Come navigare in tutta sicurezza sul forum

[macondo]

scusate se O.T e se ho sbagliato sezione

ma avrei bisogno di sapere come mai non mi funzionano nessuno dei comandi dei messaggi ne per la formattazione ne per i vari allega file o faccine ....non me ne funziona nessuno,

sarà mica che navigo con la cipolazza?? grazie e scusate o spostate se in sez sbagliata :-)

[KGB]

per usarli devi attivare javascript

se con "cipollazza" intendi Tor, allora devi cliccare sull'icona di Noscript e abilitare da lì

[macondo]

per usarli devi attivare javascript

se con "cipollazza" intendi Tor, allora devi cliccare sull'icona di Noscript e abilitare da lì

grazie per la risposta, molto gentile, e visto che mi trovo ne approfitto :-)

ma usanto tor ed abilitando il javascript non si rischia di perdere l'anonimato??

[KGB]

@macondo
dipende, e comunque ti conviene cliccare su "abilita temporaneamente questa pagina" anzichè su "abilita scripts globalmente"

Inoltre ti conviene usare Tor per accedere a un sito/account/forum per volta. Comunque su https://tor.eff.org ( tor.eff.org ) trovi la documentazione approfondita (in sezione "Documentazione" ).

Quando hai finito chiudi Tor (immagino tu ti riferisca a TorBrowser) e poi lo ricarichi e puoi andare su un'altro sito.

È bene mantenere una sola sessione per volta (esempio: una sessione per accedere a un forum, poi per accedere a un'altro chiudi tutto e ricarichi Tor).

------------
"ma usanto tor ed abilitando il javascript non si rischia di perdere l'anonimato?? "

javascript pone sempre dei rischi potenziali, però Noscript blocca tutta la roba Flash e cerca (e lo fa abbastanza bene) di bloccare eventuali attacchi XSS e altri fenomeni spiacevoli.

Insomma: cerca di non abilitare tutti gli script (abilitazione globale) perchè navigando, magari su 100 siti, puoi trovarne uno (tipo quelli di spam pubblicitari) che può avere script malevoli..

[aljoin]

@cozzaro


sì, perchè i cookies contengono l'id del tuo utente (e l'md5 [magari salato] della tua password ).

Ad esempio:
uno potrebbe iscriversi a un sito usando Tor. Dopodichè potrebbe usare per anni quell'account sempre accedendo via Tor.
Però basta anche solo una connessione/login effettuata in chiaro verso quel sito e quell'account di fatto è "bruciato".

C'è di più, se usi un account "bruciato" possono facilmente risalire a altri siti che visiti (o a cui magari sei iscritto) via Tor, rintracciando anche quelle attività...
Con l'effetto che finiresti per "bruciare" altri account su altri siti.

Ad esempio molti siti (anche questo, ad esempio qui si usa: ajax.googleapis.com, per i "mi piace" e altro) hanno cookies di google o implicano la connessione a server di google. Quindi se visiti uno di questi siti e poi vai su google, google potenzaialmente potrà sapere che siti hai visitato prima. (e come sappiamo, Google è molto altruista quando si tratta di richieste d'intercettazioni da parte di intelligence o forze dell'ordine)

In pratica stò parlando del concetto di tracce.

Quando una traccia di un account si interseca con quella di un altro account si crea un "legame" fra i due e quindi chi "osserva" (o addirittura altera il traffico ) può constatare che due o più account (magari su siti diversi) appartengono tutti ad una sola persona.

Se una delle tracce è "bruciata"*, oltre a scoprire che tutte le tracce che si intersecano appartengono alla stessa persona, sapranno anche CHI È quella persona.
Questo equivale ad uno "sputtanamento" di tutte le identità che avevi in rete ed avevi limitato alla rete Tor.

* per "bruciata" intendo che è stata collegata alla tua vera identità (l'IP che ottieni dal tuo provider).

