Ano ang Tor at Paano Ito Gumagana? Gabay sa Onion Routing

Ano ang Tor?

Ang Tor ay libreng software at network na nagpapadaan ng koneksyon mo sa tatlong server bago ito umabot sa website. Dahil dito, hindi alam ng website kung sino ka, at hindi alam ng internet provider mo kung aling site ang binubuksan mo. Walang isang server sa daan na nakakaalam ng dalawang bagay na iyon nang sabay. Paalala lang: sa Pilipinas, ang TOR ay Transcript of Records din. Kung iyon ang hinahanap mo, sa registrar ng paaralan mo iyon kinukuha, at puwede mo nang isara ang pahinang ito.

Ang pangalang Tor ay galing sa "The Onion Router". Onion, o sibuyas, dahil patong-patong ang encryption na bumabalot sa bawat mensahe. Pinapanatili ito ng The Tor Project, isang nonprofit, at bukas ang source code nito. Ang mga server sa network ay pinapatakbo ng libu-libong volunteer at organisasyon sa iba't ibang bansa. Ginagamit ang Tor ng mga mamamahayag, mananaliksik, kompanya at ordinaryong tao na ayaw sundan ng mga ad network. May sariling .onion address pa nga ang mga site tulad ng BBC at Facebook. Kung gusto mong malaman kung paano ito nagsimula sa isang research project ng US Naval Research Laboratory, basahin ang kasaysayan ng Tor at ng onion routing.

Ang pinakamadaling paraan para gamitin ang Tor ay ang Tor Browser. Isa itong browser na batay sa Firefox, at kumokonekta ito sa Tor network pagbukas mo. Hindi mo kailangang mag-setup ng kahit ano.

Paano gumagana ang Tor? Tatlong relay sa bawat koneksyon

Ang bawat server sa Tor network ay tinatawag na relay. Bawat oras, naglalabas ang ilang pinagkakatiwalaang server, ang tinatawag na directory authorities, ng listahan ng lahat ng relay na gumagana. Kinukuha ng Tor Browser ang listahang ito, at pumipili ito ng tatlong relay. Ang daan na nabubuo mula sa tatlong ito ay tinatawag na circuit.

Ang mahalaga ay kung ano ang alam ng bawat relay. Ganito ang hatian.

Guard relay: ang unang hinto

Ang guard ang direktang kinakausap ng phone o computer mo. Nakikita nito ang IP address mo (ang numerong nagpapakilala sa koneksyon mo sa internet). Hindi nito nakikita kung aling website ang pupuntahan mo, dahil naka-encrypt pa ang bahaging iyon. Ginagamit ng Tor Browser ang parehong guard nang ilang buwan. Sinadya iyon. Kung pipili ka ng bagong guard sa bawat koneksyon, darating ang araw na makakapili ka ng guard na pinapatakbo ng taong nagmamanman. Ang isang matatag na guard ay nagpapaliit ng tsansang iyon.

Middle relay: ang nasa gitna

Ang middle relay ay tumatanggap mula sa guard at nagpapasa sa exit. Ang alam lang nito ay ang IP address ng guard at ng exit. Hindi nito alam kung sino ka. Hindi rin nito alam kung saan ka pupunta. Ito ang dahilan kung bakit mahirap pagdugtungin ang dalawang dulo ng koneksyon.

Exit relay: ang huling hinto

Ang exit ang kumokonekta sa website para sa iyo. Alam nito kung aling site ang binubuksan, pero hindi nito alam ang IP address mo. Ang nakikita ng website ay ang IP address ng exit, hindi ang sa iyo. Kaya kung minsan, iba ang wikang ipinapakita ng isang site: inaakala nitong nasa Germany o Netherlands ka dahil doon nakalagay ang exit.

Paano gumagana ang patong-patong na encryption?

Bago magpadala ng kahit ano, gumagawa ang Tor Browser ng hiwalay na encryption key kasama ang bawat isa sa tatlong relay. Isang key bawat relay. Pagkatapos, binabalot nito ang mensahe mo nang tatlong beses: una gamit ang key ng exit, sunod ang key ng middle, at huli ang key ng guard.

