Onion Links 2.0

​​Сказ о рыбаках и Даркрыбнадзоре #OLzip Почти каждому из нас доводилось хотя бы раз попасться на искусно замаскированный крючок с блесной в виде привычного и знакомого ресурса на тончайшей леске из фишинговый ссылки. «Ам!» — и прощайте, денежки. Рыбаков полно на всем пространстве мирового интернета, но в дакрнете, как ни странно, попасться на эту уловку намного легче. Во-первых, теневые ресурсы из каждого утюга свои ссылки не трубят, на мозг не капают и не воздействуют. Попробуй ещё её найди. Во-вторых, переход TOR-сети на V3 формат onion-адресов хоть и преследовал самые благие цели –– повышение уровня безопасности –– но по факту открыл огромное поле для мошеннических действий, ведь 53 символа содержит лишь один адрес, а есть ещё зеркала, да и ресурсов мы используем тоже не один и не два. Запомнить столько комбинаций таких длинных символьных цепочек могут лишь единицы. Этим обстоятельством фишеры и пользуются. Рассмотрим способы защиты от подобных ситуаций. В первую очередь, стоит подумать о себе и включить на всех возможных аккаунтах двухэтапную аутентификацию на входе. Наиболее анонимизированными, а потому и популярными в даркнете являются 2 вида: 1. С помощью TOTP (Time-based One-Time Passwords) — требует введения в форме авторизации одноразовых паролей, генерируемых сторонним ПО для конкретного профиля определённого ресурса. 2. С помощью PGP-инструментов. Для подключения этого способа требуется сохранить свой публичный ключ в профиле, тогда при входе система будет выдавать сообщение, которое надо расшифровать с помощью стороннего ПО, а получившийся символьный набор ввести в соответствующее окно. К сожалению, на этом средства защиты, распространённые в отечественном даркнете, заканчиваются. Курс на Запад! "Коллеги" из-за рубежа пошли дальше и подумали не только о себе, но и о пользователях и активно используют PGP-ключи. PGP можно считать настоящей панацеей для шифрования информации в сети. Алгоритм применения достаточно прост. В специальном ПО формируется пара ключей (публичный и приватный), приватный исключительно для вас, а публичный для публикации. Вы подписываете этими ключами необходимую информацию и размещаете её на ресурсе предварительно разместив там же свой публичный ключ. Наверняка многие из вас загружая софт с сайтов встречали требование по проверке подписи файла перед установкой. Помимо установочного файла вам надо скачать подпись разработчика, загрузить её в ПО, а затем верифицировать загрузку. Эта процедура выступает гарантом того, что установочный пакет является оригинальной исходной версией от издателя. Ещё один способ борьбы с фишерами –– размещение на ресурсе подписанного PGP-ключом сообщения со списком официальных зеркал. Сначала вы импортируете публичный ключ ресурса, а потом проверяете на оригинальность подписанное сообщение. Если результат положительный, смело копипастите один из адресов и идите с миром. Похожая процедура лежит в основе метода "канарейки". Владелец ресурса оставляет подписанное сообщение, в котором указывает, что находится в добром уме и полном здравии, размещая канарейку, а также обязуется её обновить в такую-то дату, так же могут быть указаны инструкции в случае "смерти канарейки" (как это сделал админ ресурса Dread). Вам остаётся лишь проверить подпись и убедиться, что сообщение оригинальное, а сайт в руках истинного создателя. Видели подобное? Пользуетесь? Какие ещё способы защиты знаете или встречали? @OnionLinks2 — новый лук, новые линки.