Kasaysayan ng Tor: Mula Onion Routing Hanggang Ngayon

Maikling kasaysayan ng Tor

Nagsimula ang kasaysayan ng Tor noong 1995 sa U.S. Naval Research Laboratory, isang research laboratory ng U.S. Navy. Doon binuo nina David Goldschlag, Michael G. Reed, at Paul Syverson ang mga unang prototype ng onion routing. Ayon sa sariling timeline ng Tor Project, ang tanong na sinubukan nilang sagutin ay kung “may paraan bang lumikha ng mga koneksyon sa internet na hindi nagbubunyag kung sino ang nakikipag-usap kanino.” Na-deploy ang network na ginagamit ngayon noong October 2002, at inilabas ang code nito sa ilalim ng free at open software license. Itinatag ang Tor Project, Inc. bilang nonprofit noong 2006.

Ang bawat petsa sa ibaba ay mula sa inilathalang timeline ng Tor Project, sa release notes nito, o sa sarili nitong support pages. Kapag pinagtatalunan ang isang pahayag, gaya ng kung sino ang nagpopondo sa gawain, sinasabi sa section kung ano ang ebidensiya at kung saan mo ito maaaring beripikahin mismo.

Ano talaga ang ginagawa ng onion routing

Pinaghihiwalay ng onion routing ang dalawang bagay na karaniwang magkasamang nalalaman ng internet: kung sino ka at kung ano ang hinihingi mo. Pumipili ang Tor client mo ng tatlong relay at gumagawa ng circuit sa pamamagitan ng mga ito. Binabalutan nito ang traffic mo ng tatlong layer ng encryption, tig-iisang layer para sa bawat relay. Tinatanggal ng bawat relay ang isang layer, nalalaman lamang nito ang address ng susunod na hop, at ipinapasa nito ang packet. Dito nagmula ang pangalan nito.

Nakikita ng unang relay, na tinatawag na guard, ang IP address mo pero hindi ang destination mo. Nakikita ng huling relay, ang exit, ang destination mo pero hindi ang IP address mo. Wala sa mga ito ang nakakakita sa parehong bahagi. Iyan ang buong batayan ng seguridad. Ito rin ang dahilan kung bakit dapat pinapatakbo ang mga relay ng magkakahiwalay na tao. Kung iisang organisasyon ang nagpapatakbo ng guard at exit mo, nawawala ang paghihiwalay at wala nang silbi ang encryption.

Ang kilalang kahinaan ay traffic correlation. Maaaring pagtugmain ng isang observer na kayang subaybayan nang sabay ang magkabilang dulo ng circuit ang timing at laki ng mga packet na pumapasok at lumalabas. Hindi nagtatanggol ang Tor laban sa attacker na kayang subaybayan ang buong internet nang sabay-sabay. Inilahad din ito sa threat model ng 2004 design paper nina Roger Dingledine, Nick Mathewson at Paul Syverson na pinamagatang "Tor: The Second-Generation Onion Router".

Kung bakit walang silbi ang isang private network

Ito ang bahaging nilalaktawan ng maiikling buod, at ipinapaliwanag nito ang lahat ng iba pa sa pahinang ito.

Hindi makakakuha ng anonymity ang isang military o intelligence organisation mula sa network na sarili nitong traffic lamang ang dinadala. Katangian ng isang grupo ang anonymity, hindi katangian ng isang cipher. Kung ang bawat connection na lumalabas sa network ay pag-aari ng iisang opisina, natutuhan na ng observer ang sagot sa sandaling makita nitong may connection na lumabas. Gumagana pa rin nang wasto ang encryption. Ngunit walang anonymity, dahil walang ibang mapagkakamalan na pinagmulan ng connection.

Kaya kailangang public ang design, at kailangang mahalo ang traffic sa traffic ng ibang tao. Inilabas ang code sa ilalim ng free software licence noong October 2002, at maaaring magpatakbo ng relay ang sinuman. Ang mga journalist, activist, researcher, at ordinaryong taong umiiwas sa advertising network ang naging grupong nagpoprotekta sa lahat ng nasa loob nito. Inilahad nina Dingledine at Mathewson ang argumentong ito noong 2006 sa isang paper na pinamagatang "Anonymity Loves Company: Usability and the Network Effect", na ipinresenta sa Workshop on the Economics of Information Security. Ang konklusyon ay security property ng system ang laki at pagkakaiba-iba ng user base. Hindi ito marketing number.

