Tor. Одно слово, а сколько вокруг него шума. Даркнет, хакеры, полная анонимность, шелковый путь, биткоины… 90% из этого — чушь из голливудских фильмов и страшилок на YouTube. Давайте по-простому, без паники и теорий заговора. Я этим инструментом пользуюсь (периодически) уже лет десять, в основном из профессионального любопытства и для проверки некоторых гипотез безопасности. За это время накопилось достаточно опыта, чтобы рассказать, как оно на самом деле. И вот что я про него понял.
Как зарождался легедарный браузер?
История вопроса: от военных до анархистов
Забудьте на минуту про криминал. Изначально это вообще была разработка для ВМС США. Задача — защита каналов связи разведки. В середине 90-х в Исследовательской лаборатории ВМС США придумали концепцию «луковой маршрутизации». Потом проект открыли для гражданских, и в 2002 году появилась первая публичная версия.
Парадокс в том, что инструмент, созданный для американской разведки, сейчас активно используется теми, от кого эта самая разведка защищается. Но в этом и была логика — чтобы скрыть шпионов, нужна толпа обычных пользователей. Если в сети только агенты ЦРУ, то любой трафик автоматически подозрителен.
Сейчас проект финансируется кучей организаций — от правительства США до различных фондов защиты прав человека. И это создает забавную ситуацию: власти одновременно и финансируют Tor, и пытаются его взломать. Шизофрения? Нет, просто реальная политика.
Что на счет безопасности данных?
Как это работает: луковица изнутри?
Идея, которая легла в основу, гениальна в своей простоте. Называется «луковая маршрутизация». Звучит заумно, на деле — элементарно.
Представьте: ваш запрос, прежде чем попасть на сайт, делает три «пересадки» у случайных людей-волонтеров по всему миру. Это как отправить письмо, положив его в три конверта. Первый почтальон снимает только внешний конверт и видит адрес второго почтальона. Второй — видит только адрес третьего. Третий доставляет письмо адресату, но не знает, от кого оно пришло изначально.
В терминах Tor:
- Entry Guard (входной узел) — знает ваш реальный IP, но не знает, куда вы идете
- Middle Relay (средний узел) — не знает ни кто вы, ни куда идете, просто передает зашифрованные данные
- Exit Node (выходной узел) — знает конечный адрес, но не знает, кто делал запрос
Вся цепочка целиком не видна никому. Каждые 10 минут браузер строит новую цепочку. Просто? Да. Эффективно? В теории — идеально. На практике — есть нюансы.
Реальная скорость: честные цифры
Цена за такую паранойю? Скорость. Вернее, ее полное отсутствие. Tor — это невыносимо, мучительно медленно.
Вот мои замеры на 100-мегабитном канале:
- Обычный браузер: скачивание файла 100 МБ — 8-10 секунд
- VPN (WireGuard): тот же файл — 12-15 секунд
- Tor Browser: готовьтесь ждать 3-5 минут. Или больше.
Пинг до Google.com:
- Без Tor: 15-20 мс
- Через Tor: 800-2000 мс (да, это секунды, а не миллисекунды)
Хотите смотреть YouTube? Забудьте. В лучшем случае — 360p с постоянной буферизацией. Netflix? Даже не пытайтесь — он вас просто не пустит. Скачать что-то тяжелее пары мегабайт? Запаситесь терпением и кофе. Много кофе.
Сравнивать его с Chrome по скорости бессмысленно — это разные весовые категории. Это как сравнивать танк с Феррари. Да, танк медленнее. Но попробуйте на Феррари проехать через минное поле.
И это не баг, это фича. Такова плата за прохождение трафика через три точки на разных континентах и тройное шифрование. Ему плевать на мощность вашего компьютера — хоть самый топовый Mac M3, хоть старый Celeron — тормозить будет одинаково. Узкое место — не ваше железо, а пропускная способность узлов сети.
Что на счет безопасности данных?
Анонимность vs Безопасность: где подвох?
И вот тут важный момент: анонимность — не равно безопасность. Это нужно зарубить на носу и выучить как мантру.
Проблема выходных узлов
Главная дыра в этой крепости — тот самый выходной узел. Его может держать кто угодно, в том числе и недобросовестный товарищ. Или спецслужбы. Или просто любопытный хакер.
Если сайт, на который вы идете, работает по старому протоколу HTTP (без замочка), владелец выходного узла видит весь ваш трафик как на ладони. Логины, пароли, переписку — все. В 2007 году шведский исследователь Дэн Эгерстад поднял пять выходных узлов и за несколько месяцев собрал сотни паролей от почтовых ящиков посольств и правительственных организаций. Люди думали, что Tor = безопасность, и спокойно вводили пароли на HTTP-сайтах.
Так что правило номер один: видите HTTP в Tor — немедленно закрывайте вкладку. Даже не думайте там что-то вводить.
Корреляционные атаки
Если злоумышленник контролирует и входной, и выходной узел вашей цепочки (вероятность около 0.2%), он может сопоставить время и объем трафика и вычислить вас. Это называется корреляционная атака. АНБ и другие спецслужбы якобы используют этот метод. Доказательств нет, но технически это возможно.
