос о том, безопасен ли VPS-хостинг, касается другой угрозы: кто ещё может получить доступ к вашей машине.

Запуск реле — это обратная задача, и сеть зависит от него. Мосты (bridges), входные (guards), промежуточные (middle) и выходные (exits) реле требуют операторов, и в руководстве по реле от Tor Project чётко сказано, что «запуск реле требует технических навыков и ответственности». Выходные реле несут юридические риски, так как чужой трафик выходит в интернет под вашим IP-адресом, и ваш хостинг-провайдер получит соответствующие уведомления. Прочитайте это руководство до того, как запустите реле, а не после.

FAQ

Был ли Tor создан правительством США?

Технология луковой маршрутизации (onion routing) зародилась в Исследовательской лаборатории ВМС США в 1995 году, где Дэвид Голдшлаг, Майкл Г. Рид и Пол Сиверсон создали первые прототипы. Сам Tor стал проектом следующего поколения, разработка которого началась примерно в 2001 и 2002 годах Роджером Динглдайном, Ником Мэтьюсоном и Полом Сиверсоном. Сеть была развернута в октябре 2002 года под лицензией свободного программного обеспечения. The Tor Project, Inc. является независимой некоммерческой организацией со статусом 501(c)(3) с 2006 года. Правительственное происхождение — это факт, и именно по этой причине сеть пришлось открыть для всех: сеть, передающая трафик только одной организации, не обеспечивает ей анонимности, так как каждое соединение, исходящее из неё, идентифицирует отправителя по самому факту использования этой сети.

Означает ли государственное финансирование наличие бэкдора в Tor?

Ответ The Tor Project: «В Tor нет бэкдоров. Программное обеспечение имеет открытый исходный код, его можно независимо проверить, а каждый релиз подписан для защиты от несанкционированных изменений». То, что делает это утверждение проверяемым, а не просто обещанием — это структура проекта. Протокол описан публично, сборки Tor Browser детерминированы, поэтому независимый разработчик может пересобрать релиз и сравнить его с опубликованным бинарным файлом, а ретрансляторы управляются добровольцами, а не спонсорами. Финансирование влияет на приоритетность задач, а аудированные финансовые отчеты в блоге Tor показывают источники поступлений. Это вопрос приоритетов, а не кода.

Почему мой старый .onion адрес перестал работать?

Это был адрес версии 2, а onion-сервисы v2 были выведены из эксплуатации в 2021 году. The Tor Project объявил об этом в июле 2020 года, Tor 0.4.6.1-alpha прекратил поддержку v2 в марте 2021 года, а стабильная версия Tor Browser перестала открывать адреса v2 начиная с версии 11.0 от 8 ноября 2021 года. Адрес v2 состоит из 16 символов перед .onion, а адрес v3 — из 56. Механизма перенаправления или автоматического обновления не существует, так как адрес был производным от старого ключа, поэтому владельцу сервиса необходимо создать новый сервис и опубликовать новый адрес.

Tor — это то же самое, что VPN?

Нет. VPN отправляет ваш трафик на один сервер, управляемый одной компанией, и эта компания может видеть ваш реальный IP-адрес и пункт назначения одновременно. Tor направляет трафик через три ретранслятора, управляемых разными людьми, поэтому первый ретранслятор видит ваш адрес без пункта назначения, а последний — пункт назначения без вашего адреса. Tor работает медленнее и предназначен для обеспечения анонимности от наблюдателя, который не контролирует весь интернет. VPN работает быстрее и предназначен для обеспечения конфиденциальности от вашей локальной сети и интернет-провайдера.

Что такое подключаемый транспорт (pluggable transport) и нужен ли он мне?

Подключаемый транспорт — это обертка, которая меняет вид трафика Tor в сети, не меняя принципов работы самого Tor, чтобы фильтр, распознающий протокол Tor, не мог его обнаружить. Он нужен только в том случае, если обычное соединение Tor не устанавливается, что обычно означает, что ваша сеть или страна блокируют его. Tor Browser поставляется с obfs4, snowflake, meek и webtunnel в составе единого бинарного файла под названием lyrebird. Страницы поддержки Tor рекомендуют пробовать obfs4, webtunnel, snowflake или meek по очереди, поэтому начните с obfs4 и переходите далее по списку, если соединение не устанавливается.