Kasaysayan ng Tor: Mula Onion Routing Hanggang Ngayon

Maikling kasaysayan ng Tor

Nagsimula ang kasaysayan ng Tor noong 1995 sa U.S. Naval Research Laboratory, isang research lab ng U.S. Navy. Doon ginawa nina David Goldschlag, Michael G. Reed, at Paul Syverson ang mga unang prototype ng onion routing. Ayon sa sariling timeline ng Tor Project, ang tanong na sinikap nilang sagutin ay kung “may paraan bang lumikha ng mga internet connection na hindi nagbubunyag kung sino ang nakikipag-ugnayan kanino.” Ang network na ginagamit ngayon ay dineploy noong October 2002, at inilabas ang code nito sa ilalim ng free at open software license. Itinatag ang Tor Project, Inc. bilang nonprofit noong 2006.

Ang bawat petsa sa ibaba ay mula sa published timeline ng Tor Project, sa release notes nito, o sa sarili nitong support pages. Kung may claim na pinagtatalunan, gaya ng kung sino ang nagpopondo sa proyekto, sinasabi sa section kung ano ang ebidensiya at kung saan mo ito maaaring beripikahin.

Ano talaga ang ginagawa ng onion routing

Pinaghihiwalay ng onion routing ang dalawang impormasyong karaniwang magkasama sa internet: kung sino ka at kung ano ang hinihiling mo. Pumipili ang Tor client mo ng tatlong relay at gumagawa ng circuit sa pamamagitan ng mga ito. Binabalutan nito ang traffic mo ng tatlong layer ng encryption, tig-isang layer para sa bawat relay. Tinatanggal ng bawat relay ang isang layer, nalalaman lamang ang address ng susunod na hop, at ipinapasa ang packet. Dito nagmula ang pangalan nito.

Nakikita ng unang relay, na tinatawag na guard, ang IP address mo pero hindi ang destination mo. Nakikita ng huling relay, ang exit, ang destination mo pero hindi ang IP address mo. Wala sa middle relay ang alinman sa dalawang ito. Walang iisang relay ang may hawak sa parehong bahagi, at ito ang buong batayan ng seguridad. Kaya kailangan ding patakbuhin ang mga relay ng magkakaibang taong walang kaugnayan sa isa’t isa. Kung iisang organisation ang nagpapatakbo ng guard at exit mo, mawawala ang paghihiwalay at wala nang silbi ang encryption.

Ang pangunahing kahinaan nito ay traffic correlation. Maaaring pagtugmain ng isang observer na kayang mag-monitor sa parehong dulo ng circuit nang sabay ang timing at laki ng mga packet na pumapasok at lumalabas. Hindi pinoprotektahan ng Tor laban sa attacker na kayang mag-monitor sa buong internet nang sabay-sabay. Malinaw itong nakasaad sa threat model ng design paper noong 2004 nina Roger Dingledine, Nick Mathewson, at Paul Syverson na pinamagatang "Tor: The Second-Generation Onion Router".

Bakit magiging walang silbi ang private network

Ito ang bahaging nilalaktawan ng maiikling buod, at ipinapaliwanag nito ang lahat ng iba pa sa page na ito.

Hindi makakakuha ng anonymity ang isang military o intelligence organisation mula sa network na sarili lamang nitong traffic ang dumadaan. Katangian ng isang grupo ang anonymity, hindi katangian ng isang cipher. Kung bawat connection na lumalabas sa network ay pagmamay-ari ng iisang opisina, nalaman na agad ng observer ang sagot kapag nakita nitong may connection na lumabas. Gumagana pa rin nang perpekto ang encryption. Pero walang anonymity, dahil walang ibang mapagkakamalan.

