Auteur Sujet: https://facebookcorewwwi.onion/ (Lu 9591 fois)

corrector · « **le:** 02 novembre 2014 à 03:32:56 »

https://facebookcorewwwi.onion/

Et oui, c'est le site de Facebook, accessible via un .onion (via le réseau Tor), en HTTPS.

https://www.facebook.com/notes/protect-the-graph/making-connections-to-facebook-more-secure/1526085754298237

Il y a plein de sujets d'étonnement techniques ou non.

Techniquement :
- comment obtenir une adresse .onion aussi élégante? C'est la première fois que je vois une adresse .onion que je peux mémoriser.
- comment obtenir un certificat TLS valable pour une telle adresse?

Non-technique :
- FB et Tor?!!! WTF

Marin · « **Réponse #1 le:** 02 novembre 2014 à 09:35:51 »

Citation de: corrector le 02 novembre 2014 à 03:32:56

Techniquement :
- comment obtenir une adresse .onion aussi élégante? C'est la première fois que je vois une adresse .onion que je peux mémoriser.

Avec de la puissance de calcul : http://security.stackexchange.com/questions/29772/how-do-you-get-a-specific-onion-address-for-your-hidden-service

Citation de: corrector le 02 novembre 2014 à 03:32:56

- comment obtenir un certificat TLS valable pour une telle adresse?

En étant Facebook.

Citation de: corrector le 02 novembre 2014 à 03:32:56

Non-technique :
- FB et Tor?!!! WTF

Il ne faut pas oublier qu'à côté de ça, ils interdisent toujours le pseudonymat sur leur site.

Ils donnent un moyen à leurs utilisateurs dans certains pays de contourner la censure, augmentant ainsi leur base ~~de données personnelles à revendre~~ d'utilisateurs potentielle, sans pour autant chercher à ce qu'ils se présentent anonymement à l'intérieur du lien chiffré Tor, au contraire. Ça ne m'étonnerait pas du tout que les filtres de type détection de faux nom, qui peuvent mener des choses comme une demande d'identification forcée par SMS (et fallback par scan de la carte d'identité si impossible), soient toujours en place sur cette version, peut-être différemment.

corrector · « **Réponse #2 le:** 02 novembre 2014 à 14:43:58 »

Citation de: corrector le 02 novembre 2014 à 03:32:56

Il y a plein de sujets d'étonnement techniques ou non.

Techniquement :
- comment obtenir une adresse .onion aussi élégante? C'est la première fois que je vois une adresse .onion que je peux mémoriser.

[tor-talk] Facebook brute forcing hidden services

Alec Muffett alecm at fb.com
Fri Oct 31 12:35:50 UTC 2014

Hi - My name¹s Alec, I work for Facebook and am the team lead for Facebook
over Tor.

Long story short: details will come out later, but we just did the same
thing as everyone else: generated a bunch of keys with a fixed lead prefix
("facebook") and then went fishing looking for good ones.

I feel that we got tremendous lucky.

- alec

https://lists.torproject.org/pipermail/tor-talk/2014-October/035413.html

Donc il y a de la chance...

Citation de: Marin le 02 novembre 2014 à 09:35:51

Avec de la puissance de calcul :

Il y en a aussi!

corrector · « **Réponse #3 le:** 06 novembre 2014 à 02:59:11 »

Citation de: Marin le 02 novembre 2014 à 09:35:51

Il ne faut pas oublier qu'à côté de ça, ils interdisent toujours le pseudonymat sur leur site.

Bon, ils ont expliqué que c'était pour accéder à FB dans les endroits où la censure du net sévit, et pas pour l'anonymat.

Marin · « **Réponse #4 le:** 11 novembre 2014 à 06:21:00 »

Ello, la fameuse alternative à Facebook soit-disant respectueuse de la vie privée de l'utilisateur (mais centralisée, mais closed-source, mais financée par un fond d'investissement) dont tout le monde a parlé pendant deux jours, n'a pas emboîté le pas, mais au contraire bloque désormais toutes les connexions depuis Tor.

Code: [Sélectionner]

<h1>Access To Website Blocked</h1>
On aurait pu espérer un peu mieux de nos ardents défenseurs de la vie privée.

Nico_S · « **Réponse #5 le:** 11 novembre 2014 à 07:32:21 »

Fonctionne chez moi. C'est pas rapide, mais bon c'est TOR !

corrector · « **Réponse #6 le:** 11 novembre 2014 à 09:09:33 »

Quelle IP?

Nico_S · « **Réponse #7 le:** 11 novembre 2014 à 09:13:30 »

De mémoire Royaume Uni lors de la connexion. 45.xxx.xxx.xxx (je me souviens du premier, pas des autres.)
Je viens de refaire le test, IP en France si j'en crois le détails de mon-ip.com (hote exit4.telostor.ca) en 62.210.74.xxx et ça fonctionne aussi.
JE vais refaire le test en trouvant une IP ailleurs.

Edit : Nouveau test avec 46.165.196.xxx (nom d'hote s22d2r.dyndns.org), pays indéterminé et ça fonctionne encore.

corrector · « **Réponse #8 le:** 15 avril 2015 à 18:26:47 »

Citation de: corrector le 02 novembre 2014 à 03:32:56

- comment obtenir un certificat TLS valable pour une telle adresse?

Une procédure a été formalisée :

Ballot 144 – Validation rules for .onion names
Ballot 144 – Validation Rules for .onion Names – passed with 6 Yes votes, 2 No votes and 13 Abstentions from the CAs and 3 Yes votes from the browsers.

Detailed results are on the Forum’s ballot tracker (Ballot Results – Vote Tally at the bottom of the Ballots page on the Forum’s wiki).

Ballot 144 reads as follows:

Applicants want a CA-signed .onion address for several reasons, including:
– Powerful web platform features are restricted to secure origins, which are currently not available to onion names (in part, because of the lack of IANA registration). Permitting EV certs for onion names will help provide a secure origin for the service, moving onion towards use of powerful web platform features.
– Currently, access to .onion names over https from a standard browser results in the standard existing ‘Invalid Certificate’ warning. Training users to click through security warnings lowers the value of these warnings and will cause users to miss important security information. Removing these warnings for the user, through use of a digital certificate, will help users recognize and avoid real MITM attacks.
– The public needs attribution of ownership of the .onion address to differentiate onion services, including potential phishing services. Because onion names are not easily recognizable strings, providing the public with additional information about the operator has significant security improvements, especially in regions where use of the incorrect name could have lethal consequences.
The following motion has been proposed by Jeremy Rowley of DigiCert and endorsed by Ryan Sleevi of Google and Wayne Thayer of GoDaddy.

(...)

The CA MUST verify the Applicant’s control over the .onion Domain Name using one of the following:
a. The CA MAY verify the Applicant’s control over the .onion service by posting a specific value at a well-known URL under RFC5785.
b. The CA MAY verify the Applicant’s control over the .onion service by having the Applicant provide a Certificate Request signed using the .onion public key if the Attributes section of the certificationRequestInfo contains:

(...)

https://cabforum.org/2015/02/18/ballot-144-validation-rules-dot-onion-names/