0Me di cuenta de esto mientras trataba de encontrar una forma efectiva de hacer una conexión TOR -> VPN. Puedes hacer una conexión TOR -> TOR con Tails usando un programa llamado Tortilla, agregando así otra capa para que tus adversarios se agrieten.
Si esto vale la pena o no, depende completamente de ti, pero estoy compartiendo en caso de que sea algo que quieras hacer. Sin embargo, actualmente solo funciona para aquellos que usan Windows porque fue diseñado para ser utilizado por s de Windows. Tenga en cuenta también que esto ralentizará notablemente su conexión ya que está pasando por TOR dos veces. Aquí está la página oficial de Tortilla.
Y la página de descarga oficial para el ejecutable autónomo precompilado a continuación. Hay un enlace a él en la página de inicio si no confías en mí. rowdstrike.com/community-tools/
La forma en que haces esto es muy simple en realidad. Primero debe descargar TOR Expert Bundle de la página de descargas de TOR Project e instalarlo en su computadora o, mejor aún, en su unidad USB.
Luego abra tor.exe y simplemente déjelo funcionar hasta que diga Bootstrapped 100% Listo . A continuación, desea ejecutar el archivo tortilla.exe y asegurarse de ejecutarlo con privilegios de . Además, si está ejecutando Windows Vista o posterior, es probable que obtenga un error de que este programa no tiene un certificado válido, porque en realidad está firmado con algo llamado ceritifcate firmado por prueba. En este caso, debe permitir que los controladores firmados con prueba se ejecuten en su computadora.
Para hacer esto, simplemente vaya a su Menú de Inicio y escriba en el cuadro de búsqueda "cmd". Cuando aparezca el comando, haga clic con el botón derecho y haga clic en ejecutar como y se abrirá un símbolo del sistema. Luego escriba el siguiente comando. Bcdedit.exe -set TESTG ON y esto permitirá que Windows instale controladores firmados por prueba. Reinicie su computadora y verá en la esquina inferior derecha después de reiniciar el Modo de Prueba de Windows . Ahora puedes ejecutar Tortilla. Y permita que se conecte a TOR. Recuerde tener tor.exe de TOR Expert Bundle abierto primero.
Finalmente, abre Virtual Box o cualquier software de Máquina Virtual que esté utilizando y hace clic en Configuración en la máquina virtual de Tails. Haga clic en la pestaña Red y cambie el menú desplegable donde dice Adjunto a : al adaptador puenteado y en el menú desplegable a continuación denominado Nombre: Seleccione Adaptador de tortilla. Ahora su Máquina Virtual, en este caso Tails, siempre se conectará a Internet a través de Tortilla , que se conecta a través de TOR. Y dado que Tails establece su propia conexión con TOR, ejecutará TOR por encima de TOR. De nuevo, puede o no querer hacer esto, pero le doy la opción si lo desea.
Si alguien está interesado en aprender más sobre el creador de Tortilla, hizo una presentación en PowerPoint en la conferencia 2013 Black Hat USA. Siéntase libre de ver su charla en el enlace de YouTube a continuación. Sin embargo, tenga en cuenta que YouTube es propiedad de Google y que solo hay aproximadamente 57 vistas en el video, por lo que es probable que el gobierno correlacione los s que ven ese video con los s de este foro. Asegúrese de no ver el video en YouTube con su dirección IP real. Por lo menos, use una VPN o busque otro sitio que lo tenga alojado. Siempre viene bien ser extra paranoico.
Como verificar que sus archivos descargados son auténticos
Como regla general, siempre debe descargar archivos de las páginas de inicio de sus respectivos desarrolladores.
- TOR: www.torproject.org
- Tails: www.tails.boum.org
- Máquina virtual: www.virtualbox.org
La razón por la cual esto es tan importante es porque hay personas que alojan versiones modificadas de forma malintencionada de estos programas y que alojarán sitios con apariencia legítima para intentar que descarguen su versión, que puede instalar cosas como puertas traseras en sus computadoras, registradores de pulsaciones y todo tipos de sorpresas desagradables A veces, los desarrolladores ofrecerán mirrors para sus proyectos, que son simplemente enlaces alternativos para descargar en caso de que el servidor principal sea demasiado lento o inactivo. A veces, estos espejos pueden verse comprometidos sin el conocimiento de los desarrolladores.
Tal vez no tenga TOR o Tails en su computadora portátil y esté viajando fuera del país y el hotel en el que se hospeda tiene la página principal de TOR bloqueada. Hay momentos en que puede necesitar encontrar un espejo alternativo para descargar ciertas cosas. Luego, por supuesto, está el infame ataque de hombre en el medio , donde un atacante puede inyectar código malicioso en su tráfico de red y alterar el archivo que está descargando. Los desarrolladores de TOR incluso han informado que los atacantes tienen la capacidad de engañar a su navegador para que piense que está visitando la página de inicio de TOR, cuando en realidad no lo está.
Entonces, ¿qué haces al respecto? Puede verificar que el archivo que descargó es, de hecho, legítimo. La mejor herramienta para esto es GnuPG . Los desarrolladores de TOR recomiendan que lo obtengas de la siguiente página (s de Windows).
Puede instalar este programa en su unidad USB o en su computadora real, oirá que el sistema de operación de su computadora real se conoce como su sistema operativo host. Descárguelo, ejecútelo, instálelo y le mostraremos cómo usar GnuPG.