Kaya kailangang public ang design at kailangang ihalo ang traffic sa traffic ng ibang tao. Inilabas ang code sa ilalim ng free software licence noong October 2002, at maaaring magpatakbo ng relay ang sinuman. Naging crowd na nagpoprotekta sa lahat ng iba pang gumagamit ang mga journalist, activist, researcher, at ordinaryong taong umiiwas sa advertising network. Inilahad nina Dingledine at Mathewson ang argumentong ito noong 2006 sa isang paper na pinamagatang "Anonymity Loves Company: Usability and the Network Effect", na iniharap sa Workshop on the Economics of Information Security. Ang konklusyon ay security property ng system ang laki at pagkakaiba-iba ng user base. Hindi ito marketing number.

Mula sa alpha code hanggang sa nonprofit

Itinatala ng timeline ng Tor Project at ng mga inilathala nitong papel ang mga hakbang na ito:

• October 2002: na-deploy ang Tor network, kasama ang code na nasa ilalim ng “free and open software license”.
• End of 2003: tumatakbo ang network sa “about a dozen volunteer nodes, mostly in the U.S., plus one in Germany”.
• 2004: inilathala nina Dingledine, Mathewson at Syverson ang design paper na “Tor: The Second-Generation Onion Router”.
• 2004: nagsimulang pondohan ng Electronic Frontier Foundation (EFF) ang gawain sa Tor.
• 2006: itinatag ang The Tor Project, Inc. bilang isang 501(c)(3) nonprofit upang ipagpatuloy ang development.
• 2007: nagsimula ang paggawa sa bridges dahil sinimulan nang i-block ng mga national firewall ang public relay list.
• 2008: nagsimula ang development ng Tor Browser.

Mahalaga ang dalawang sumunod na petsa sa paraan ng paggamit sa network ngayon. Inilalagay ng timeline ng Tor Project ang paggamit ng Tor noong Arab Spring sa huling bahagi ng 2010, para protektahan ang identity at ma-access ang mga naka-block na site. Itinatala rin nito ang mga dokumento ni Snowden noong 2013 bilang panahong naging malawak na nauunawaan ang papel ng Tor, at sinasabing ipinakita ng mga dokumento na hindi pa nalulusutan ang Tor noon. Hindi binago ng alinmang pangyayari ang protocol. Pareho nitong binago kung sinu-sino ang nag-install nito.

Sino ang nagpopondo sa Tor, at paano ito sinusuri

Sinasagot ito ng Tor Project sa sarili nitong support pages: “Sinusuportahan ang Tor Project ng kombinasyon ng government grants, private foundations, at indibidwal na donor.” Bahagi rito ang government funding, at ganito na ito mula pa sa simula. Binabanggit sa supporters page ang U.S. Department of State, kasama ang Ford Foundation, Open Technology Fund, Craig Newmark Philanthropies, at mga kumpanyang gaya ng Brave, DuckDuckGo, Mullvad VPN, at Fastly. Inilalathala ang mga na-audit na financial statement bilang blog posts, at ang pinakahuli ay sumasaklaw sa financial year mula 2023 hanggang 2024 at inilabas noong December 2025. Ayon sa posisyon ng proyekto, “ang bukas na pagtalakay sa aming mga sponsor at funding model ang pinakamahusay na paraan upang mapanatili ang tiwala ng aming community.”

Ang mahalagang tanong ay hindi kung sino ang nagbayad. Ang tanong ay kung ano ang maaaring mabili ng pera. Hindi serbisyo ang Tor na kailangan mong pag-log-in-an. Isa itong protocol specification, isang client na mababasa ang source code, at isang network ng mga relay na pinapatakbo ng mga hindi magkakakilala. Kung may gustong maglagay ng backdoor, kailangan niya itong ilagay sa isa sa tatlong lugar, at maaaring suriin ang bawat isa.