JavaScript и другие дыры
По умолчанию Tor Browser блокирует многие опасные технологии, но если вы измените настройки безопасности на «Standard» вместо «Safer» или «Safest», вы открываете дверь для кучи векторов атак. WebRTC может слить ваш реальный IP. Canvas fingerprinting может идентифицировать ваш браузер. WebGL может выдать информацию о вашей видеокарте.
Что под капотом?
Техническая начинка
Сам браузер — это, по сути, Firefox ESR (Extended Support Release), из которого выдрали все, что может вас выдать. Версия ESR выбрана не случайно — она стабильнее и обновляется реже, что важно для безопасности.
Что вырезали или изменили:
- Телеметрия — никаких отчетов в Mozilla
- WebRTC — полностью отключен (может деанонимизировать)
- Плагины — заблокированы все, кроме жизненно необходимых
- DOM Storage — изолирован для каждого сайта
- HTTP Referer — обрезается до минимума
- User-Agent — одинаковый для всех пользователей
- Размер окна — стандартизирован (1000×1000 или 1200×900)
Плюс по умолчанию стоит NoScript, который режет почти весь JavaScript на уровне «Safest». Из-за этого половина современного веба в Tor просто не работает или выглядит как привет из 2005-го.
Уровни безопасности
В Tor Browser есть три уровня безопасности:
Standard — почти как обычный Firefox. JavaScript работает везде. Максимум удобства, минимум защиты. Использовать только если точно знаете, что делаете.
Safer — JavaScript отключен на HTTP-сайтах, некоторые шрифты и математические символы заблокированы, аудио и видео click-to-play. Золотая середина для большинства.
Safest — JavaScript отключен везде, многие типы изображений блокируются, некоторые шрифты недоступны. Максимальная защита, но многие сайты превращаются в кашу из текста.
Проблемы с современным вебом
Сайты, использующие Cloudflare или Google reCAPTCHA, будут ненавидеть вас и закидывать бесконечными капчами. Причина простая — с выходных узлов Tor идет много вредоносного трафика, и защитные системы это знают.
Типичный сценарий: заходите на сайт, получаете капчу. Решаете. Получаете еще одну. Решаете. И еще одну. После пятой понимаете, что это бесконечный цикл. Сайт просто не хочет пускать пользователей Tor.
Некоторые сервисы блокируют Tor полностью:
- Netflix, Hulu, Disney+ — стриминговые платформы
- PayPal — часто блокирует даже просмотр
- Большинство банков — по понятным причинам
- LinkedIn — агрессивно борется с Tor
- Facebook — работает, но только через специальный .onion адрес
Мобильные версии: отдельная песня
Кроссплатформенность: единство и различия
На Android есть официальный Tor Browser. Работает он… ну, работает. Медленно, неудобно, батарею жрет как не в себя. Зато действительно анонимно.
На iOS ситуация сложнее. Официального Tor Browser там нет из-за ограничений Apple на движки браузеров. Есть Onion Browser, но это не официальная разработка Tor Project, и уровень защиты там ниже.
Orbot — отдельное приложение для Android, которое пропускает через Tor трафик других приложений. Полезно, но настроить правильно — тот еще квест.
Так для кого это все?
Не для повседневного использования. Точно. Это инструмент для конкретных задач.
Реальные сценарии использования
- Журналисты — общение с источниками, особенно в странах с репрессивными режимами. SecureDrop, система для анонимной передачи документов, работает только через Tor.
- Активисты — в странах, где за пост в соцсети можно получить реальный срок. Или где правительство активно следит за инакомыслящими.
- Исследователи безопасности — для изучения вредоносных сайтов без риска деанонимизации. Или для проверки, как выглядит их сайт из разных стран.
- Обычные параноики — иногда просто хочется почитать новости, не светя своим IP. Или проверить, не следит ли за вами бывший через общие аккаунты.
- Жители стран с цензурой — когда половина интернета заблокирована, Tor с мостами (bridges) может быть единственным окном в мир.
- Корпоративная разведка — да-да, компании тоже используют Tor для анонимного изучения конкурентов.
Даркнет и .onion сайты
Да, Tor дает доступ к .onion сайтам — тому самому даркнету. Но давайте честно: 90% того, что там есть — это либо мошенничество, либо honeypot от спецслужб, либо просто нерабочие ссылки.
Полезные .onion ресурсы можно пересчитать по пальцам:
- DuckDuckGo (3g2upl4pq6kufc4m.onion) — поисковик
- ProtonMail (protonirockerxow.onion) — почта
- The New York Times (nytimes3xbfgragh.onion) — да, у них есть .onion версия
- Facebook (facebookcorewwwi.onion) — иронично, но факт
- BBC (bbcnewsv2vjtpsuy.onion) — для стран с цензурой
Остальное… ну, вы понимаете. Наркотики, оружие, ворованные данные. Причем половина — это скам, а вторая половина — ловушки правоохранителей.
Где точно не надо…
Законность: где можно, а где не стоит..
Кстати, о законности. В большинстве стран Европы и в США использование Tor абсолютно легально. Это просто инструмент защиты приватности, такой же как VPN или прокси.
