Tor không phải là giải pháp bảo mật và ẩn danh hoàn hảo. Nó có một số hạn chế và rủi ro quan trọng, mà bạn nên biết nếu bạn định sử dụng nó.
Các nút thoát có thể bị ngửi
Đọc phần thảo luận của chúng tôi về cách Tor làm việc để có cái nhìn chi tiết hơn về cách Tor cung cấp tính ẩn danh của nó. Tóm lại, khi bạn sử dụng Tor, lưu lượng truy cập Internet của bạn được định tuyến qua mạng của Tor và đi qua một số rơle được chọn ngẫu nhiên trước khi thoát khỏi mạng Tor. Tor được thiết kế sao cho không thể biết được máy tính nào thực sự yêu cầu lưu lượng. Máy tính của bạn có thể đã khởi tạo kết nối hoặc nó có thể hoạt động như một rơle, chuyển tiếp lưu lượng được mã hóa đến một nút Tor khác.
Tuy nhiên, hầu hết lưu lượng Tor cuối cùng phải xuất hiện từ mạng Tor. Ví dụ: giả sử bạn đang kết nối với Google thông qua Tor - lưu lượng truy cập của bạn được chuyển qua một số rơle Tor, nhưng cuối cùng nó phải xuất hiện từ mạng Tor và kết nối với máy chủ của Google. Nút Tor cuối cùng, nơi lưu lượng truy cập của bạn rời khỏi mạng Tor và đi vào Internet mở, có thể được theo dõi. Nút này nơi lưu lượng truy cập thoát khỏi mạng Tor được gọi là "nút thoát" hoặc "chuyển tiếp thoát".
Trong biểu đồ dưới đây, mũi tên màu đỏ thể hiện lưu lượng không mã hóa giữa nút thoát và "Bob", một máy tính trên Internet.
Mọi người phải đồng ý để chạy các nút thoát, khi chạy các nút thoát đặt chúng vào nhiều nguy cơ pháp lý hơn là chỉ chạy một nút chuyển tiếp đi qua lưu lượng truy cập. Có thể các chính phủ điều hành một số nút thoát và theo dõi lưu lượng truy cập rời khỏi họ, sử dụng những gì họ học để điều tra tội phạm hoặc ở các quốc gia đàn áp, trừng phạt các nhà hoạt động chính trị.
Đây không chỉ là một nguy cơ lý thuyết. Vào năm 2007, một nhà nghiên cứu bảo mật đã chặn mật khẩu và thông điệp email cho hàng trăm tài khoản email bằng cách chạy nút thoát Tor. Người dùng được đề cập đã phạm sai lầm khi không sử dụng mã hóa trên hệ thống email của họ, tin rằng Tor bằng cách nào đó sẽ bảo vệ họ bằng mã hóa nội bộ của nó. Nhưng đó không phải là cách Tor hoạt động.
Bài học: Khi sử dụng Tor, hãy đảm bảo sử dụng các trang web được mã hóa (HTTPS) cho bất kỳ điều gì nhạy cảm. Lưu ý rằng lưu lượng truy cập của bạn có thể được theo dõi - không chỉ bởi chính phủ mà bởi những người độc hại đang tìm kiếm dữ liệu riêng tư.
JavaScript, Trình cắm và các ứng dụng khác có thể làm rò rỉ IP của bạn
Gói trình duyệt Tor, mà chúng tôi đã giới thiệu khi chúng tôi giải thích cách sử dụng Tor, được cấu hình sẵn với các cài đặt bảo mật. JavaScript bị tắt, trình cắm không thể chạy và trình duyệt sẽ cảnh báo bạn nếu bạn cố gắng tải xuống tệp và mở tệp đó trên một ứng dụng khác.
JavaScript thường không phải là rủi ro bảo mật, nhưng nếu bạn đang cố ẩn IP của mình, bạn không muốn sử dụng JavaScript. Công cụ JavaScript của trình duyệt, các trình cắm như Adobe Flash và các ứng dụng bên ngoài như Adobe Reader hoặc thậm chí trình phát video đều có thể "rò rỉ" địa chỉ IP thực của bạn đến một trang web cố gắng lấy nó.
