Mozilla voegt 14 relays aan Tor-netwerk toe

Mozilla heeft veertien Tor-relays in bedrijf genomen. De browserbouwer had deze uitbreiding voor het anonimiseringsnetwerk vorig jaar al aangekondigd. Mozilla maakte ook bekend dat Firefox 36 niet langer 1024bit rsa-rootcertificaten zal accepteren.

De opening van veertien Tor-relays, schakelpunten binnen het Tor-netwerk, door Mozilla moet volgens de browserbouwer de ontwikkelaars van Tor meer tijd geven om zich te richten op innovaties in het protocol. Door de extra servercapaciteit die Mozilla toevoegt, met opgegeven bandbreedtes die oplopen tot 3MB/s, kan het anonimiseringsnetwerk meer gebruikers aan. De servers zijn volgens een overzicht van Torproject.org in de VS geplaatst.

Naast het toevoegen van Tor-relays heeft Mozilla ook bekendgemaakt dat de aankomende Firefox 36 niet langer rootcertificaten zal accepteren met 1024bit rsa-sleutels. De stap is het gevolg van een uit 2013 daterend advies van het National Institute of Standards and Technology. Het NIST stelt dat 1024bit-sleutels tegenwoordig onvoldoende sterk zijn. Een ssl-certificaat met een sleutellengte van minimaal 2048bit is op een website noodzakelijk om binnenkort gebruikers van Firefox 36 te kunnen ontvangen.

Door Dimitri Reijerman

Redacteur

29-01-2015 • 16:44

63

Reacties (63)

63
63
43
1
0
6
Wijzig sortering
Waarom doet Mozilla dit? Ik vind " de ontwikkelaars van Tor meer tijd geven om zich te richten op innovaties in het protocol" een rare reden. Wat heeft Mozilla hier nu weer aan?
Missie van Mozilla:
Onze missie is het bevorderen van openheid, innovatie en mogelijkheden op het internet.
Mozilla is een vrij unieke organisatie tussen al die andere browsers. Geen winstoogmerk, meer idealistisch.
Anoniem: 636203 @Emgeebee29 januari 2015 18:47
Ook al maken ze geen winst, ze gaan ook gewoon voor de center hoor. Zo was hun omzet $314 miljoen vorig jaar, voornamelijk van Google. Nu zijn ze over gestapt naar Yahoo (zeg maar Microsoft) en waarschijnlijk voor nog meer geld.
Ik ken de rest van de cijfers niet, maar omzet is niet hetzelfde als winst.

En hoe je het ook wendt of keert, ze zijn een stuk minder commercieel dan Google en Microsoft.
Anoniem: 636203 @Room4230 januari 2015 07:57
Hun kosten zijn maar heel beperkt, hooguit enkel tientallen miljoenen. Dus hun reserves zijn aanzienlijk.

Wat mij tegenstaat is dat ze meer dan $300 miljoen krijgen van Google en dat ze dat kennelijk nog niet genoeg vinden en op zoek gaan naar iemand die meer biedt. Ze roepen dat Google een browser maakt die met die van hun concurreert maar dat doet Microsoft ook. Yahoo bestaat feitelijk niet want die besteed zijn internet search uit aan Microsoft.

[Reactie gewijzigd door Anoniem: 636203 op 2 augustus 2024 21:24]

al heb je 200 miljard omzet, zolang je kosten ook 200 miljard zijn is de winst 0,0 :+

