정적 Tor 출구 노드 IP 목록이 금방 낡는 이유
Tor 출구 노드 IP 목록은 Tor 트래픽이 네트워크를 떠나 일반 웹사이트에 도달하는 공개 주소의 목록이며, 한 번 저장한 사본은 즉시 낡기 시작합니다. 출구 릴레이는 자원봉사자가 운영하고 끊임없이 합류하고, 떠나고, 주소를 바꾸므로 파일에 고정되거나 방화벽 규칙에 하드코딩된 목록은 몇 시간 안에 현실에서 벗어납니다.
목록이 그렇게 빨리 바뀌는 이유
Tor 네트워크는 대략 한 시간마다 현재 실행 중인 릴레이와 Exit 플래그를 포함해 각 릴레이가 가진 플래그를 나열한 컨센서스를 게시합니다. 릴레이는 개인, 대학, 비영리 단체, 호스팅 고객이 운영하며, 많은 릴레이가 해지되거나 재프로비저닝되거나 제공업체 사이를 옮겨 다니는 임대 가상 서버에서 실행됩니다. 릴레이가 중지되면 그 주소는 호스팅 풀로 돌아가 전혀 관련 없는 고객에게 할당될 수 있습니다. 새 출구가 나타나면 다시 가져오기 전까지 사본에는 알려지지 않습니다.
출구 정책이 또 다른 변수를 더합니다. 릴레이는 일부 포트에서만 출구가 될 수 있고, 운영자는 주소를 바꾸지 않고 정책을 바꿀 수 있습니다. 주소만 기록하는 목록은 이런 뉘앙스를 표현할 수 없으므로 각 IP가 하는 일을 과장하는 동시에 새로 들어온 릴레이를 놓칩니다.
낡은 목록에서 무엇이 잘못되는가
두 가지 실패 유형이 있으며 둘 다 비용을 치르게 합니다. 첫째는 거짓 음성입니다. 최근에 시작된 출구가 목록에 없어서 다르게 취급하려던 트래픽이 플래그 없이 통과합니다. 둘째는 거짓 양성으로, 보통 더 큰 피해를 줍니다. 예전에 출구였던 주소가 지금은 일반 호스팅 고객, 소규모 사업체, 주거용 회선인데도, 고정된 목록은 여전히 Tor로 표시합니다. 실제 사용자는 하지 않는 일 때문에 챌린지를 받거나 차단되고, 설정에서는 규칙이 올바르게 보이므로 아무도 알아채지 못합니다.
낡은 목록은 공백을 보상하려고 범위 전체를 차단하고 싶게 만들기도 합니다. 호스팅 범위에서 릴레이의 이웃은 관련 없는 서비스인 경우가 많으므로 이는 오탐을 배가시킵니다. Tor 플래그만으로 접근을 거부하는 것이 왜 약한 근거인지에 대한 더 넓은 맥락은 Tor 출구 노드 설명을 참고하세요.
더 신선한 접근 방식
해결책은 영리한 매칭이 아니라 짧은 갱신 주기와 항목을 만료시키는 방법입니다. 일정에 따라 목록을 가져오고, 계속 덧붙이지 말고 원자적으로 교체하며, 데이터의 연령을 답의 일부로 취급하세요. 마지막으로 성공한 갱신이 허용 범위보다 오래되었다면 하드 차단보다 챌린지 같은 더 부드러운 응답 쪽으로 실패하도록 하세요.
ipto는 이를 서비스로 제공합니다. VPN, Tor, 악용 위협 피드는 6시간마다, IP 및 ASN 데이터셋은 매일 갱신됩니다. IP 조회는 is_vpn, is_abuser, is_datacenter와 함께 is_tor를 반환하므로, 요청마다 현재 상태를 읽을 수 있고 파일을 유지 관리할 필요가 없습니다. VPN, Tor, 프록시 검사기에서 주소를 시험해 보거나, 위협 피드 페이지에서 공개된 목록을 둘러보며 현재 데이터가 어떤 모습인지 확인할 수 있습니다.
6시간도 실시간은 아니며 이 점을 솔직하게 말할 필요가 있습니다. 한 시간 전에 시작된 릴레이는 아직 데이터에 없을 수 있고, 중지된 릴레이는 다음 갱신 전까지 여전히 플래그되어 있을 수 있습니다. 음성 결과는 "Tor로 알려지지 않음"을 뜻하며 "확실히 깨끗함"을 뜻하지 않습니다.
Tor 데이터에 과도하게 의존하지 않고 사용하기
목록은 항상 약간 틀리므로 오류를 허용하는 결정을 만드세요. Tor 플래그를 단독으로 쓰지 말고 다른 증거와 결합하세요. IP 악용 검사기는 여러 피드에 걸쳐 교차 검증하여 개인정보를 중시하는 방문자와 실제로 문제를 일으키는 주소를 구분하는 데 도움이 되며, 사기 점수 검사기는 여러 신호를 임계값을 둘 수 있는 0-100의 단일 값으로 합칩니다.
- 조회 결과는 며칠이 아니라 피드 갱신 주기보다 짧게 캐시하세요.
- 영구 차단보다 챌린지, 속도 제한, 추가 인증 단계를 선호하세요.
- 나중에 오탐을 검토할 수 있도록 어떤 신호가 조치를 일으켰는지 기록하세요.
- 이전에 차단한 주소를 다시 확인하세요. 오래된 IP에 대한 결정은 더 이상 적용되지 않을 수 있습니다.
핵심은 간단합니다. Tor 네트워크는 움직이는 표적이며, Tor 목록의 유용한 속성은 크기가 아니라 신선도입니다. 정적 스냅샷은 과거의 기록으로 취급하고, 근거를 따져볼 수 있도록 갱신 주기가 명시된 데이터를 선호하세요.