【子公司动态】你所使用的Tor真的可以完全匿名嘛？
当我们在享受信息通信技术带来的极大便利时，也在担心我们的社会关系会被公之于众，于是乎如何利用某种方式来保护我们的隐私信息，就变得越来越重要，匿名通信手段便应运而生。
匿名通信技术 (Anonymous Communication)研究的就是如何隐藏通信实体的身份信息，使攻击者无法通过搭线窃听和流量分析数据报头来得到用户的真实身份，或对用户通信进行跟踪；其研究目的是对网络用户的IP地址、通信关系等涉及用户隐私信息的保护，使其不被攻击者检测和发现。
随着斯诺登事件的爆发，一款匿名利器开始进入我们的视野，它就是Tor（洋葱头匿名通信）。
“美国国家安全局在使用”，“遍布全球的节点”，“开放式的匿名网络”，“最先进混淆手段”这些高大上的标签使得Tor被称为当前计算机领域最安全和成功的匿名通信服务网络。其主要由权威目录服务器，目录服务器，中继器，网桥，出口中继器，客户端这几个部分构成。
2014年Tor开发者对整个网络规模进行过一次全面的调查，其网络中转节点数约3000个，其中中继器约占2700个，出口中继器约占250个(出口节点稀少)，其网络使用者同时在线有2.1万左右。
那么Tor真的就十分安全嘛？ 为了检验Tor的安全性，我们在Tor网络中搭建了一个测试环境，详情如下：
一个完整的Tor匿名链路至少包含客户端，中继器，出口中继器这三种角色；如上图中Jij（客户端）->relaynode(中继器)->exitnode(出口中继器)。客户端主要负责链路获取，建立，完全洋葱包的封包和解包；中继器主要负责向上和向下节点的加解密转发；出口中继器负责向上向下加解密转发及对外流建立及访问。
其中所有数据流经出口中继器同目标站点进行交互，都是以明文的形式，所以出口中继器往往就是最危险的；同时由于Tor出口节点数量较为稀少，具备蜜罐应用的条件，于是我们在出口中继器架设了蜜罐节点。
一般通过浏览器进行网页访问，通常会经过DNS解析，建立链接，数据收发访问这三个步骤，基于Tor链路的访问一般会代理DNS解析，链路建立，数据收发到出口中继器节点去完成。上图图例中出口蜜罐节点主要目的将真实的访问链接（黑色箭头）重定向到调查站点（红色虚线箭头），从而完成对Tor客户端计算机身份信息的追查。
实现将网站访问重定向到调查站点我们借助了，HTTP重定向两种方式，当然也可以直接通过流量分析确认客户端计算机的部分身份信息。以下是相关方式及处理流程简述：
1.实现网络数据重定向到调查站点
用户打开浏览器后访问baidu.com, 真实的对应的IP地址应该为180.97.33.108.我们可以将其DNS解析结果修改为xx.xx.xx.xx(调查站点IP)。模拟baidu.com流程，向客户端计算机写入安全证书，要求其执行调查脚本等。
2.修改收发数据，实现http重定向到调查站点
对客户端正常的网络请求返回进行修改，返回http 302的错误，让客户端去访问我们调查站点，继而执行指定脚本或者通过推送调查工具。
3.直接进行数据包解析，确定客户端机器上所安装的软件，继而精确调查。
过对出口端数据包的解析，匹配到数据协议对应的软件，集合相关软件漏洞进行精确调查，如在出口浏览检测到baidu.com的访问可以确认可能来自中文国家，有匹配到QQ协议也有可能来自中国，浏览器数据语言为gb2312可能是中文等等。
调查站点主要目的是对客户端身份信息进行进一步确认，我们使用了常规浏览器软件漏洞检测方法，调查工具写入，正向信息采集工具（JS脚本），基于社会工程方法的精确钓鱼等，为了保障不被用户所察觉我们也会将用户的正常访问重定向到相应的WEB站点。常见的调查方式及结果如下：
调查方式 | 调查结果/分析 | 备注 |
JS脚本获取本地IP，MAC，时间，浏览器语言，浏览器插件等等。 通过社工方法推送插件。 | 可以返回客户端计算机IP地址，MAC地址，语言, 时区等（如：IP地理位置数据库，地区语言数据库，时区数据库）确定到客户端计算机的国家，甚至地理位置。 | 不同的浏览器和安全策略下执行效果不一样。 |
集合其他系统已知或未知漏洞注入shell | 可以正常推送Flash Shell并执行。 | 理论上只要能够正确检测到客户计算机浏览器相关漏洞，对向客户端计算机植入可长期布控的调查软件，这些软件可以扫描客户本机（邮件，IP，MAC，ARP表，DNS缓存，浏览器历史记录，桌面截图等等）信息借助Tor通道回传给调查站点。 |
由于Tor无法对目标站点和出口返回数据包进行校验，我们通过对常规的网页访问流程和数据做了劫持和修改，从而实现了对Tor客户端的追踪，所以Tor也不是绝对安全的。那么如何正确的使用匿名通信软件避免上述问题呢？
1.使用虚拟机系统，定期还原。
尽量在虚拟机环境中使用匿名通信软件，定期还原系统，不使用和个人信息相关的软件，不处理个人事务，不访问暗网或者非授信的网站，定期进行漏洞补丁安装，如工作要求必须使用匿名软件，尽量使用IP进行点对点的访问或者使用本地DNS进行解析。
2.系统设置，去区域化，去特殊性。
系统设置时间和时区不要为本地真实的，尽量采用英文操作系统，尽量使用局域网IP作为本地IP，尽量不要使用与工作无关的软件（蜜罐节点可以通过流量识别定位你本机上可能安装的软件），尽量关闭匿名通信软件以外的外联端口。
3.尽量避免全网数据代理，不要长期使用同一出口。
尽量避免全网数据代理，仅仅针对指定工作进程进行数据代理，避免数据流量暴露和被分析推测出国家，个人身份相关的信息，继而通过大数据定位到具体的人。
4.尽可能架设私有的匿名通信系统。
私有的匿名通信系统可以有效的抵御蜜罐应用，伪造证书破解等，并要定期对出口节点进行切换。