Mula sa alpha code tungo sa isang nonprofit

Itinatala ng timeline ng Tor Project at ng mga inilathala nitong paper ang mga hakbang na ito:

• Oktubre 2002: ipinapatupad ang Tor network, gamit ang code na “under a free and open software license”.
• Katapusan ng 2003: tumatakbo ang network sa “about a dozen volunteer nodes, mostly in the U.S., plus one in Germany”.
• 2004: inilathala nina Dingledine, Mathewson, at Syverson ang design paper na “Tor: The Second-Generation Onion Router”.
• 2004: nagsimulang pondohan ng Electronic Frontier Foundation (EFF) ang development ng Tor.
• 2006: itinatag ang The Tor Project, Inc. bilang isang 501(c)(3) nonprofit upang ipagpatuloy ang development.
• 2007: nagsimula ang trabaho sa bridges dahil sinimulan nang i-block ng mga national firewall ang public relay list.
• 2008: nagsimula ang development ng Tor Browser.

Mahalaga ang dalawang sumunod na petsa sa paraan ng paggamit sa network ngayon. Ayon sa timeline ng Tor Project, ginamit ang Tor noong Arab Spring sa huling bahagi ng 2010 upang protektahan ang identity at ma-access ang mga naka-block na site. Itinatala rin nito ang mga dokumento ni Snowden noong 2013 bilang panahong naging malawak ang pagkakaunawa sa papel ng Tor, at sinasabing ipinakita ng mga dokumento na hindi pa nababasag ang Tor noon. Hindi binago ng alinmang pangyayari ang protocol. Pareho nitong binago kung sinu-sino ang nag-install nito.

Sino ang nagpopondo sa Tor, at paano ito sinusuri

Sinasagot ito ng Tor Project sa sarili nitong support pages: “Ang Tor Project ay sinusuportahan ng kombinasyon ng government grants, private foundations, at individual donors.” Bahagi rito ang pondo ng gobyerno, at ganoon na ito mula pa sa simula. Sa supporters page, nakalista ang U.S. Department of State kasama ang Ford Foundation, Open Technology Fund, Craig Newmark Philanthropies, at mga kumpanyang gaya ng Brave, DuckDuckGo, Mullvad VPN, at Fastly. Inilalathala ang audited financials bilang blog posts, at ang pinakabago ay sumasaklaw sa financial year mula 2023 hanggang 2024 at inilabas noong December 2025. Ayon sa pahayag ng proyekto, “ang hayagang pagtalakay sa aming mga sponsor at funding model ang pinakamahusay na paraan upang mapanatili ang tiwala ng aming komunidad.”

Ang kapaki-pakinabang na tanong ay hindi kung sino ang nagbayad. Ang tanong ay kung ano ang maaaring mabili ng pera. Ang Tor ay hindi isang service na ila-log in mo. Isa itong protocol specification, isang client na mababasa ang source code, at isang network ng mga relay na pinapatakbo ng mga hindi magkakakilala. Kung may gustong maglagay ng backdoor, kailangan niya itong ilagay sa isa sa tatlong lugar, at maaaring suriin ang bawat isa.

• Sa source. Open source ang client at nakasaad sa public ang protocol. Regular na naglalathala ang mga academic researcher ng mga attack laban sa Tor, at may sapat silang propesyonal na insentibo upang mahanap muna ang isang flaw.
• Sa binary. Deterministic na ang Tor Browser builds mula pa noong August 2013, kaya maaaring mag-rebuild ng release ang isang independent builder at ikumpara ito byte for byte sa published download. Makikita ang binary na hindi tumutugma sa source nito nang hindi kailangang magtiwala sa taong nag-release nito.
• Sa mga relay. Hindi pinapatakbo ng Tor Project ang network. “Umaasa ang Tor network sa mga volunteer na nagbibigay ng bandwidth,” at pagmamay-ari ng libu-libong hindi magkakaugnay na operator ang mga guard, middle relay, exit, at bridge. Kapag na-compromise ang isang funder, hindi ibig sabihin na na-compromise rin ang mga ito.

