勇敢的浏览器通过DNS泄漏您的Tor / Onion服务请求

2021-02-20 01:58:52

编辑:(由于这在其他地方获得牵引力。)我'不试图在勇敢的狗屎。我只是希望帮助保护可能使用勇敢的最终用户'在那些应该使用实际的Tor浏览器完成的东西。如果你'重新使用勇敢的时候,你可能会使用它,因为你期望一定程度的隐私/匿名。管道通过DNS请求通过DNS,其中您的ISP或DNS提供商可以看到您为.Onion站点提出了请求击败该目的。

我也没有netsec专家,但你不必要复制这个问题。我只是一个带有一些网站和项目的家伙和一个项目和我'我不确定,如果它不是在另一个项目的合作伙伴向我报告给我时,我会注意到这一点。他的当地请求离开他的网络。他'我正在做自己的写作,更具配备,比我更长时间讨论这个。

测试一周左右的东西,并希望为这篇文章的目的复制它。

您中的一些人知道在广告,跟踪器和其他BS上工作,阻止VPN服务对此站点的无关项目。转到/ F / Incoghost(网站),因为我试图保持这些东西分开。

无论如何,它是由勇敢的合作伙伴报道的,勇敢的是泄露洋舰网站的DNS请求,我当时能够确认。决定用勇敢的VM与这个网站进行勇士,并使用这个网站测试'洋葱服务(尽管它会为任何.onion做这件事)

此条目(简单)的是,对域名Rambleeeqrhty6s5jgefdfdtc6tfgg4jj6svr4jpgk4wjtg3qshwbaad.onion所做的请求使其与请求者的IP标记,在这种情况下只是测试/ dev vpn。这应该是' t发生。没有任何理由勇敢地尝试通过传统手段解决。

这对于您使用勇敢的浏览器从正常的住宅IP使用勇敢浏览器的人尤其令人担忧,并且(无论出于何种原因)使用浏览器中内置的Tor功能访问Tor站点。您的ISP或DNS提供商将知道对特定TOR网站的请求由您的IP进行。有了勇敢的,您的ISP会知道您访问了Somesketchyonionsite.onion。

TL; DR:如果您要使用Tor,请使用Tor浏览器,而不要勇敢。 Tor浏览器本身不会像Brave那样泄漏这些请求。

编辑:为澄清起见,我们正在使用的VPN服务没有记录,但是在此开发和测试期间,我们记录了DNS请求,同时确定了黑名单。这也使我们能够见证洋葱通过,这是勇敢的错误。

那就是我以勇敢的方式将duckduckgo加载到另一个容器中,同时实时获取对DNS服务器的DNS请求。我模糊了非洋葱的要求。 (与上述示例中的VPN测试位置不同,因此IP地址为209.x.x.x,而不是原始示例中的104.x.x.x。

尽管我们(非常)更喜欢“勇敢者”浏览器而不是Tor浏览器,但您将需要比找到的浏​​览器更好的资源。您可以从更广为人知的NetSec专家那里找到一些东西吗?是与布鲁斯·施耐尔(Bruce Schneier)的博客类似,还是在这种信誉水平上?

屏幕截图的问题在于它们可以被轻易伪造。在一行文本出现在打印之前,NetSec空间中还有许多可靠的作者/报告者可以采用的方法。我们必须信任这种新闻,因为我们谦虚的Mods没有时间或资源来审查。因此,我们需要一些更好的货源。对不起!

每天都有新帖子"警告"不合法的人,因此要谨慎。这不是"安全" subreddit。主持人的工作是确保小组讨论不会陷入阴谋论和错误信息中。安全公告应经过审核和确认,而不是独立声称该Mod没有时间独立验证。

我可以发布有关如何在其本地网络上使用pi-hole轻松复制此步骤的步骤。任何人都可以验证这一点。

伟大的。 请在r / brave,r / netsec,r / infosec以及其他直接相关且适当的地方进行此操作,以寻求其他人的确认。 一旦被社区审核(并由专业人士重新发布),欢迎您发布这些官方回复。 / r / brave是私人的,仅邀请。 我在netsec和infosec上发布过,所以我们会看到。 我猜/ r / privacy必须爱Brave并且不允许任何反对,因为它真是太该死了,容易验证这一点... 验证发生的所有事情是A.)勇敢B.)到洋葱站点C.)观察DNS流量。 将Pi-Hole安装在Raspberry Pi上或桌面上的虚拟机中,并通过它运行DNS请求,以便于使用,您可以对其进行验证。 不知道为什么他们如此犹豫将其通知给订户。 编辑3:在Debian 10和Ubuntu桌面上都进行了测试。 我不尊敬NetSec研究人员,也不设置100种不同的方案。