Ciao, stavo cercando informazioni su tor e sono capitato su questo forum :D Ho letto la discussione e ne sono rimasto affascinato. In particolare questo messaggio. Quindi secondo ciò che dici, dato che io ora mi sono connesso al forum normalmente, non ha più senso che le prossime volte lo faccia con tor tanto ormai è "bruciato"? Per fare un esempio più concreto, vorrei loggarmi ad un sito con tor per essere anonimo ma con l'account che ho mi ci sono sempre loggato normalmente in chiaro, quindi è tutto inutile? Dovrei rifarmi un account su quel sito con tor e poi connettermi sempre e comunque con tor?
Altra cosa, per vedere se ho capito, se quindi uso questo account ormai bruciato via tor, non solo non serve a nulla, ma potrebbero risalire ad altri account (alchè sarebbe meglio riavviare sempre tor per connettersi a diversi siti, giusto?)
Ultima cosa dall'exit node fino al sito, il passaggio è in chiaro quindi servirebbe una connessione https, però per quei siti cui non è prevista come si fa?

Grazie

[KGB]

Quindi secondo ciò che dici, dato che io ora mi sono connesso al forum normalmente, non ha più senso che le prossime volte lo faccia con tor tanto ormai è "bruciato"?

esatto, è bruciato.
In quel caso l'utilità di Tor viene ridotta alla semplice crittografia del traffico.

Ma se vuoi usare comunque l'account bruciato, usare Tor può tornarti ancora utile anche se molto meno:
(ricorda però che non devi usare quella sessione per accedere anche ad altri account, sennò bruci anche quelli!!!)

ad esempio, se hai una rete wireless aperta e il tuo vicino sniffa il traffico non potrà vedere cosa scrivi/leggi sul server perchè usando Tor il traffico è criptato.

Però le fdo possono trovare il traffico in chiaro corrispondente al tuo traffico cifrato (visto che, essendo l'account "bruciato" già sanno cosa cercare: hanno almeno un tuo cookie, ottentuto durante la "bruciatura"), chiedendo la collaborazione dell'altro capo della connessione (dove c'è il tratto in chiaro, cioè fra tor e il sito che vuoi visitare, ovvero fra exit node e forum).
Con "altro capo della connessione" si intende la collaborazione di uno o più di questi soggetti:
-gestore server
-ISP del server
-autorità del paese in cui risiede il server
-gestore dell'exit node
-ISP usato dall'exit node
-autorità del paese in cui risiede l'exit node
oppure:
-Rivolgendosi alla NSA che effettua 24h su 24 intercettazioni globali sulla quasi totalità della rete Internet (~ 90% di essa)

quindi, se ad esempio usi a scrocco il wifi del vicino, Tor ti può tornare utile anche se l'account è bruciato, visto che con Tor il vicino non ha modo di controllare/spiare/modificare il tuo traffico.
È ovvio che, come detto, se le fdo sono interessate possono tranquillamente risalire al traffico, sfruttando appunto il fatto che l'account è bruciato.

Per fare un esempio più concreto, vorrei loggarmi ad un sito con tor per essere anonimo ma con l'account che ho mi ci sono sempre loggato normalmente in chiaro, quindi è tutto inutile? Dovrei rifarmi un account su quel sito con tor e poi connettermi sempre e comunque con tor?

Sì, serve fare un nuovo account.
Il nuovo account va usato SOLO con Tor.

Altra cosa, per vedere se ho capito, se quindi uso questo account ormai bruciato via tor, non solo non serve a nulla, ma potrebbero risalire ad altri account (alchè sarebbe meglio riavviare sempre tor per connettersi a diversi siti, giusto?)

Sì, in quel caso è quasi certo che bruceresti anche l'altro account.
Nel caso di TorBrowser è utile riavviarlo, perchè il riavvio consiste anche nella cancellazione di tutta la cronologia/cookies/logins/ecc memorizzati dal browser usato da TorBrowser. (Torbrowser altro non è che Tor + un Firefox modificato appositamente per massimizzare la privacy).

Se invece hai solo Tor e come browser usi il tuo browser abituale, allora la pulizia devi farla da tè e inoltre devi configurare varie cose nel browser per evitare di annullare la tua privacy.
Quindi, per la stragrande maggioranza degli utenti conviene scegleire TorBrowser (detto anche Tor Bundle) anzichè installare solo Tor. (comunque trovi tutto su tor.eff.org )

Ultima cosa dall'exit node fino al sito, il passaggio è in chiaro quindi servirebbe una connessione https, però per quei siti cui non è prevista come si fa?

semplice: non si fa... (intendo che non puoi criptare l'ultimo tratto)

è sempre preferibile usare https, quando il sito lo permette. E comunque, con Torbrowser, forse l'avrai già notato, c'è un add-on chiamato "HTTPS Everywhere" che automaticamente ti fa usare https per "tutti" i siti ( o almeno i più noti) in cui è possibile.
Ad esempio se vai su wikipedia.org usando "http" noterai che verrà dirottata la connessione automaticamente su https.