Maikli ang sariling pahayag ng proyekto: “Walang backdoor ang Tor. Open source ang software, maaaring magsagawa ng independent audit sa code nito, at nilalagdaan ang bawat release upang maprotektahan ito laban sa tampering.” May halaga lamang ang pangungusap na iyon dahil tinutukoy ng bawat sugnay ang isang bagay na maaari mong suriin mismo.

May tunay na caveat, at tungkol ito sa mga priority sa halip na sa integrity. Tinutukoy ng grant money kung aling gawain ang mauuna, kaya mas tuloy-tuloy na napondohan ang censorship circumvention kaysa, halimbawa, network performance. Makatarungan itong puna sa proyekto. Iba ito sa paratang na “na-compromise ang code,” at masasagot ito sa pamamagitan ng pagbasa sa financial reports sa halip na pagtitiwala sa assurance ng sinuman.

Naging onion services ang mga hidden service

Ang onion service ay isang server na hindi kailanman naglalantad ng IP address nito. Gumagawa ang client at server ng sarili nilang circuit papunta sa meeting point sa loob ng network, kaya hindi nalalaman ng alinmang panig ang address ng kabilang panig. Ang address ay hindi isang pangalan na itinalaga ng registry sa sinuman. Hinango ito mula sa public key ng server, kaya mukhang random na mga character ang isang .onion address.

Ipinapakita ng timeline ng onion services ang mga release:

• 8 April 2004: unang na-implement ang hidden services sa Tor 0.0.6pre1.
• 21 September 2007: inilabas ang version 2 hidden services sa Tor 0.2.0.7-alpha.
• 19 December 2016: nagsimula ang development ng version 3 sa Tor 0.3.0.1-alpha.
• 9 January 2018: inilabas ang version 3 sa Tor 0.3.2.9.

Unti-unting naganap ang pagpapalit ng pangalan mula "hidden services" tungo sa "onion services", sa halip na mangyari sa isang partikular na petsa. Ginagamit pa rin ng sariling documentation ng Tor Project ang dalawang termino. Hindi tama ang inilalarawan ng dating termino. Maraming onion site ang public, naka-index, at ina-advertise; ang nakatago ay ang lokasyon ng server, hindi ang site. Nananatili ang dating pangalan sa config file, na nagsisilbing kapaki-pakinabang na bakas ng lumang terminolohiya. Ganito pa rin ang paraan ng pagdeklara nito sa torrc:

HiddenServiceDir /var/lib/tor/my_service/
HiddenServicePort 80 127.0.0.1:8080

Nasa directory ang mga key ng service at isang hostname file na naglalaman ng address. Itinatakda ng port line ang mapping mula sa port sa onion address papunta sa local address sa parehong machine. Dahil dito, maaaring manatiling naka-bind ang web server sa 127.0.0.1 at hindi kailanman makinig sa public interface. Ang version 3 ang default, kaya ang service na ginawa ngayon gamit ang dalawang line na ito ay magkakaroon ng v3 address. Sa rented box, pangunahing kailangan mong panatilihing naka-bind ang nginx sa loopback at isara ang mga leak na maaaring mag-ugnay ng address sa public IP mo. Ito ang ipinapaliwanag nang sunod-sunod sa pag-host ng .onion site sa sarili mong VPS.

Ang onion address ay hindi rin isang domain name. Ang RFC 7686, na inilathala noong October 2015, ay nagreserba sa .onion bilang special-use domain name upang hindi na mailabas ng ordinary resolvers ang mga lookup na ito sa public DNS (domain name system). Direktang itinatakda ng rule nito: "Dapat tumugon ang authoritative servers sa mga query para sa .onion gamit ang NXDOMAIN." Ihambing ito sa kung paano nirer- resolve ang ordinary domain name upang makita ang pangunahing pagkakaiba. Ang DNS name ay itinalaga sa iyo ng registry at hina-hanap sa pamamagitan ng mga server na hindi mo kontrolado. Ang onion address ay isang public key, kaya sarili nitong nagpapatunay at hindi na kailangan ng lookup.