De ontwikkelaars zullen vast een marktconform salaris krijgen, mozilla heeft ook een kantoor te huren, er zullen vast wat adertenties etc zijn. Ze hebben een addon database die ergens gehost moet worden, inclusief al het dataverkeer van het installeren van deze addons. Het loopt snel op dan ;) "Voor niets gaat de zon op"
Anoniem: 636203 @aadje9330 januari 2015 07:58
Ze hebben maar 100 of zo ontwikkelaars in dienst plus nog ondersteunende mensen. Kosten zijn dus niet meer dan enkele tientallen miljoenen.
Het blog: https://blog.mozilla.org/...ational-data-privacy-day/
We’ve now launched Tor relays that allow Tor to expand its network and serve more users. Tor can now spend more time on innovation and less time on scalability. We’re learning through this experimentation and will continue to iterate until we can do better.
Dus door het opzetten van nieuwe relays hoeft Tor zich even minder druk te maken op de schaalbaarheid en hebben ze meer tijd over om het tor-protocol te innoveren en of te verbeteren.
Innovatie op het gebied van schaalbaarheid en performance lijkt me een hele nuttige innovatie in dit geval, met of zonder hulp van Mozilla. Het lijkt me trouwens dat 14 relays van 3MB/s op het hele netwerk maar een kleine impact heeft. Alle beetjes helpen natuurlijk dat is waar...
https://metrics.torprojec...html#advertised-bandwidth
advertised bandwidth: the volume of traffic, both incoming and outgoing, that a relay is willing to sustain, as configured by the operator and claimed to be observed from recent data transfers.

Maar als je hier kijkt lijkt het Tor netwerk voldoende bandbreedte te hebben.
https://metrics.torproject.org/bandwidth.html
Over de 100 Gb/s advertised terwijl er rond de 50 Gb/s gebruikt wordt.

Top 10:
https://globe.torproject.org/#/top10

Ik ben verder geen tor-kenner, maar dit is wat de site laat zien. :)
Top 10:
https://globe.torproject.org/#/top10

Ik ben verder geen tor-kenner, maar dit is wat de site laat zien. :)
Wel grappig dat de helft van de top-10 in NL gehuisvest is.
Ja dat viel mij ook al op, maar de top10 verandert wel steeds.

De naam FuckGCHQFromCthulhu is wel grappig :) Volgens mij heeft deze persoon het niet zo op de britse geheime dienst(of ze zijn het zelf en tappen tor af! :) )
Publieke ongehoorzaamheid kan veel sympathie onder de bevolking opwekken. Doordat Mozilla zich een klein beetje verzet tegen het spionageapparaat wat de VS en EU en ieder ander landje ondertussen ook hebben, zullen veel mensen positiever over ze denken. Ok is het moreel verantwoordelijk, en heeft Tor de hulp hard nodig.

Het kan mensen ook meer bewust maken van privacy-issues door publiciteit over deze relays, en dat heeft Mozilla ook hoog in het vaandel staan.
Doordat Mozilla zich een klein beetje verzet tegen het spionageapparaat wat de VS en EU en ieder ander landje ondertussen ook hebben
dan zet je zeker geen exit-nodes in de VS, waar de overheid je kan verplichten alle data af te geven en je er zelfs niet over mag spreken.
Dit zijn ook geen exit-nodes, het zijn middle nodes. Zie ook deze blog post.
M.a.w ze spelen veilig. Wat vaak ontbreekt is de exit-nodes want daar komt alle data binnen / buiten. Met als nadeel als er iemand bijvoorbeeld kinderporno gebruikt, dat het via die exit-nodes kan gaan. En als de overheid iemand wilt oppakken, dan beginnen ze met de uitbaters van de exit-nodes.

Het is niet de eerste keer geweest dat ze iemand omgepakt hebben voor het draaien van de exit-nodes.

Midden nodes zijn veiliger want het is "normaal" gezien niet mogelijk te tracken waar de data heen en weer gaat. En 3MB/s/per server is een druppel in een hete plaat.
Mozilla doneert wel 42 hele megabytes per seconde, poeh poeh. Als ik een VPSje bestel met gbit en deze inzet, krijg ik dan ook een nieuwsartikel?