• Sa source. Open source ang client at tinukoy sa public ang protocol. Regular na naglalathala ang mga academic researcher ng mga attack laban sa Tor, at may malinaw silang professional incentive na mahanap muna ang anumang flaw.
• Sa binary. Deterministic na ang Tor Browser builds mula noong August 2013, kaya maaaring mag-rebuild ng release ang isang independent builder at ikumpara ito byte for byte sa inilabas na download. Makikita ang binary na hindi tugma sa source nito nang hindi kailangang magtiwala sa taong nag-release nito.
• Sa mga relay. Hindi pinapatakbo ng Tor Project ang network. “Umaasa ang Tor network sa mga volunteer na nagdo-donate ng bandwidth,” at pagmamay-ari ng libo-libong magkakahiwalay na operator ang mga guard, middle relay, exit, at bridge. Kapag nakompromiso ang isang funder, hindi nangangahulugang nakompromiso rin ang mga ito.

Maikli ang sariling pahayag ng proyekto: “Walang backdoor ang Tor. Open source ang software, maaaring i-audit nang hiwalay ang code nito, at nilalagdaan ang bawat release upang maprotektahan laban sa tampering.” May saysay lamang ang pangungusap na ito dahil tinutukoy ng bawat clause ang isang bagay na maaari mong suriin mismo.

May isang totoong caveat, at tungkol ito sa mga priority, hindi sa integrity. Tinutukoy ng grant money kung aling gawain ang mauuna, kaya mas tuloy-tuloy na napopondohan ang censorship circumvention kaysa, halimbawa, network performance. Makatarungan itong puna sa proyekto. Iba ito sa paratang na “nakompromiso ang code,” at sinasagot ito sa pamamagitan ng pagbasa sa financial report, hindi sa pagtitiwala sa assurance ng sinuman.

Naging onion services ang hidden services

Ang onion service ay isang server na hindi kailanman naglalantad ng IP address nito. Gumagawa ang client at server ng sarili nilang circuit papunta sa isang meeting point sa loob ng network, kaya hindi nalalaman ng alinmang panig ang address ng kabilang panig. Ang address ay hindi isang pangalan na itinalaga ng registry sa sinuman. Hango ito sa public key ng server, kaya mukhang random na mga character ang isang .onion address.

Ipinapakita ng timeline ng onion services ang mga release:

• 8 April 2004: unang na-implement ang hidden services sa Tor 0.0.6pre1.
• 21 September 2007: inilabas ang version 2 hidden services sa Tor 0.2.0.7-alpha.
• 19 December 2016: nagsimula ang development ng version 3 sa Tor 0.3.0.1-alpha.
• 9 January 2018: inilabas ang version 3 sa Tor 0.3.2.9.

Unti-unting naganap ang pagpapalit ng pangalan mula "hidden services" tungo sa "onion services", sa halip na mangyari sa isang partikular na petsa. Ginagamit pa rin ng sariling documentation ng Tor Project ang dalawang termino. Mali ang inilalarawan ng dating termino. Maraming onion site ang public, naka-index, at ina-advertise; ang nakatago ay ang lokasyon ng server, hindi ang site. Nananatili ang dating pangalan sa config file, na isang kapaki-pakinabang na fossil. Ganito pa rin ang paraan ng pagdeklara nito sa torrc:

HiddenServiceDir /var/lib/tor/my_service/
HiddenServicePort 80 127.0.0.1:8080

Nasa directory ang service keys at isang hostname file na naglalaman ng address. Mina-map ng port line ang isang port sa onion address papunta sa local address sa parehong machine. Dahil dito, maaaring manatiling naka-bind ang web server sa 127.0.0.1 at hindi kailanman makinig sa isang public interface. Default ang Version 3, kaya ang service na ginawa ngayon gamit ang dalawang linyang ito ay magkakaroon ng v3 address.

Ang onion address ay hindi rin domain name. Inilaan ng RFC 7686, na inilathala noong October 2015, ang .onion bilang special-use domain name upang hindi na ma-leak ng mga ordinary resolver ang mga lookup na ito sa public DNS (domain name system). Malinaw ang itinakda nitong rule: "Authoritative servers MUST respond to queries for .onion with NXDOMAIN." Ihambing ito sa paraan ng pag-resolve ng ordinaryong domain name at makikita ang pangunahing pagkakaiba. Itinalaga sa iyo ng registry ang isang DNS name at hina-lookup ito sa pamamagitan ng mga server na hindi mo kontrolado. Ang onion address ay isang public key, kaya sarili nito itong ina-authenticate at hindi nito kailangan ng lookup.