Si permanece en la página de descarga de GnuPG verá algo debajo del cuadro verde grande que se llama firma OpenPGP . Descargue eso en la misma carpeta que el archivo GnuPG, este es el archivo con el que se firmó la descarga. Básicamente la firma de alguien diciendo, hice este archivo. Y también necesita una clave pública de PGP para verificar la firma. Entonces, para resumirlo hasta ahora, la firma se crea desde la clave privada de PGP, y se puede verificar con la clave pública de PGP. El archivo de firma se usa para verificar el programa en sí. Así que tomemos la clave pública de PGP para GnuPG también.
Si mira en la misma página de descarga, debajo del título Instalación, verá un enlace donde dice verificar la integridad del archivo. Te llevará a la siguiente página.
En otras palabras, básicamente debe prometer que la clave pública de PGP que descargó está segura al firmar la clave pública de PGP con su propia clave privada, pero en realidad no necesitamos hacer eso y no incluiré un tutorial sobre cómo hacerlo. Haz eso. Tails explica que si le preocupa una clave pública PGP comprometida, simplemente descargue la clave de varias fuentes y compárelas; si todas coinciden, es muy probable que esté utilizando una clave legítima de PGP. Ahora pasemos finalmente a TOR porque este será un poco menos directo, pero una vez que lo hagas, deberías ser capaz de averiguar cómo verificar algo. Navega a su página de descarga y encuentra el paquete que deseas.
Para mantener las cosas simples, elijamos Tor Browser Bundle 9.2, y debajo de la casilla naranja verá un enlace (sig) . Este es el enlace para el archivo de firma, espero que ahora sepa qué hacer con él. A continuación, necesitamos la clave pública de PGP, ¿verdad? Bueno, resulta que con tantos desarrolladores trabajando en TOR, hay varias claves públicas de PGP, y ciertos paquetes fueron firmados con claves diferentes a otros paquetes. Entonces, necesitamos encontrar la clave pública de PGP que pertenece a nuestro paquete de navegador Tor. Mira esta página.
Tiene una lista de todas las claves de firma que utilizan y ciertamente puede usar estas ID de clave para obtener lo que queremos simplemente haciendo clic derecho en el archivo de firma y haga clic en Verificar. Recibirás una advertencia.
Mantenga este número entero en mente para más adelante, se llama huella digital. Pero por ahora, si compara los últimos 8 dígitos con la identificación de clave de Erinn Clark ( 0x63FEE659 ) que se encuentra en la página anterior, y dado que ella es la persona que firma los paquetes del navegador Tor, verá que coinciden. Pero queremos ser un poco más minuciosos, nunca conformarnos con la mediocridad.
Ve a tu barra de tareas en Windows y encuentra el programa llamado Kleopatra , parece un círculo rojo con un pequeño cuadrado blanco. Haga clic derecho y vaya a Abrir el de certificados . Vamos a importar las llaves completas usando este . También tenga en cuenta que, si va a la pestaña que dice Otros Certificados , encontrará las claves de Tails e Intevation (GnuPG) que utilizamos anteriormente almacenadas para el futuro cuando necesite descargar una nueva versión de esos programas y verificarlos de nuevo.
Vamos a seguir las instrucciones de la página de firmas de verificación en el sitio web de TOR Project. Siéntase libre de seguir desde esa página para que sepa de lo que estoy hablando y de dónde obtengo mi URL y mis números.
Para importar claves, primero debemos agregar un directorio en línea donde se almacenan. Entonces, primero agreguemos el directorio en línea donde se almacenan las claves públicas de PGP según el sitio web de TOR. Haz clic en Configuración y luego en Configurar Kleopatra . A continuación, haga clic en Nuevo y vamos a ingresar la siguiente URL que tomé directamente desde la página anterior. pool.sks-keyservers.net, hkps://hkps.pool.sks-keyservers.net y deje todo lo demás como predeterminado y haga clic en Aceptar.
Finalmente, haga clic en el botón que dice Certificados de búsqueda en el servidor y buscaremos la clave pública PGP de Errin Clark buscando su huella dactilar en la página web de TOR, verificando firmas , recuerde que ella es la promotora que firma el paquete del navegador Tor. . La huella digital que estamos ingresando es 0x416F061063FEE659 , ¿ te resulta familiar este número? Debería, es el número que obtuvimos la primera vez que intentamos verificar pero sin la clave pública de PGP real. si recibe advertencias que aparecen al hacer una búsqueda, simplemente haga clic en Aceptar y aparecerá la clave de Errin Clark, selecciónela y haga clic en Importar . Ahora debería tener su clave en la lista de certificados importados .
Tenga en cuenta que hay una advertencia porque no ha asignado un índice de confianza a esta persona. Esto significa que GnuPG verificó que la clave haya hecho esa firma, pero depende de usted decidir si esa clave realmente le pertenece al desarrollador. El mejor método es conocer al desarrollador en persona e intercambiar las huellas dactialares clave.
No sé ustedes, pero estoy contento con el resultado aquí, y ciertamente no voy a rastrear a Erinn Clark para obtener su huella dactilar clave, ¡y parece que nuestro paquete TOR Browser es legítimo también! Ahora que sabe qué hacer cuando el archivo de clave pública de PGP no está alojado directamente en el sitio, no tiene más excusas para no verificar sus descargas.
Comentarios