Gói trình duyệt Tor tránh tất cả các vấn đề này với các thiết lập mặc định của nó, nhưng bạn có khả năng vô hiệu hóa các bảo vệ này và sử dụng JavaScript hoặc các trình cắm thêm trong trình duyệt Tor. Đừng làm điều này nếu bạn nghiêm túc về giấu tên - và nếu bạn không nghiêm túc về giấu tên, bạn không nên sử dụng Tor ngay từ đầu.
Đây không chỉ là một nguy cơ lý thuyết. Năm 2011, một nhóm các nhà nghiên cứu đã thu thập địa chỉ IP của 10.000 người đang sử dụng các máy khách BitTorrent thông qua Tor. Giống như nhiều loại ứng dụng khác, các máy khách BitTorrent không an toàn và có khả năng hiển thị địa chỉ IP thực của bạn.
Bài học: Để nguyên cài đặt bảo mật của trình duyệt Tor tại chỗ. Đừng cố gắng sử dụng Tor với một trình duyệt khác - gắn bó với gói trình duyệt Tor, đã được cấu hình sẵn với các cài đặt lý tưởng. Bạn không nên sử dụng các ứng dụng khác với mạng Tor.
Chạy một nút thoát khiến bạn gặp rủi ro
Nếu bạn là một người tin tưởng vào ẩn danh trực tuyến, bạn có thể có động lực để quyên góp băng thông của mình bằng cách chạy tiếp sức Tor. Đây không phải là một vấn đề pháp lý - một rơle Tor chỉ truyền lưu lượng được mã hóa qua lại trong mạng Tor. Tor đạt được giấu tên thông qua các rơ-le do các tình nguyện viên điều hành.
Tuy nhiên, bạn nên suy nghĩ kỹ trước khi chạy một rơle thoát, đó là nơi mà lưu lượng Tor thoát ra khỏi mạng ẩn danh và kết nối với Internet mở. Nếu bọn tội phạm sử dụng Tor cho những thứ bất hợp pháp và lưu lượng truy cập xuất phát từ lối ra của bạn, lưu lượng truy cập sẽ được truy xuất đến địa chỉ IP của bạn và bạn có thể bị gõ cửa và thiết bị máy tính của bạn bị tịch thu. Một người đàn ông ở Áo đã bị đột kích và buộc tội phân phối nội dung khiêu dâm trẻ em để chạy nút thoát Tor.Chạy nút thoát Tor cho phép người khác làm những điều xấu có thể được truy ngược lại cho bạn, giống như điều hành một mạng Wi-Fi mở - nhưng rất nhiều, nhiều khả năng bạn thực sự gặp rắc rối. Tuy nhiên, hậu quả có thể không phải là hình phạt hình sự. Bạn có thể phải đối mặt với một vụ kiện để tải xuống nội dung có bản quyền hoặc hành động theo Hệ thống cảnh báo bản quyền ở Hoa Kỳ.
Bài học: Không bao giờ chạy một nút thoát Tor - nghiêm túc.
Dự án Tor có các khuyến nghị để chạy một nút thoát nếu bạn thực sự muốn. Các khuyến nghị của họ bao gồm việc chạy một nút thoát trên một địa chỉ IP chuyên dụng trong một cơ sở thương mại và sử dụng một ISP thân thiện với Tor. Đừng thử ở nhà! (Hầu hết mọi người thậm chí không nên thử công việc này.)
Tor không phải là một giải pháp kỳ diệu cho phép bạn ẩn danh. Nó đạt được ẩn danh bằng cách khéo léo truyền lưu lượng được mã hóa thông qua mạng, nhưng lưu lượng truy cập đó phải xuất hiện ở đâu đó - đó là vấn đề đối với cả người dùng Tor và các nhà khai thác nút thoát. Ngoài ra, phần mềm chạy trên máy tính của chúng tôi không được thiết kế để ẩn địa chỉ IP của chúng tôi, điều này dẫn đến rủi ro khi thực hiện bất kỳ điều gì ngoài việc xem các trang HTML thuần túy trong trình duyệt Tor.