Pagdating sa guard, inaalis nito ang isang patong gamit ang sarili nitong key. Naka-encrypt pa rin ang natitira, at ang tanging mababasa ng guard ay "ipasa ito sa middle relay na ito". Ganoon din ang middle: aalisin nito ang patong nito at makikita lang ang "ipasa sa exit". Ang exit ang mag-aalis ng huling patong at makakakita ng orihinal na request, halimbawa ay isang request para sa isang web page. Pabalik, kabaligtaran ang nangyayari. Nagdadagdag ng patong ang bawat relay, at ang Tor Browser mo lang ang may hawak ng lahat ng key para buksan ang mga ito.

Hinahati rin ng Tor ang data sa maliliit na piraso na pare-pareho ang laki, na tinatawag na cell. Dahil pare-pareho ang laki, mas mahirap hulaan ang laman batay sa sukat ng bawat piraso. Sa desktop, gumagamit din ang Tor Browser ng ibang circuit para sa bawat site na binubuksan mo, kaya hindi iisang exit ang nakakakita ng lahat ng site mo.

Bakit kailangan pa rin ang HTTPS kahit naka-Tor?

Ito ang pinakamadalas na hindi naiintindihan. Ang encryption ng Tor ay natatapos sa exit relay. Pagkaalis ng huling patong, ang natitira ay ang orihinal mong traffic, eksakto kung paano ito ipapadala ng ordinaryong browser.

Kung HTTP lang ang site (walang S), plain text ang lumalabas sa exit. Mababasa ng exit ang laman, kasama ang password na tina-type mo, at puwede pa nitong baguhin ang page bago ito umabot sa iyo. Kung HTTPS (Hypertext Transfer Protocol Secure) ang site, may sarili itong encryption mula sa browser mo hanggang sa website. Makikita pa rin ng exit ang pangalan ng site at kung gaano kalaki ang data, pero hindi ang laman.

May HTTPS-Only Mode ang Tor Browser. Sinusubukan nitong gumamit ng HTTPS sa bawat site, at nagbababala ito bago magbukas ng page na HTTP lang. Huwag mong lampasan ang babalang iyon kapag may ita-type kang password o personal na impormasyon. Ang simpleng tuntunin: itinatago ng Tor kung sino ka, at itinatago ng HTTPS kung ano ang ipinapadala mo. Kailangan mo pareho.

Ano ang onion service at ang .onion address?

Ang onion service ay isang site na nasa loob mismo ng Tor network. Walang exit relay na kasali, kaya walang bahagi ng daan kung saan lumalabas sa ordinaryong internet ang traffic mo. Ang browser mo at ang server ay parehong gumagawa ng sariling circuit papunta sa isang relay sa gitna, ang tinatawag na rendezvous point. Anim na relay ang kabuuan, at hindi alam ng magkabilang panig ang tunay na IP address ng isa't isa.

Ang .onion address ay mahabang string na 56 na letra at numero. Hindi ito pinili ng may-ari para maging madaling tandaan. Ginawa ito mula sa public key ng server, kaya kapag tama ang address, sigurado kang tamang server ang kausap mo. Ang panganib ay nasa pagkuha ng address. May mga pekeng .onion address na halos kamukha ng tunay, kaya kopyahin lang ito mula sa opisyal na website ng serbisyo. Maraming site ang nagpapakita ng button na ".onion available" sa Tor Browser, at galing iyon sa isang header na idinadagdag ng may-ari ng site. Kung may sarili kang server, puwede ka ring mag-host ng sariling onion site sa isang VPS (virtual private server).

Ano ang nakikita ng ISP mo kapag naka-Tor ka?

Ang ISP (internet service provider) mo ay maaaring PLDT, Globe, Smart, Converge, DITO o iba pa. Kapag hindi ka naka-Tor, karaniwang nakikita nila ang bawat site na binubuksan mo, kahit hindi ang laman ng HTTPS. Nakikita nila ito sa mga DNS (Domain Name System) query, at sa pangalan ng site na ipinapadala sa simula ng bawat koneksyon.