Invece per i siti che non lo permettono c'è poco da fare: quel traffico passerà in Internet in chiaro, nel tratto finale.

comunque, per approfondire sicurezza/privacy di Rete c'è roba a bizzeffe qua:
http://freehaven.net/anonbib/
freehaven.net/anonbib/


----------------
OT:
certi siti per la mail, tipo webmail.libero.it prevedono (alemno così era l'ultima volta che lo usai) l'autenticazione criptata.
Però una volta che sei dento il traffico è in chiaro, con tutto ciò che questo comporta.

Se usi webmail.libero.it via Tor:
Il vicino non può leggere la tua posta "in diretta", però può farlo la NSA (e può vedere i cookies)

Se accedi a webmail.libero.it senza Tor:
Il vicino e anche la NSA, possono accedere entrambi alla tua posta (e vedere anche i cookies)


coi cookies, in molti siti è possibile accedere direttamente senza sapere la password.


...vabbè su questi argomenti ci sono abbastanza info da scriverci un libro, e infatti qualcuno lo fa...
...vedi link freehaven, quello è pieno di doc che riportano la stragrande maggioranza delle ricerche in campo di privacy e anonimato

[aljoin]

Non è mi chiara però l'implicazione che l'ultimo passaggio (da exit node a sito) sia in chiaro. Facciamo un esempio. Voglio visitare il sitto gazzetta.it tramite tor. Il fatto che il sito non permette una connessione https, a cosa mi è servito usare tor?

[KGB]

in quel caso, essendo il sito italiano, Tor può solo rendere le cose più difficili agli spioni istituzionali (fdo, intelligence), mentre rende il lavoro impossibile agli spioni locali (ad esempio il tuo ISP, o il tuo vicino che spia la tua rete wifi).

Se invece di gazzetta.it visiti un sito straniero, le fdo devono richiedere la collaborazione di altri stati.

Non usare Tor vuol dire:
1) rendere immediata l'intercettazione
2) renderla facilissima da compiere (le probabilità di successo sono del 100% )


----------------
Altre valutazioni:
Dipende da quanta fiducia hai:
1) nello stato in cui risiede il server a cui ti colleghi
2) nello stato in cui risiede l'exit node
3) nei gestori del server a cui ti colleghi.


------------
Intercettare e correlare il traffico Tor in entrata con quello in uscita (in uscita dalla rete Tor) richiede ingenti risorse e può riuscire solo se chi lo compie ha una portata globale (es NSA) o comunque si muove in un contesto di collaborazione fra fdo (accordi europei fra stati membri).

per capire bene i pro e i contro devi informarti riguardo certi aspetti:
1)"data retention": cos'è e quanto è diffusa
2)le capacità della NSA (su Der Spiegel c'è molta roba al riguardo)
3)esistono accordi europei di collaborazione fra le polizie europee
4)esistono accordi EU-USA simili
5)Il concetto di "ago in un pagliaio", ovvero: Tor anonimizza perchè tutti usano lo stesso UserAgent e stessi header, quindi diventa difficilissimo distinguire le connessioni e capire chi le origina. (vedi "panopticlick" https://panopticlick.eff.org/ panopticlick.eff.org/ )
6)il concetto di tracce e il collegamento fra un'account e l'altro (anche tramite cookie terzi, tipo imrworldwide, doubleclick, FB button e altri meccanismi pubblicitari e di indagine di marketing)
7)Il fatto che, in pratica, anche le aziende pubblicitarie possono fare una sorta di "intercettazioni" o meglio "inseguimento" dell'utente in rete (vedi FB con "mi piace" che ti logga anche se non sei iscritto a FB(I) e visiti IlFatto o LaRepubblica ..)
8)altre considerazioni che ci sono ma al momento non mi vengono in mente... (ce n'è a non finire)

se vuoi essere "Houdini" le info ci sono ma esci pazzo a seguirle tutte ...