[Reactie gewijzigd door analog_ op 2 augustus 2024 21:24]

Tsja, er staat ook nogal wat op het spel voor ze. Ze hebben niet de financiën van een Google of Microsoft. Maar dit is ook een eerste experiment; Mozilla heeft een aanwezigheid in aardig wat landen, dus wellicht breiden ze hun bijdrage aan het netwerk langzaam uit op verschillende locaties.
"Het web en zijn vrij heden is in gevaar" Mozilla staat voor een open en transparant web dus vindt het vanuit Mozilla een heel logische keuzen. Met die ontwikkelingen kan vervolgens Mozilla weer hun browser en mail applicatie makkelijker naar Tor brengen en dit op die manier "garanderen".
Anoniem: 334725 @lasharor29 januari 2015 16:56
Ze claimen dat dit meer tijd moet geven voor meer innovaties.
Tor can now spend more time on innovation and less time on scalability. We’re learning through this experimentation and will continue to iterate until we can do better.
Tor heeft seriouze capaciteitsproblemen en de reputatie die ze hebben helpt ook niet om meer relays op te zetten. Als grote organisaties relays beginnen op te zetten dan heb je grote kans dat het volk dit ook gaat doen.

Volgens mij gaan ze Tor gebruiken voor de incognito-modus trouwens.
Mozilla hostte deze zomer ook gewoon een Tor developer-bijeenkomst op hun kantoor in Parijs, dus zo vreemd is het an sich niet.
Anoniem: 636203 29 januari 2015 16:51
Goed bezig! Ik hoop dat Tor snel in Firefox ingebouwd wordt. Dat zal de uptake van Firefox ook ten goede komen is mijn gedachte.
Want? Leken gebruiken Tor toch niet. En Tor gebruikers hebben het al gevonden.

Tevens snap ik het nut van Tor niet...Uit onderzoek ook gebleken dat de beschikbare Tor sites voornamelijk worden gebruikt voor ondeugdelijke handel.
Anoniem: 636203 @Amped29 januari 2015 16:58
Zucht...ik wist wel dat iemand dat soort dingen zou gaan roepen naar aanleiding van dat zogenaamde onderzoek.

Als ik mijn surfgedrag en communicatie geheim wil houden voor websites en overheden dan vind ik dat geen 'ondeugdelijke handel'!!

Doordat Tor algemeen gebruikt gaat worden zullen er ook meer legitieme toepassingen komen voor .onion sites. Ik kan er legio bedenken.

[Reactie gewijzigd door Anoniem: 636203 op 2 augustus 2024 21:24]

Tor sites is niet de enige functie van Tor. Je kunt mbv Tor en een exit node een website bezoeken zonder dat dit naar jou terug te traceren is. Er zijn meer dan genoeg legitieme redenen om dat te doen en ook de voornaamste reden dat ik het gebruik.
Dan snap je het nut toch? Criminele activiteiten, drugs kopen, allerlei zwarte handel en privecommunicatie (NB: deze laatste is nog niet illegaal maar wel met uitsterven bedreigd) wordt een stuk makkelijker als je niet door iedere agent met een computercursus van 3 dagen beloerd kan worden.
Denk aan landen waar je niet eens mag uitkomen voor je mening of discussieren dat de overheid wel eens slecht zou kunnen zijn. Natuurlijk wordt het misbruikt voor criminaliteit, maar oorspronkelijk was het onder meer bedoeld voor anonimisering van mensen in bepaalde landen
Eeehh...De browser die bijvoorbeeld bij Vidalia wordt meegeleverd IS Firefox.
Nergens voor nodig om vanuit Firefox TOR te starten, want als je nu TOR start dan krijg je Firefox voorgeschoteld.
Anoniem: 636203 @HMC29 januari 2015 17:04
Dat weet ik, maar het is natuurlijk veel mooier, makkelijker, beter en veiliger om Tor rechstreeks in Firefox te bouwen.
Dus standaard iedereen aan de TOR? Ja, dat zou wel tof zijn.