Kapag naka-Tor ka, iba na ang nakikita nila. Ito ang nakikita pa rin ng ISP mo:

• na kumokonekta ka sa isang IP address na kilalang Tor relay, dahil pampubliko ang listahan ng mga relay
• kung kailan ka online at kung gaano karaming data ang dumadaan

Ito ang hindi na nila nakikita:

• kung aling mga site ang binubuksan mo
• ang laman ng traffic mo, pati ang mga DNS query, dahil ang exit relay na ang humahanap ng address ng site

Kaya alam ng ISP mo na gumagamit ka ng Tor, pero hindi kung para saan. Kung ayaw mong makita kahit iyon, o kung naka-block ang mga kilalang relay sa network mo, may mga bridge. Ipinapaliwanag ang mga ito sa ibaba.

Ano ang nakikita ng mga website na binibisita mo?

Nakikita ng website ang IP address ng exit relay, hindi ang sa iyo. Pampubliko rin ang listahan ng mga exit, kaya alam ng site na galing ka sa Tor. Dahil dito, may mga site na humihingi ng CAPTCHA, at may ilan na tuluyang nagba-block ng Tor. Hindi ito sira sa phone mo. Patakaran iyon ng site.

Bukod sa IP address, puwedeng makilala ng isang site ang browser mo sa tinatawag na fingerprinting: ang laki ng screen, ang mga naka-install na font, ang wika, at iba pang maliliit na detalye. Sinasadya ng Tor Browser na gawing magkakamukha ang lahat ng gumagamit nito, para walang namumukod. Kaya huwag kang mag-install ng extension o add-on sa Tor Browser. Bawat dagdag ay ginagawang kakaiba ang browser mo kumpara sa iba, kaya mas madali kang makilala.

Ano ang hindi kayang protektahan ng Tor?

Itinatago ng Tor ang daan ng traffic mo. Hindi nito binabago kung ano ang ginagawa mo sa dulo ng daan na iyon. Ito ang mga sitwasyon na hindi ka nito matutulungan:

• Pag-login sa sarili mong account. Kapag nag-login ka sa Facebook o sa bangko mo gamit ang Tor, alam ng site na ikaw iyon. Ang naitatago lang ay ang IP address mo.
• Malware sa device mo. Kapag may virus o spyware ang phone o computer mo, nababasa nito ang ginagawa mo bago pa ito ma-encrypt ng Tor.
• Mga file na binubuksan sa labas ng browser. Ang isang PDF o Word file na na-download mo ay puwedeng kumuha ng larawan o iba pang laman mula sa internet pagbukas mo. Ginagawa iyon ng ibang app, hindi ng Tor Browser, kaya direkta itong kumokonekta at nakikita ang tunay mong IP address. Ito ang dahilan kung bakit nagbababala ang Tor Browser bago ka magbukas ng download.
• Phone na nakompromiso na. Kung may ibang tao na may access sa phone mo, o may naka-install na stalkerware, nakikita nila ang screen mo. Walang kinalaman doon ang Tor.
• Ibang app sa phone mo. Ang Tor Browser ay nagpoprotekta lang sa sarili nito. Ang Messenger, TikTok, Shopee at lahat ng iba pang app ay direkta pa ring kumokonekta. Kung kailangan mong idaan sa Tor ang ibang app, ang Orbot ng Guardian Project ang ginagamit para doon.

May isa pang limitasyon na inaamin mismo ng disenyo ng Tor. Kung may isang nagmamasid na nakakakita ng traffic sa pagpasok mo sa Tor at ng traffic sa paglabas nito, puwede niyang ihambing ang oras at laki ng data para pagdugtungin ang dalawa. Hindi pinoprotektahan ng Tor laban doon. Para sa desktop at mas mabigat na pangangailangan, may mga system na mas mahigpit, at ipinapaliwanag ng paghahambing ng Tor Browser, Tails at Whonix kung kailan sapat ang browser at kung kailan hindi.

Paano gamitin ang Tor Browser sa Android?