Bakit hindi na gumagana ang mga lumang .onion address

Hindi compatible ang dalawang format ng address, at tuluyan nang isinara ang mas luma.

[
  {
    "version": "v2 (retired 2021)",
    "address_length_chars": 16,
    "service_key": "RSA-1024",
    "address_hash": "SHA-1, truncated to 80 bits"
  },
  {
    "version": "v3 (current)",
    "address_length_chars": 56,
    "service_key": "Ed25519",
    "address_hash": "SHA3-256"
  }
]

Ang isang v2 address ay may 16 character dahil dala nito ang unang 80 bits lamang ng SHA-1 hash ng public key na RSA-1024. Ang isang v3 address ay may 56 character dahil dala nito ang kumpletong public key na Ed25519, kasama ang checksum at version byte. Mas mahaba ang v3 address dahil hindi na ito nagta-truncate, kaya ang address mismo ang kumpletong identity ng service.

Isinagawa ang deprecation ayon sa inihayag na iskedyul:

• 15 September 2020, Tor 0.4.4.x: Nagsimulang magbabala ang Tor sa mga operator at client na deprecated ang v2.
• 15 July 2021, Tor 0.4.6.x: Inalis ang suporta sa v2 mula sa code base.
• 15 October 2021: Hindi na pinagana ang v2 sa mga bagong stable client release para sa bawat supported series.

Cryptographic ang idineklarang dahilan. “Habang umuunlad ang pag-unawa ng sangkatauhan sa math at cryptography, naging marupok ang pundasyon ng version 2 at sa panahong iyon ay hindi na ligtas.” Parehong mas mababa sa makatwirang pamantayan noong 2021 ang 80-bit truncated SHA-1 hash at 1024-bit RSA key, at walang puwang ang format ng address para baguhin ang alinman sa mga ito.

Simple ang resulta para sa mambabasa, kaya dapat itong sabihin nang malinaw. Patay na at hindi na maibabalik ang bawat 16 character na .onion link na na-publish bago ang 2021, at walang redirect. Hindi maaaring i-upgrade ang v2 address dahil ang address mismo ang lumang key. Kailangang gumawa ang mga operator ng bagong service at i-publish ang bagong address sa isang channel na pinagkakatiwalaan na ng kanilang mga user.

Mga bridge at pluggable transport: patuloy na nagbabago ang censorship

Sinasadyang inilalathala ang listahan ng mga public relay upang makapili ang client ng sarili nitong path, sa halip na umasa sa isang server na pipili para rito. Ang parehong inilathalang listahan ay handa nang gawing blocklist ng anumang bansang gustong huminto sa Tor. Nagsimula ang paggawa sa mga bridge noong 2007. Ang bridge ay relay na wala sa public list. Humihingi ka ng kaunti sa mga ito sa web o sa email, at hindi maba-block ng censor ang mga address na hindi nito ma-enumerate. Umiiral ang supply na ito dahil patuloy itong dinaragdagan ng mga volunteer, at ang pagpapatakbo ng obfs4 bridge sa murang VPS ay ilang torrc directive at isang firewall rule lamang, hindi isang malaking project.

Pagkatapos, mula sa mga address ay lumipat ang pagba-block sa anyo ng traffic. Nakikilala ng deep packet inspection ang Tor protocol sa network kahit saang IP address ito kumokonekta. Ang sagot dito ay pluggable transport: isang wrapper na nagbabago sa hitsura ng Tor traffic nang hindi binabago ang ginagawa nito. Sa kasalukuyang Tor Browser, ipinapadala ang mga ito bilang isang binary na may pangalang lyrebird, na pumalit sa obfs4proxy, at tatlong linya ang client side ng torrc:

UseBridges 1
ClientTransportPlugin meek_lite,obfs4,snowflake,webtunnel exec [PATH]/lyrebird
Bridge obfs4 <IP ADDRESS>:<PORT> <FINGERPRINT> cert=<CERTIFICATE> iat-mode=0