Per la privacy media richiesta in genere per un utente semplice (uno che non entra nel mirino di precisione NSA o altri servizi segreti), Tor è un'ottimo strumento e a basso sforzo.

[aljoin]

Sei un pozzo di sapere grazie
Però vorrei capire meglio le differenze tra tor + https nel tratto finale e tor + http normale. Nel primo caso con tor mi "anonimizzo" e in più rendo cifrato ciò che vedo nell'ultimo passaggio? (nel caso questo fosse giusto, cosa succede invece senza tor ma con https per un sito? possono tranquillamente risalire a me ma almeno non vedere cosa guardo?). Nel secondo caso mi "anonimizzo" ma se per qualche motivo riuscissero a scoprire chi sono poi vedono anche cosa guardo dato che l'ultimo tratto è in chiaro??

scusa le domande niubbe

[KGB]

sì, è esatto tutto quello che hai detto.

E nel caso di https e basta (senza Tor) sanno che sito visiti (tramite la risoluzione dns) ma non cosa ricevi/invii.
Possono però capire in certi casi se stai postando o meno, osservando la quantità di dati che invii.

ad esempio una semplice di pagina richiesta è l'invio al server di qualcosa tipo:

<<GET /pagina HTTP/1.1
Host: domino.del.server
User-Agent: Mozilla 5.0 ecc ecc
Cookie: ....
altri header>>
(FINE)

nel caso invece di un post di un messaggio invece, il tuo browser invia qualcosa tipo:
<<POST /pagina.php?cmd1=blabla&cmd2=blabla
Host: domino.del.server
User-Agent: Mozilla 5.0 ecc ecc
Cookie: ....
altri header
lunghezza contenuto=tot

msg=Questo+è+un+messaggio+molto+lungo+che+occuper à+banda+in+uscita+dal+tuo+pc+verso+internet+e+qui ndi+permetterà+a+chi+intercetta+il+traffico+https +di+capire+che+stai+postando+qualcosa+e+se+il+sito +richiede+un+login+permetterà+loro+di+capire+che+ tu+sei+registrato+a+quel+sito
(FINE)>>

capisci che c'è differenza enorme fra i due tipi di richieste. Sia che siano richieste in chiaro sia che siano cifrate (https) esse differiscono sempre in termini di spazio (banda in uscita).
Per questo è facile, anche senza controllare il contenuto della connessione, stabilire se a priori se l'attività di una persona su un sito è pura consultazione o se invece consiste in posts/commenti.

OT:
Esistono due miti da sfatare su HTTPS:
1) molta gente pensava, fino a pochi anni fa (ora un po' meno) che fosse pericoloso fare acquisti in rete: teme "gli hacker"...
Va detto che la criptografia tipicamente usata per https, usata per home-banking e acquisti vari in rete, è particolarmente robusta. Infatti avendo il traffico criptato uno non è in grado di decifrarlo (ad esempio l'hot-spot wireless di un Cafè o il tuo vicino che intercetta il traffico)

insomma https è particolarmente sicura contro i normali malintenzionati tipo ladri d'identità e di carte di credito.

2)Data la robustezza degli algoritmi di criptografia https molta gente tende a essere troppo ottimista:
Non esiste SOLO l'algoritmo. Bisogna considerare anche come il sistema viene implementato.
L'implementazione di HTTPS è solitamente basata su un punto cardine che è anche il principale punto debole: i CA (Certification Authorities), che sono varie aziende sparse per il mondo (esempi: Verisign, Comodo, e molti altri..) che fungono da garanti per i certificati che ricevi da un sito HTTPS.

