Tor 出口節點解析:不一定是威脅
Tor 出口節點是 Tor 電路中的最後一個中繼節點,也就是 Tor 使用者連線到網站時,網站所看到的那台伺服器的公開 IP 位址。來自出口節點的流量依設計是匿名的,因此看起來不尋常,但它並不自動等同於惡意,若如此看待只會封鎖許多合法的人。
Tor 電路如何運作
Tor 會建立由三個中繼節點組成的電路。入口守衛(entry guard)知道使用者的真實 IP 位址,但不知道目的地。中間中繼節點只知道它的相鄰節點。出口中繼節點解開最後一層加密,並將請求傳送至目的地伺服器,因此它知道目的地,卻不知道是誰在請求。每一跳都增加一層加密,洋蔥路由(onion routing)一詞即源於此。沒有任何單一中繼節點能同時看到對話的兩端。
這對網站營運者的影響是,可見的用戶端位址是出口中繼節點的,而不是使用者的。一個出口節點可能同時承載數千人的流量,這就是為何同一個位址似乎能在幾分鐘內瀏覽多個國家的網站,也是為何對它進行國家或城市查詢,所描述的是中繼節點的託管位置,而不是任何訪客。關於為何位置描述的是網路而非個人,請見為何 IP 位置對人而言是錯的。
誰在使用 Tor
記者用它保護消息來源,身處限制嚴格國家的人用它存取被封鎖的網站,注重隱私的個人則用它來避免被追蹤。這些使用者占了 Tor 流量中相當可觀的一部分,而一條拒絕整個網路的規則,會因為他們選擇的工具就將其視為嫌疑人。濫用也確實存在:撞庫攻擊、爬取與垃圾訊息都可能使用 Tor,因為它免費又容易取得。誠實的總結是,這個網路是混雜的,旗標告訴你的是路徑,而不是意圖。
偵測 Tor 流量
出口中繼節點是作為 Tor 網路目錄的一部分公開發布的,因此偵測就是對當前出口位址清單進行查找。問題在於新鮮度,因為中繼節點不斷加入與離開,正如為何靜態 Tor 出口清單會過時所述。ipto 的 IP 查詢會回傳 is_tor 旗標,其威脅情資來源每 6 小時更新一次,你可以在 VPN、Tor 與 Proxy 檢查工具中測試位址。負面結果代表「未知為 Tor」,而非保證。
同一個回應還包含 is_abuser、is_vpn 和 is_datacenter,以及 asn 與擁有者組織。將這些放在一起解讀才是重點:is_tor: true 且 is_abuser: false,描述的是沒有已知不良歷史的隱私路徑,所需的處理方式,與同時出現在濫用來源中的 Tor 位址不同。IP 濫用檢查工具展示了這項信譽如何跨多個來源交叉佐證,而不是只仰賴單一來源。
營運出口中繼節點
出口營運者承擔著特殊的負擔,因為針對其使用者所做任何事的濫用投訴,都會落在營運者的位址上。許多人會在中繼節點的 IP 位址上發布聲明,說明這是 Tor 出口,且營運者無法控制流量,並將投訴透過登記機構的聯絡資料處理。如果你正在調查來自出口位址的濫用行為,IP whois 查詢會顯示該區塊的登記紀錄與濫用聯絡窗口,通常是主機代管業者,或是明知故犯地運行中繼節點的組織。向該處通報事件,比向其他任何地方升級處理更有用,因為營運者看不到個別使用者是誰。
合理處理 Tor 流量
正確的政策取決於你要保護什麼。公開的新聞網站沒有什麼理由要區別對待 Tor 訪客,而付款表單或帳號復原流程則有充分的理由增加摩擦。介於放行與拒絕之間的選項包括:
- 對登入、註冊與搜尋端點上的 Tor 位址套用更嚴格的速率限制。
- 對敏感操作顯示挑戰驗證或要求第二重驗證,而不是拒絕請求。
- 允許唯讀瀏覽,同時限制建立帳號或結帳。
- 將 Tor 旗標納入綜合決策,例如詐欺分數檢查工具的 0 到 100 值,而不是單獨依其行動。
- 記錄導致每項決策的訊號,以便檢視誤判。
監管或合約需求有時確實需要封鎖匿名化網路,例如為了授權或制裁合規,這是正當的商業決定。只要刻意做出這項決定,並知道它也會排除沒有做錯任何事的人,而且依據過時清單的封鎖在兩個方向上都會出錯。