Bakit hindi na gumagana ang mga lumang .onion address

Hindi compatible ang dalawang format ng address, at tuluyan nang pinatay ang mas luma.

[
  {
    "version": "v2 (retired 2021)",
    "address_length_chars": 16,
    "service_key": "RSA-1024",
    "address_hash": "SHA-1, truncated to 80 bits"
  },
  {
    "version": "v3 (current)",
    "address_length_chars": 56,
    "service_key": "Ed25519",
    "address_hash": "SHA3-256"
  }
]

Ang isang v2 address ay may 16 character dahil taglay lamang nito ang unang 80 bits ng SHA-1 hash ng public key ng RSA-1024. Ang isang v3 address ay may 56 character dahil taglay nito ang kumpletong Ed25519 public key, pati ang checksum at version byte. Mas mahaba ang v3 address dahil hindi na ito nagta-truncate, kaya ang address mismo ang kumpletong identity ng service.

Nagpatupad ng deprecation ayon sa inanunsiyong schedule:

• 15 September 2020, Tor 0.4.4.x: Nagsimulang magbabala ang Tor sa mga operator at client na deprecated na ang v2.
• 15 July 2021, Tor 0.4.6.x: Inalis ang v2 support mula sa code base.
• 15 October 2021: Na-disable ang v2 sa mga bagong stable client release para sa bawat supported series.

Cryptographic ang nakasaad na dahilan. “Habang umuunlad ang pag-unawa ng sangkatauhan sa math at cryptography, naging marupok ang pundasyon ng version 2 at sa puntong ito ay hindi na ligtas.” Parehong mas mababa sa makatwirang security standard pagsapit ng 2021 ang 80-bit truncated SHA-1 hash at 1024-bit RSA key, at walang puwang ang address format para baguhin ang alinman sa mga ito.

Simple ang epekto nito sa reader, kaya dapat itong sabihin nang malinaw. Patay na nang permanente ang bawat 16-character .onion link na na-publish bago ang 2021, at walang redirect. Hindi maaaring i-upgrade ang v2 address dahil ang address mismo ang lumang key. Kinailangan ng mga operator na gumawa ng bagong service at i-publish ang bagong address sa pamamagitan ng channel na dati nang pinagkakatiwalaan ng kanilang mga user.

Mga bridge at pluggable transport: patuloy na nagbabago ang censorship

Sadyang inilalathala ang listahan ng mga public relay upang makapili ang client ng sarili nitong ruta sa halip na umasa sa isang server na pipili nito. Ang parehong listahang ito ay handa nang blocklist para sa anumang bansang gustong humarang sa Tor. Nagsimula ang paggawa sa mga bridge noong 2007. Ang bridge ay isang relay na wala sa public list. Humihiling ka ng kaunting bilang ng mga ito sa web o sa email, kaya hindi mahaharangan ng censor ang mga address na hindi nito matukoy.

Mula sa mga address, lumipat ang pagharang sa anyo ng traffic. Nakikilala ng deep packet inspection ang Tor protocol sa network kahit saang IP address ito kumokonekta. Ang sagot dito ay pluggable transports: isang wrapper na nagbabago sa hitsura ng Tor traffic nang hindi binabago ang ginagawa nito. Sa kasalukuyang Tor Browser, kasama ang mga ito sa isang binary na pinangalanang lyrebird, ang pumalit sa obfs4proxy, at ang client side ay tatlong linya ng torrc:

UseBridges 1
ClientTransportPlugin meek_lite,obfs4,snowflake,webtunnel exec [PATH]/lyrebird
Bridge obfs4 <IP ADDRESS>:<PORT> <FINGERPRINT> cert=<CERTIFICATE> iat-mode=0

Palitan ang [PATH] ng directory na naglalaman ng lyrebird binary, at kunin ang buong linya ng Bridge mula sa bridges site ng Tor Project sa halip na i-type ito. Iba-iba ang blocking method na nilulutas ng bawat transport:

