DigiCert sedang mempertimbangkan sijil SSL untuk lebih banyak perkhidmatan tersembunyi Tor

Pihak berkuasa sijil DigiCert sedang mempertimbangkan untuk mengeluarkan sijil SSL kepada pemilik alamat Torononion yang lebih banyak selepas baru-baru ini menyediakan Facebook dengan satu.

Bagaimanapun, sijil SSL untuk domain peringkat atas pseudo seperti .onion yang tidak benar-benar wujud di Internet adalah dalam proses sedang dihentikan dan Projek Tor masih belum diputuskan jika laman web Tor mendapat sijil SSL adalah perkara yang baik.

Minggu lalu, Facebook membuat laman webnya boleh diakses di dalam rangkaian anonimitas Tor dengan menyediakan apa yang disebut Tor perkhidmatan tersembunyi dengan alamat facebookcorewwwi.onion. Syarikat itu menyifatkannya sebagai satu percubaan yang akan memberi pengguna Tor dengan komunikasi hujung-ke-akhir, dari pelayar mereka terus ke pusat data Facebook, mengelakkan nod keluar pihak ketiga.

[Bacaan lanjut: Bagaimana untuk membuang malware dari Windows PC]

Perkhidmatan tersembunyi Tor menggunakan alamat URL yang berakhir pada .onion, akhiran yang tidak wujud di zon akar DNS Internet dan bukan TLD yang diiktiraf oleh Perbadanan Internet untuk Nama dan Nombor Ditugaskan. Oleh itu, alamat-alamat ini hanya menyelesaikan dalam rangkaian Tor melalui sistem DNS seperti swasta.

Penggunaan dalaman TLD yang dibuat seperti .onion bukan sesuatu yang khusus kepada Tor. Organisasi telah menggunakan pseudo-TLDs seperti .local, .lan, .corp, .priv dan lain-lain di rangkaian dalaman mereka untuk jangka masa yang panjang, walaupun ia bukan merupakan amalan yang disyorkan.

Selama bertahun-tahun pihak berkuasa sertifikat telah mengeluarkan digital yang sah sijil untuk nama domain dalaman sedemikian kerana mereka membantu organisasi menggunakan SSL dalam persekitaran perusahaan mereka tanpa perlu memasang sijil root yang dihasilkan sendiri pada sistem titik akhir.

Praktik ini dihentikan kerana TLD yang digunakan secara dalaman hari ini mungkin bercanggah dengan masa depan TLD yang diluluskan oleh ICANN. Mengikut syarat asas untuk pengeluaran dan pengurusan sijil yang dipercayai orang ramai yang diguna pakai oleh Forum CA / Penyemak Imbas, pihak berkuasa perakuan tidak lagi dibenarkan mengeluarkan sijil baru yang sah untuk "nama dalaman" dan mempunyai tarikh tamat tempoh pada 1 November, 2015. Semua sijil sedemikian yang sudah ada perlu dibatalkan pada Oktober 2016.

DigiCert telah menyediakan Facebook dengan sijil SSL untuk alamat facebookcorewwwi.onionnya yang berfungsi untuk masa sekarang, tetapi perlu mencari penyelesaian jangka panjang yang akan bekerja melepasi 1 November 2015.

"Sebagai sebuah syarikat yang telah lama menyokong Projek Tor dalam usahanya untuk menyediakan internet yang aman di mana orang bebas dapat menyatakan idea mereka, DigiCert terus bekerja dengan Tor dan Facebook tentang cara terbaik untuk menyokong projek ini bergerak ke hadapan, "kata Jeremy Rowley, Naib Presiden DigiCert mengenai pembangunan perniagaan dan undang-undang, dalam catatan blog.