Maar dan wel even mensen inlichten over die eerste message:
"U bent nu verbonden met het TOR netwerk. U kunt nu veilig browsen. U staat nu bekend onder dat-en-dat IP adres wat eigenlijk een Polen/Indonesië IP adres is."
Mijn moeder zou zich rotschrikken.
Anoniem: 636203 @HMC29 januari 2015 17:13
Hoeft helemaal niet. Je kan mensen gewoon zeggen dat als ze de 'private browsing mode' gebruiken dat niemand kan zien wat ze aan het doen zijn. Dat snapt bijna iedereen.
Zo makkelijk gaat het helaas niet, want dat is niet hoe Tor werkt. Sterker nog, je zou precies het tegenovergestelde bereiken.

De exit-node, ook al weet deze niet je IP-adres, kan zien wat jij doet zolang dat niet versleuteld is. Dat betekent dus dat, zodra je op Facebook inlogt, al je verkeer plotseling heel makkelijk af te tappen is door de beheerder van een exit-node, en ze weten dan ook nog wie je bent.

Het is juist de bedoeling om Tor enkel voor anonieme zaken te gebruiken, en het als standaard functionaliteit inbouwen in Firefox is dan ook helemaal geen goed idee. Tor vereist behoorlijk wat veranderingen in surfgedrag om veilig te kunnen werken.
Ten eerste moet je natuurlijk nooit inloggen met een login die jou identificeert. Dat lijkt mij heel triviaal. Je moet er atlijd van uit gaan dat de website waar jij naartoe gaat wel kan zien wat jij aan het doen bent, dus als jij niet iets betaald of je email daar opgeeft dan weten ze natuurlijk niet wie jij bent.

Ten tweede gebruikten Facebook en veel andere sites al SSL dus afluisteren kan alleen op een exit-node als die in handen van de adversary is.
Je mist het grotere geheel - als je op een enkele site inlogt, kan dat ook je verkeer naar andere sites 'besmetten' omdat het over hetzelfde circuit loopt, ook al hebben de twee sites niets met elkaar te maken, en hebben ze niet dezelfde eigenaar.

Iemand die de exit node aftapt weet dan dus dat dat andere verkeer ook bij jou hoort. Dat is waarom het geen goed idee is om Tor-by-default te hebben, en ook dezelfde reden waarom bijvoorbeeld de Anonabox een verschrikkelijk slecht idee is.

SSL is trouwens niet bijster nuttig; op het moment dat je adversary groot genoeg is om 1) het beheer over voldoende exit nodes te hebben en 2) geinteresseerd te zijn in wie jij bent, is het vrij aannemelijk dat ze ook de capabiliteit hebben om een root-certificate te bemachtigen, en dus gewoon de hele boel kunnen MITMen.

Het CA-model is zo hopeloos kapot dat je er maar beter vanuit kunt gaan dat het niets toevoegt bij een 'serieuze' adversary.

[Reactie gewijzigd door svenslootweg op 2 augustus 2024 21:24]

Indeed. Dat zouden ze inderdaad zo moeten uitwerken dan. Gebruikersvriendelijk en zo. Klinkt goed zoals je dat zegt.
Een ssl-certificaat met een sleutellengte van minimaal 2048bit is op een website noodzakelijk om binnenkort gebruikers van Firefox 36 te kunnen ontvangen.
Moet zijn:
Een trusted certificate chain waarvan elk ssl-certificaat een sleutellengte heeft van minimaal 2048bit is op een met SSL beveiligde website noodzakelijk om binnenkort gebruikers van Firefox 36 te kunnen ontvangen.
Niet alleen moet het eigen certificaat 2048 bit zijn, maar ook die van de root en intermediate CA's. Overigens verwacht ik dat dit in de praktijk niet voor problemen zal zorgen bij de populaire websites.