• Ginagawang hindi makilala ng obfs4 ang traffic, kaya walang protocol header na matutugma ng filter. Inirerekomenda mismo ng Tor na ito ang unang subukan dahil isa itong randomising transport na gumagana para sa karamihan ng mga user.
• Ipinapadaan ka ng snowflake sa mga panandaliang proxy na pinapatakbo ng mga volunteer sa loob ng mga ordinaryong web browser, kaya patuloy na nagbabago ang address na kinokonektahan mo. Naging stable ito sa Tor Browser sa version 10.5 noong 6 July 2021.
• Ipinapadaan ng meek ang connection sa isang malaking cloud provider, kaya lumilitaw na sa provider na iyon ipinapadala ang traffic. Kapag hinarang ito, kailangan ding harangan ang provider.
• Kabaligtaran ng obfs4 ang approach ng webtunnel. Sa halip na magmukhang walang makilala, nagmumukha itong ordinaryong HTTPS connection sa isang web server sa pamamagitan ng “pag-wrap sa payload connection sa isang WebSocket-like HTTPS connection.” Inilabas ito ng Tor Project bilang stable sa Tor Browser noong 12 March 2024, para sa mga network na maikli lamang ang listahan ng mga pinapahintulutang protocol.

Iyan ang tunay na anyo ng pagbabagong naganap sa nakaraang dalawampung taon. Umiiral ang bawat bagong transport dahil nagsimulang gumana ang isang partikular na blocking technique, at tala ng ginagawa ng mga censor sa bawat taon ang mga petsa ng mga release na iyon.

Hindi VPN ang Tor, at hindi rin VPN ang VPS

Maraming tao ang nakakaalam muna tungkol sa Tor matapos magbasa tungkol sa VPN, kaya kailangang maging eksakto. Ang VPN (virtual private network) ay nagpapadala ng traffic mo sa isang server na pinapatakbo ng isang kumpanya, at nakikita ng kumpanyang iyon ang totoong address mo at ang destination mo sa parehong oras. Ipinapadaan naman ng Tor ang traffic mo sa tatlong relay na pinapatakbo ng magkakaibang tao, kaya walang iisang relay ang may parehong impormasyong iyon. Magkaiba ang mga trust model na ito, pati ang mga paraan ng pagpalya ng mga ito. Tinalakay sa Pagkakaiba ng VPS at VPN kung saan ginagamit ang bawat isa.

Kung ang kailangan mo ay private tunnel sa pagitan ng mga machine na kontrolado mo, at hindi anonymity sa loob ng isang grupo ng mga user, kailangan mo ng VPN na ikaw mismo ang nagpapatakbo. Maaari kang mag-self-host ng WireGuard VPN sa isang VPS gamit ang humigit-kumulang 40 linya ng config. Pinoprotektahan nito ang traffic mo laban sa local network at sa internet provider mo. Hindi ka nito ginagawang anonymous sa kumpanyang nagho-host ng server, dahil inupahan mo ang server gamit ang sarili mong payment details. Ang hiwalay na tanong kung ligtas ba ang VPS hosting ay tungkol sa ibang threat: sino pa ang maaaring maka-access sa server mo.

Ang pagpapatakbo ng relay ang kabilang direksiyon, at nakadepende rito ang network. Kailangan ng operators ang bridges, guards, middle relays, at exits, at malinaw sa relay guide ng Tor Project na “nangangailangan ng technical skill at commitment ang pagpapatakbo ng relay.” May legal exposure ang exits, dahil lumalabas sa internet ang traffic ng ibang tao gamit ang IP address mo at makikipag-ugnayan dito ang hosting provider mo. Basahin ang guide na iyon bago ka magsimula, hindi pagkatapos.

FAQ

Ang Tor ba ay ginawa ng gobyerno ng US?