Palitan ang [PATH] ng directory na naglalaman ng lyrebird binary, at kunin nang buo ang Bridge line mula sa bridges site ng Tor Project sa halip na manu-manong i-type ito. Iba-iba ang blocking method na nilulutas ng bawat transport:

• Ginagawang tila walang makilalang pattern ng obfs4 ang traffic, kaya walang protocol header na maaaring itugma ng filter. Inirerekomenda ng Tor na ito ang unang subukan dahil isa itong randomising transport na gumagana para sa karamihan ng user.
• Ipinapadaan ka ng snowflake sa mga short-lived proxy na pinapatakbo ng mga volunteer sa loob ng ordinaryong web browser, kaya patuloy na nagbabago ang address na kinokonektahan mo. Naging stable ito sa Tor Browser sa version 10.5 noong 6 July 2021.
• Ipinapadaan ng meek ang connection sa isang malaking cloud provider, kaya lumalabas na sa provider na iyon pumupunta ang traffic. Dahil dito, ang pagba-block dito ay nangangahulugan ding pagba-block sa provider.
• Kabaligtaran ng obfs4 ang approach ng webtunnel. Sa halip na magmukhang walang makilalang pattern, nagmumukha itong ordinaryong HTTPS connection sa isang web server, sa pamamagitan ng “pagbabalot sa payload connection sa isang WebSocket-like HTTPS connection.” Inilabas ito ng Tor Project sa stable Tor Browser noong 12 March 2024, para sa mga network na pinapayagan lamang ang maikling listahan ng mga protocol.

Iyan ang tunay na anyo ng nakaraang dalawampung taon. Umiiral ang bawat bagong transport dahil nagsimulang gumana ang isang partikular na blocking technique, at tala ng ginagawa ng mga censor sa bawat taon ang mga petsa ng mga release na iyon.

Hindi VPN ang Tor, at hindi rin VPN ang VPS

Maraming tao ang napupunta sa Tor matapos magbasa tungkol sa VPN, kaya mahalagang maging eksakto. Ipinapadala ng VPN (virtual private network) ang traffic mo sa isang server na pinapatakbo ng isang kumpanya, at nakikita ng kumpanyang iyon ang tunay mong address at ang destinasyon mo sa parehong sandali. Ipinapadaan naman ng Tor ang traffic mo sa tatlong relay na pinapatakbo ng magkakaibang tao, kaya walang isang relay ang may hawak sa parehong impormasyon. Magkaiba ang mga trust model na ito, pati ang mga paraan kung paano sila nabibigo. Sinasaklaw ng Pagkakaiba ng VPS at VPN kung saan dapat gamitin ang bawat isa.

Kung ang kailangan mo ay private tunnel sa pagitan ng mga machine na kontrolado mo, sa halip na anonymity sa loob ng isang grupo, kailangan mo ng VPN na ikaw ang nagpapatakbo. Maaari kang mag-self-host ng WireGuard VPN sa isang VPS gamit ang humigit-kumulang apatnapung linya ng config. Pinoprotektahan nito ang traffic mo mula sa local network at sa internet provider mo. Hindi ka nito ginagawang anonymous sa kumpanyang nagho-host ng server, dahil inupahan mo ang server gamit ang sarili mong payment details. Ibang usapin naman ang kung ligtas ang VPS hosting: tungkol ito sa ibang threat, kung sino pa ang maaaring makaabot sa box mo.

Ang pagpapatakbo ng relay ang kabilang direksiyon, at nakadepende rito ang network. Kailangan ng operators ang bridges, guards, middle relays, at exits. Malinaw sa relay guide ng Tor Project na “running a relay requires technical skill and commitment”. May legal exposure ang exits, dahil lumalabas sa internet ang traffic ng ibang tao gamit ang IP address mo, at makatatanggap ng reklamo tungkol dito ang hosting provider mo. Basahin ang guide na iyon bago ka magsimula, hindi pagkatapos.

FAQ

Ang Tor ba ay ginawa ng gobyerno ng US?