Karamihan sa atin ay nasa phone, kaya dito tayo magsisimula. Ganito ang tamang paraan:

1. Buksan ang Google Play at hanapin ang "Tor Browser". Tingnan ang pangalan ng developer. Dapat ay The Tor Project. Kung iba ang nakasulat, huwag itong i-install.
2. Kung wala kang Google Play, kunin ang APK (Android Package, ang installer file ng Android) mula lang sa opisyal na download page ng Tor Project.
3. Buksan ang app at pindutin ang Connect. Sa unang beses, mas matagal ito, dahil kinukuha pa nito ang listahan ng mga relay.
4. Pagka-connect, buksan ang check.torproject.org. Kapag gumagana, ang makikita mo ay "Congratulations. This browser is configured to use Tor." Kapag "Sorry. You are not using Tor." ang nakasulat, hindi dumadaan sa Tor ang browser na iyon.
5. Sa Settings ng app, hanapin ang Security Level. May pagpipilian dito: Standard, Safer at Safest. Sa Safer, naka-off ang JavaScript sa mga site na hindi HTTPS. Sa Safest, naka-off ang JavaScript sa lahat ng site, kaya maraming site ang hindi gagana nang maayos, pero mas kaunti ang puwedeng atakihin sa browser mo.

Sa iPhone, walang opisyal na Tor Browser. Ang inirerekomenda ng Tor Project ay ang Onion Browser. Dahil sa patakaran ng Apple, kailangang gamitin ng lahat ng browser sa iOS ang WebKit engine ng Apple. Kaya hindi kayang ibigay ng Onion Browser ang lahat ng proteksyon ng Tor Browser sa Android at desktop.

Bakit mas mabagal ang Tor sa mobile data?

Mabagal ang Tor sa kahit anong koneksyon, at mas ramdam ito sa mobile data. May malinaw na dahilan ang bawat bahagi nito.

Una, dumadaan ang bawat request sa tatlong relay bago umabot sa site, at bumabalik ang sagot sa parehong tatlo. Marami sa mga relay ay nasa Europe at North America. Kaya ang isang page na dati ay direkta mong nakukuha mula sa server sa Singapore ay maaaring bumiyahe na sa ibang kontinente bago bumalik sa iyo. Bawat biyahe ay nagdadagdag ng delay.

Pangalawa, ang mobile data ay may sarili nang delay, at pabago-bago ang signal. Kapag lumipat ang phone mo mula sa isang cell tower papunta sa iba, o mula WiFi papuntang mobile data, nagbabago ang koneksyon. Kailangang bumuo ulit ng circuit ang Tor Browser, kaya may mga page na matagal mag-load o tumitigil sa gitna.

Pangatlo, kapag matagal na nasa background ang Tor Browser, puwede itong isara ng Android para makatipid ng baterya. Pagbalik mo, kailangan mong kumonekta ulit.

Pang-apat, limitado ang bandwidth ng mga relay dahil volunteer ang karamihan sa nagpapatakbo nito, at hinahati ito sa lahat ng gumagamit ng Tor sa buong mundo.

Ang praktikal na payo: gumamit ng WiFi kung maaari, at iwasan ang pag-stream ng video sa Tor. Kapag tumigil ang isang site, i-reload muna ito. Kung wala pa ring gumagalaw, isara at buksan ulit ang app para bumuo ng bagong circuit.

Paano makikilala ang pekeng Tor app?

May mga app sa Google Play at sa App Store na gumagamit ng pangalang "Tor" o ng logo na kamukha ng sibuyas, pero hindi gawa ng Tor Project. May ilan na puno ng ads o naniningil ng subscription. May ilan pa na nagre-record ng ginagawa mo, na eksaktong kabaligtaran ng dahilan kung bakit mo hinanap ang Tor.

Ang tunay na Tor Browser ay libre at walang ads. Hindi rin ito humihingi ng account o login. Kunin lang ito mula sa torproject.org o sa opisyal na listing ng The Tor Project sa Google Play. Huwag mag-install ng APK na ipinasa sa Facebook group o Telegram channel. Huwag ding maniwala sa site na nag-aalok ng "pro" o "premium" na bersyon. Walang ganoong bersyon ang Tor Browser.

Paano kung naka-block ang Tor sa network mo?

May mga WiFi network, gaya ng sa ilang opisina at paaralan, na nagba-block sa mga IP address ng kilalang Tor relay. Madali itong gawin dahil pampubliko ang listahan. Ang sintomas: hindi natatapos ang pag-connect ng Tor Browser at nananatili ito sa loading.

Ang solusyon ay bridge. Ang bridge ay relay na wala sa pampublikong listahan, kaya wala rin ito sa block list. Kadalasan, may kasama itong pluggable transport, isang paraan para magmukhang ibang uri ng traffic ang Tor. Sa Tor Browser, makikita ito sa connection settings, kung saan puwede kang pumili ng built-in bridge tulad ng obfs4 o Snowflake. Ipinapaliwanag ng gabay sa Tor bridges at pluggable transports kung paano pumili sa mga ito at kung bakit mas gumagana ang isa sa ilang network.