Nagsimula ang onion routing sa U.S. Naval Research Laboratory noong 1995, kung saan binuo nina David Goldschlag, Michael G. Reed, at Paul Syverson ang mga unang prototype. Ang Tor mismo ang sumunod na henerasyon ng disenyo. Sinimulan ito noong 2001 at 2002 nina Roger Dingledine, Nick Mathewson, at Paul Syverson. Na-deploy ang network noong October 2002 sa ilalim ng isang free software licence. Ang Tor Project, Inc. ay isang independent na 501(c)(3) nonprofit mula pa noong 2006. Totoo ang pinagmulan nito sa gobyerno. Ito rin ang dahilan kung bakit kinailangang buksan ang network para sa lahat: kung traffic ng iisang organisasyon ang dinadala ng network, walang anonymity ang organisasyong iyon dahil makikilala ang sender ng bawat koneksiyong lumalabas dito batay sa paggamit nito.

Ibig bang sabihin ng government funding na may backdoor ang Tor?

Ang sagot ng Tor Project ay: “Walang backdoor ang Tor. Open source ang software nito, maaaring magsagawa ng independent audit sa code nito, at may signature ang bawat release para maprotektahan ito laban sa tampering.” Ang dahilan kung bakit nasusuri ito at hindi lang isang pangako ay ang istrukturang nakapalibot dito. Naka-specify sa public ang protocol. Deterministic ang Tor Browser builds, kaya maaaring i-rebuild ng independent builder ang isang release at ikumpara ito sa published binary. Pinapatakbo rin ng mga volunteer ang mga relay, hindi ng sinumang funder. Nakaaapekto ang funding sa kung aling gawain ang mauuna. Ipinapakita naman ng audited financial reports sa Tor blog kung saan nanggaling ang pera. Tanong ito tungkol sa priorities, hindi tungkol sa code.

Bakit hindi na gumagana ang dati kong .onion address?

Version 2 address iyon, at itinigil ang v2 onion services noong 2021. Nagsimulang maglabas ng warning ang Tor tungkol dito noong 15 September 2020. Inalis ang v2 sa code base sa Tor 0.4.6.x noong 15 July 2021, at dine-disable ito sa stable releases noong 15 October 2021. Ang v2 address ay may 16 na character bago ang .onion, habang ang v3 address ay may 56. Walang redirect at walang upgrade path dahil hinango ang address mula sa lumang key. Kaya kinailangang gumawa ang operator ng bagong service at i-publish ang bagong address.

Pareho ba ang Tor at VPN?

Hindi. Ipinapadala ng VPN ang traffic mo sa isang server na pinapatakbo ng isang kumpanya. Makikita ng kumpanyang iyon ang tunay mong IP address at ang destination mo nang magkasama. Ipinapadaan naman ng Tor ang traffic sa tatlong relay na pinapatakbo ng magkakaibang tao. Nakikita ng unang relay ang address mo pero hindi ang destination mo. Nakikita naman ng huling relay ang destination mo pero hindi ang address mo. Mas mabagal ang Tor. Dinisenyo ito para sa anonymity laban sa observer na hindi nagmo-monitor sa buong internet. Mas mabilis ang VPN. Dinisenyo ito para sa privacy mula sa local network at internet provider mo.

Ano ang pluggable transport, at kailangan ko ba nito?

Ang pluggable transport ay isang wrapper na nagbabago sa hitsura ng Tor traffic sa wire nang hindi binabago kung paano gumagana ang Tor. Dahil dito, hindi ito madaling matukoy ng filter na kumikilala sa Tor protocol. Kailangan mo lang nito kung hindi makakonekta ang plain Tor. Karaniwan itong nangangahulugang bina-block ng network o bansa mo ang Tor. Kasama sa Tor Browser ang obfs4, snowflake, meek, at webtunnel sa iisang binary na tinatawag na lyrebird. Magsimula sa obfs4 dahil isa itong randomising transport na gumagana para sa karamihan ng mga user. Subukan ang webtunnel o snowflake kung hindi kailanman nakukumpleto ang koneksiyon.