Nagsimula ang onion routing sa U.S. Naval Research Laboratory noong 1995, kung saan ginawa nina David Goldschlag, Michael G. Reed, at Paul Syverson ang mga unang prototype. Ang Tor mismo ang sumunod na henerasyong disenyo. Sinimulan ito nina Roger Dingledine, Nick Mathewson, at Paul Syverson noong bandang 2001 at 2002. Na-deploy ang network noong October 2002 sa ilalim ng free software licence. Ang Tor Project, Inc. ay isang independent na 501(c)(3) nonprofit mula noong 2006. Totoo ang pinagmulan nito sa gobyerno. Iyon din ang dahilan kung bakit kailangang buksan ang network para sa lahat. Kung traffic ng isang organisasyon lamang ang dinadala ng network, hindi nagbibigay ng anonymity ang network na iyon sa organisasyon. Makikilala ang sender ng bawat koneksiyong lumalabas dito dahil ginagamit nito ang network.

Ibig bang sabihin ng pagpopondo ng gobyerno ay may backdoor ang Tor?

Ang sagot ng Tor Project ay, “Walang backdoor ang Tor. Open source ang software nito, maaaring i-audit nang hiwalay ang code, at nilalagdaan ang bawat release upang maprotektahan laban sa tampering.” Nagiging masusuri ito at hindi lamang pangako dahil sa istrukturang nakapaligid dito. Nakatukoy sa publiko ang protocol. Deterministic ang Tor Browser builds, kaya maaaring i-rebuild ng independent builder ang isang release at ihambing ito sa published binary. Mga volunteer, at hindi mga funder, ang nagpapatakbo ng mga relay. Nakaaapekto ang funding sa kung aling gawain ang mauuna. Ipinapakita naman ng mga audited financial report sa Tor blog kung saan nanggaling ang pera. Tanong ito tungkol sa mga priority, hindi tungkol sa code.

Bakit hindi na gumagana ang dati kong .onion address?

Version 2 address iyon, at itinigil ang v2 onion services noong 2021. Nagsimulang magbabala ang Tor tungkol dito noong 15 September 2020. Inalis ang v2 sa code base sa Tor 0.4.6.x noong 15 July 2021. Na-disable naman ito sa stable releases noong 15 October 2021. Ang v2 address ay may 16 na character bago ang .onion, at ang v3 address ay may 56. Walang redirect at walang upgrade path dahil hinango ang address mula sa lumang key. Kaya kinailangang gumawa ng bagong service ang operator at i-publish ang bagong address.

Pareho ba ang Tor at VPN?

Hindi. Ipinapadala ng VPN ang traffic mo sa isang server na pinapatakbo ng isang kumpanya. Nakikita ng kumpanyang iyon ang tunay mong IP address at ang destination mo nang magkasama. Ipinapadaan naman ng Tor ang traffic sa tatlong relay na pinapatakbo ng magkakaibang tao. Nakikita ng unang relay ang address mo pero hindi ang destination mo. Nakikita ng huling relay ang destination mo pero hindi ang address mo. Mas mabagal ang Tor. Dinisenyo ito para sa anonymity laban sa observer na hindi mino-monitor ang buong internet. Mas mabilis ang VPN. Dinisenyo ito para sa privacy mula sa local network at internet provider mo.

Ano ang pluggable transport, at kailangan ko ba ito?

Ang pluggable transport ay isang wrapper na nagbabago sa hitsura ng Tor traffic sa wire nang hindi binabago kung paano gumagana ang Tor. Dahil dito, hindi ito madaling matukoy ng filter na kumikilala sa Tor protocol. Kailangan mo lamang ito kung hindi makakonekta ang plain Tor. Karaniwang ibig sabihin nito ay hinaharangan ito ng network o bansa mo. Kasama sa Tor Browser ang obfs4, snowflake, meek, at webtunnel sa iisang binary na tinatawag na lyrebird. Magsimula sa obfs4 dahil isa itong randomising transport na gumagana para sa karamihan. Subukan ang webtunnel o snowflake kung hindi kailanman nakukumpleto ang koneksiyong iyon.