Tor ba o VPN ang kailangan mo?

Magkaiba ang dalawa. Sa VPN (virtual private network), isang kompanya ang nakakakita ng IP address mo at ng lahat ng site na binubuksan mo. Inililipat mo lang ang tiwala mula sa ISP papunta sa VPN provider. Sa Tor, walang iisang relay na may hawak ng parehong impormasyon. Mas mabilis ang VPN at sakop nito ang lahat ng app sa phone. Mas malakas naman ang Tor sa pagtatago kung sino ka. Mas detalyado ang paghahambing ng Tor at VPN, kasama kung kailan makatwirang gamitin ang bawat isa.

Paano makakatulong sa Tor network kung may VPS ka?

Umaasa ang Tor network sa mga volunteer na nagpapatakbo ng relay. Mas maraming relay, mas maraming bandwidth para sa lahat, kasama ang mga gumagamit sa mabagal na mobile data.

Nagpapatakbo ang SSD Nodes ng mga exit relay na nirerentahan mula sa mga provider na tahasang pumapayag sa exit traffic. May dahilan iyon. Ang IP address ng exit ang nakikita ng bawat site, kaya doon napupunta ang mga abuse complaint, at doon din nangyayari ang mga block. Sa isang pangkalahatang VPS na may website o iba pang serbisyo, puwedeng ma-blacklist ang IP mo o ma-suspend ang account mo dahil doon.

Kung may VPS ka, mas angkop ang middle o guard relay. Hindi ito kumokonekta sa mga website, kaya hindi ito ang nakikita ng mga site. Ang isa pang opsyon ay bridge, na direktang tumutulong sa mga taong naka-block ang Tor sa network nila. Nasa gabay sa pagpapatakbo ng Tor relay sa VPS ang buong setup.

FAQ

Makikita ba ng PLDT, Globe o Smart na gumagamit ako ng Tor?

Oo, karaniwan ay nakikita nila na kumokonekta ka sa isang Tor relay, dahil pampubliko ang listahan ng mga relay. Hindi nila nakikita kung aling mga site ang binubuksan mo o ang laman ng traffic mo, dahil naka-encrypt ito hanggang sa exit relay. Kung ayaw mong makita kahit ang paggamit mo ng Tor, gumamit ng bridge na may pluggable transport tulad ng obfs4 o Snowflake.

Bakit napakabagal ng Tor Browser sa cellphone ko?

Dumadaan ang bawat request sa tatlong relay na madalas ay nasa ibang kontinente, at bumabalik ang sagot sa parehong daan. Nadadagdag pa ang sariling delay ng mobile data at ang paglipat-lipat ng signal, na pumipilit sa Tor Browser na bumuo ulit ng circuit. Gumamit ng WiFi kung maaari, at isara at buksan ulit ang app kapag tumigil ang lahat ng page.

Ligtas ba ang password ko kung dumadaan ito sa exit relay?

Kung HTTPS ang site, oo: naka-encrypt ang laman mula sa browser mo hanggang sa website, at ang nakikita lang ng exit ay ang pangalan ng site. Kung HTTP lang ang site, mababasa at mababago ng exit ang laman, kasama ang password. Huwag mag-type ng password sa page na binabalaan ng HTTPS-Only Mode ng Tor Browser.

Saan ako dapat mag-download ng Tor Browser para sa Android?

Sa torproject.org lang, o sa Google Play listing na ang developer ay The Tor Project. Libre at walang ads ang tunay na Tor Browser, at hindi ito humihingi ng account. Ang mga app na naniningil o nag-aalok ng "premium" na bersyon ay hindi gawa ng Tor Project. Sa iPhone, ang inirerekomenda ng Tor Project ay ang Onion Browser.

Pareho ba ang Tor at ang TOR na Transcript of Records?

Hindi. Ang Tor ay network at browser para sa privacy sa internet. Ang TOR o Transcript of Records ay opisyal na listahan ng mga grado mo, na hinihingi sa registrar ng paaralan mo. Walang kinalaman ang isa sa isa.