" Kami mempunyai orang lain menghubungi kami tentang mendapatkan sijil kesatuan, Rowley berkata. "Kami fikir terdapat nilai dalam usaha untuk menyediakan keselamatan SSL / TLS untuk Tor, tetapi hanya jika kawalan keselamatan yang betul dapat dilakukan. Sekarang, kami sedang dalam proses menilai cara terbaik untuk melaksanakan dasar pengesahan yang kuat sebelum mungkin menawarkan sijil sedemikian di luar akaun Facebook. Kami juga meneroka beberapa kemungkinan dengan badan standard. Kami akan melaporkan lebih lanjut mengenai usaha-usaha ini pada masa akan datang. "

Perbincangan mengenai kemungkinan membuat pengecualian untuk .onion berlaku di mailing list CA / Browser Forum pada bulan Oktober dan sentimennya adalah jika ini

Sementara itu, Projek Tor belum memutuskan apakah ia ingin menggalakkan sertifikat SSL untuk layanan tersembunyi Tor.

"Jika satu situs mendapat sertifikasi, kepada pengguna bahawa ia 'diperlukan' dan kemudian pengguna akan mula bertanya kepada laman lain mengapa mereka tidak mempunyai satu pun, "kata Ketua Projek Tor Roger Dingledine dalam catatan blog Oct. 31." Saya bimbang untuk memulakan trend di mana anda perlukan untuk membayar wang Digicert untuk memiliki perkhidmatan yang tersembunyi atau pengguna anda fikir ia tidak jelas - terutamanya kerana perkhidmatan tersembunyi yang menghargai nama tidak dikenali mereka boleh mengalami kesulitan mendapatkan sijil. "

Menggunakan SSL ke atas Tor juga agak berlebihan. SSL mempunyai dua manfaat utama: ia menyulitkan lalu lintas dan mengesahkan pelayan kepada pelanggan melalui sijil digital yang dikeluarkan oleh pihak ketiga yang dipercayai-pihak berkuasa sijil. Tor juga menyulitkan sambungan antara pelanggan Tor dan perkhidmatan tersembunyi dan 16-karakter perkhidmatan. Alamat ion sebenarnya adalah hash kunci kriptografi.

Ini bermakna alamat perkhidmatan tersembunyi Tor "adalah pengesahan diri: jika anda menaip alamat yang diberikan, pelanggan Tor anda menjamin bahawa ia benar-benar bercakap dengan perkhidmatan yang mengetahui kunci persendirian yang sesuai dengan alamat, "kata Dingledine.

SSL menjadi berharga dalam situasi di mana proses Tor dan pelayan Web yang membuat sehingga perkhidmatan tersembunyi berjalan pada mesin yang berbeza. Dalam kes ini, sambungan pengguna ke perkhidmatan tersembunyi Tor akan disulitkan, tetapi "laluan terakhir" antara perkhidmatan Tor dan pelayan Web sebenar tidak akan.

Laman web besar seperti Facebook mungkin mempunyai konfigurasi sedemikian.

Dokumen rahsia yang dibocorkan oleh kontraktor kontraktor Perisikan Kebangsaan AS, Edward Snowden, menunjukkan bahawa NSA sedang mengintai pada lalu lintas yang tidak terenkripsi yang mengalir melalui infrastruktur Syarikat internet seperti Google. Ini mendorong Google dan orang lain untuk memulakan penyulitan hubungan persendirian antara pusat data mereka sendiri.

Walaupun SSL digunakan oleh perkhidmatan tersembunyi Tor, mungkin terdapat alternatif kepada model berasaskan CA, kata Dingledine. Salah satu pendekatan adalah untuk membangunkan satu cara untuk perkhidmatan tersembunyi "untuk menghasilkan sijil https yang telah ditandatangani menggunakan kunci persendirian bawang, dan mengajar Tor Browser bagaimana untuk mengesahkannya-pada dasarnya CA yang terdesentralkan untuk alamat .onion, kerana mereka mengesahkan diri "Saya tidak membuat pendapat saya lagi mengenai arah mana saya fikir perbincangan ini perlu dilakukan," kata Dingledine. "Saya bersimpati kepada 'kami telah mengajar pengguna menyemak https, jadi jangan membingungkan mereka, 'tetapi saya juga bimbang tentang cerun yang licin di mana mendapatkan sijinya menjadi langkah yang diperlukan untuk memiliki perkhidmatan yang bereputasi. "