- Где легально: США, Канада, большая часть ЕС, Австралия, Япония.
- Где под вопросом: Россия (внесен в реестр запрещенных), Беларусь, Казахстан. Формально не запрещен, но использование может привлечь внимание.
- Где запрещено: Китай, Иран, Северная Корея, Туркменистан. Хотя в Китае и Иране люди все равно используют через мосты.
В странах с тотальным контролем интернета сам факт использования Tor уже может стать проблемой. DPI (Deep Packet Inspection) системы могут определить Tor-трафик, даже если вы используете мосты. Хотя obfs4 транспорт неплохо маскируется под обычный HTTPS.
Сколько памяти расходует браузер?
Технические требования и оптимизация
Минимальные требования смешные по современным меркам:
- Процессор: любой x86 или x64
- RAM: 512 МБ (но лучше хотя бы 2 ГБ)
- Диск: 200 МБ для установки
- ОС: Windows 7+, macOS 10.12+, Linux (любой современный дистрибутив)
Но это минимум. Для комфортной работы (насколько это вообще возможно в Tor) нужно:
- RAM: 4 ГБ минимум, 8 ГБ оптимально
- Процессор: что-то не старше 5 лет
- SSD: не обязателен, но ускорит запуск
Как выжать максимум?
- Используйте мосты если Tor блокируется в вашей стране. Это специальные непубличные входные узлы. Получить можно на bridges.torproject.org или отправив письмо на bridges@torproject.org.
- Не меняйте размер окна. Tor специально открывается в стандартном размере, чтобы все пользователи выглядели одинаково. Развернули на весь экран — уже выделяетесь.
- Не устанавливайте дополнения. Любое расширение — потенциальная дыра в безопасности и уникальный отпечаток.
- Используйте Tails или Whonix для максимальной анонимности. Это специальные Linux-дистрибутивы, где весь трафик идет через Tor.
- New Identity vs New Circuit. New Circuit меняет только цепочку для текущего сайта. New Identity — полный сброс: новые цепочки, очистка cookies, закрытие всех вкладок.
Альтернативы и комбинации
- VPN + Tor — спорная тема. Некоторые считают, что это добавляет слой защиты. Другие — что это только увеличивает поверхность атаки. Tor Project официально не рекомендует, но и не запрещает.
- I2P — альтернативная анонимная сеть. Быстрее для внутреннего трафика, но почти бесполезна для обычного интернета.
- Freenet — децентрализованная сеть для хранения и распространения информации. Еще медленнее Tor, зато с полной устойчивостью к цензуре.
- IPFS — не совсем про анонимность, больше про децентрализацию. Но в комбинации с Tor дает интересные возможности.
Часто задаваемые вопросы
FAQ
Сколько нужно оперативки для 20 вкладок в Tor?
+Как его ускорить?
+Есть ли синхронизация с мобильными устройствами?
+Это браузер для даркнета?
+Использовать Tor — это законно?
+Tor — это то же самое, что VPN?
+Можно ли доверять Tor?
+Почему не работает мой любимый сайт?
+Что говорят эксперты?
Экспертная оценка: попытка объективности
Пытаться оценить Tor по стандартной шкале — гиблое дело. Это как оценивать молоток по критериям для смартфона.
- Скорость: 2/10 Катастрофически медленный. Но это by design.
- Интерфейс: 6/10 Стандартный Firefox, ничего особенного. Минус за невозможность кастомизации.
- Безопасность (анонимность): 10/10 Лучшее, что есть для обычного пользователя. Не идеально, но альтернатив нет.
- Производительность: 3/10 Тормозит на любом железе. Опять же, это не баг.
- Функциональность: 5/10 Половина современного веба не работает или работает криво.
- Поддержка и обновления: 8/10 Регулярные апдейты, активное сообщество, хорошая документация.
Заключение: когда молоток, а когда микроскоп
Tor Browser — это не замена вашему повседневному браузеру. Это аптечка. Она лежит в шкафу, не нужна каждый день, и пользоваться ей не очень удобно. Но когда она понадобится — лучше, чтобы она была.
Для 99% пользователей это избыточно. Ваш интернет-провайдер и так знает, что вы смотрите котиков на YouTube и читаете новости. Google и так знает все ваши интересы. Facebook и так знает ваш социальный граф. Использовать Tor для повседневного серфинга — это как ездить на работу на танке.
Но для того 1%, которому нужна реальная, а не мнимая анонимность, альтернатив ему просто не существует. Журналист в Беларуси, правозащитник в Иране, whistleblower в корпорации — для них Tor не прихоть, а необходимость.
И даже если вы не журналист и не диссидент, иметь Tor Browser установленным — не помешает. Мало ли что. Вдруг захочется проверить, как выглядит интернет из другой страны. Или прочитать заблокированную статью. Или просто потроллить параноидального знакомого, зайдя на его сайт с IP из Зимбабве.
Только помните главное: анонимность — это не волшебная кнопка. Это комплекс мер. И Tor — лишь один инструмент из набора. Важный, мощный, но не всемогущий. Используйте с умом.
Отзывы