Questo vuol dire che quando ti colleghi, ad esempio, a fineco.it il tuo pc fa dns resolving, ovvero trova l'IP corrispondente a "fineco.it" e poi si collega a quell'IP sulla porta 80 (http) e il serve reindirizza alla porta 443 (https).
A quel punto, sulla porta 443 (https) nasce una connessione fra pc e server e il server ti manda il suo certificato di cifratura che tu userai per inviargli traffico cifrato in modo da stabilire poi una chiave temporanea con cui criptare la connessione vera e propria.
Noterai quindi il punto debole: che succede se qualcuno nel mezzo mi invia un certificato fasullo spacciandosi per fineco.it ? succede che quel qualcuno può fare un'attacco MITM e spacciarsi per fineco e vedere e alterare il traffico fra le due parti.
(vedi https://en.wikipedia.org/wiki/Man-in-the-middle_attack en.wikipedia.org/wiki/Man-in-the-middle_attack )

Per evitare ciò sono nati i CA.
Quando ricevi un certificato da un sito, il tuo browser controlla che quel certificato sia criptograficamente firmato da un CA.
Questo sistema (quello dei CA) è tutt'ora l'unico in uso in tutto il mondo ed è stato ufficialmente riconosciuto come insicuro nel 2009 perchè sono emersi, e continuano ad emergere, casi di CA:
1) corrotti dal governo USA o altri governi; ai quali il CA vende certificati falsi per i siti (ad esempio un falso certificato google permette a quel governo di violare la criptografia di qualsiasi connessione criptata fra google e l'utente, tramite l'invio di quel certificato al momento dell'apertura della connessione [ovvero: MITM]

2) CA con server compromessi (attaccati) da hacker o governi o aziende... rendendo quini possibile a questi soggetti di divenire di fatto CA, rilasciando quindi dei certificati propri da usare a scopo d'attacco MITM.

3) se usi una rete wireless (ma anche LAN) in cui è connesso qualcuno che vuole fare un'attacco MITM dell tue connessioni, può dirottare il tuo traffico verso il suo pc. Nel senso che può fare in modo che anzichè usare il gateway normale (es. l'IP del router sulla LAN) per accedere ad Internet il tuo computer usi come gateway il SUO IP.
In genere uno si collega a Internet passando per il gateway della propria rete locale. In questo caso invece l'attaccante si aggiunge al percorso, frapponendosi come intermediario fra il pc dell'utente e il router locale.
Quindi l'attaccante ha il controllo totale del traffico da/verso Internet della vittima. A quel punto quando la vittima si collega a fineco.it l'attaccante gli passa un suo certificato facendolo apparire come rilasciato da fineco.
Esistono casi (non ho approfondito.. ) in cui il browser non riesce a stabilire immediatamente se il certificato è valido, quindi si collega al CA a cui il certificato fa riferimento (es: Verisign o altro. .) per fare la verifica. Ebbene, capita (l'ultima volta era qualche mese fa) spesso che un bug di Mozilla, Chrome e gli altri browser consista appunto nell'ignorare il problema, se il browser non riesce a collegarsi al CA.
Quindi l'attaccante può far arrivare alla vittima certificati fasulli fineco.it fatti in modo che il browser debba collegarsi a un CA per verificarli, a quel punto l'attaccante si limita a filtrare la connessione fra vittima e CA, in modo che essa non abbia luogo. A quel punto il browser "s'arrende" e getta la spugna accettando il certificato, senza ulteriori verifiche (poichè esse non sono possibili, appunto, per problema di connessione).
Problemi di questo genere compaiono ogni tanto e poi i browser non sono così attivi nel ripararli (si curano di più di problemi di stabilità del browser, pare non abbiano tutta 'sta fretta a riparare falle di sicurezza della privacy ... )

Va inoltre considerato che la NSA finanzia aziende private per inserire falle criptografiche nei propri software.

Quindi, in definitiva fai attenzione ai certificati! Se visitando l'home-banking ti esce un errore di HTTPS tipo certificato non valido o non fidato, è probabile che stia succedendo qualcosa di non molto karashò

Se il tuo browser funzia ok e le connessioni verso i CA funzionano a dovere e il sito https che stai visitando non ha portato a messaggi del browser inerenti certificati non validi o robe simili; allora puoi considerare quella connessione al sicuro da gran parte degli occhi indiscreti. Questo vuol dire che il tuo vicino o un passante che cerca di fare MITM non può farlo.
Però NSA, pula varia e "intelligence" * possono comunque farlo: vedi discorso "CA corrotto" e anche il discorso di produttori corrotti di hardware/software ( appositamente difettoso dal punto di vista di sicurezza e criptografia) ... esempi fra tanti: Microsoft, Apple ...


* Non spaventarti per il fatto che tutti li chiamano "intelligence" ...
... "intelligence" è solo un nome di copertura