[Reactie gewijzigd door The Zep Man op 2 augustus 2024 21:24]

Google Chrome geeft dit ook al een tijdje aan bij certificaten dat ze minimaal 2048 moeten zijn.
Google controleert vooral op SHA1/SHA2 en het correct gebruiken van protocollen. Wie nu nog een 1024bits key wil gebruiken komt toch al van een kouwe kermis thuis.
Als je huidig certificaat nog een 1024bits key gebruikt is het waarschijnlijk self-signed of heel oud en (bijna) verlopen.
Je kunt nog prima certificaten aanvragen met 1024, nog beter dit staat op veel servers (Windows) als standaard optie (Server 2008). Dus er zijn er nog genoeg die het gebruiken en dat is dus niet heel oud of bijna verlopen.
Ik werk dagelijks met SSL-certificaten, maar heb het toch nog even voor je onderzocht ;)
Mijn zojuist gecreeerde CSR met een 1024bits sleutel wordt bij alle grote CA's afgekeurd. CA's die sowieso al geruime tijd alleen nog maar certificaten verstrekken met een 2048bits sleutel. Ik heb het dan over de Comodo's, Symantecs en Globalsigns. Ik zie graag welke CA jouw nog (wel) van een certificaat met een 1024bits sleutel voorziet ;)

Enne... dat Microsoft als standaard in Server2008 (die vijf jaar ouder is dan het genoemde besluit van NIST) nog 1024bits als standaard aanbiedt... tja. Als je in IIS 8 probeert via de wizard een CSR aan te maken om je certificaat te vernieuwen douwt Microsoft vrolijk je oude certificaat ook in de CSR, en laat allerlei belangrijke velden leeg... Ze hebben daar nog steeds wat issues met standaarden ;)
Comodo geeft prima certificaten uit als je 1024 gebruikt hoor :) Afgelopen half jaar genoeg certificaten gehad die verkeerd waren aangevraagd en opnieuw moesten met 2048 omdat Chrome met de waarschuwingen kwam.
:?
Weet je zeker dat je nu niet de 1024/2048bits sleutellengte en de SHA1/SHA2 encryptie door elkaar gooit? Die laatste kan ik namelijk veel beter rijmen met "het afgelopen half jaar" dan die eerste...
Dat verbaast me dan ten zeerste. Even wat (oude) nieuwsberichten:
In het nederlands, bij Networking4all. Of in het Engels, van Symantec
Met andere woorden... volgens deze berichten (die overeenkomen met wat er in het nieuwsbericht staat) zijn certificaten met een 1024bits key sinds 1 oktober 2013 niet meer te gebruiken.

Jij geeft dus aan dat Comodo deze stap een behoorlijke tijd heeft overgeslagen? Overigens... een uurtje terug werd mijn van een 1024bits key voorziene CSR onder andere door Comodo (ook) afgekeurd. By the way: the ondersteuning van het 1024bits Comodo root-certificaat (Entrust) is al verwijderd in Firefox 32

Nogmaals: de laatste maanden is er (mede vanwege het besluit van Google om SHA1 certificaten als verminderd vertrouwd) meer dan genoeg te doen geweest aangaande de overgang van SHA1 naar SHA2, en op basis daarvan worden (ook nu nog) allerlei vervangingen uitgevoerd.

[Reactie gewijzigd door Jester-NL op 2 augustus 2024 21:24]

Hier hebben we het feedback-knopje voor.
Geeft Mozilla dan (meer) om privacy dan een willekeurig ander bedrijf? Alsof ze geen gegevens zouden vrijgeven aan dergelijke overheidsinstanties of geheime inlichtingingendiensten.

Welke SSL implementatie gebruiken ze bijvoorbeeld. De hoeveelheid bits is niet alles bepalend.

[Reactie gewijzigd door born4trance op 2 augustus 2024 21:24]

Het maakt niet uit wat Mozilla aan welke overheid geeft, niemand kan bewijzen dat dat als illegaal bestempelde Tor-verkeer wat via hun node naar jouw pc ging daadwerkelijk voor jou was. Dat was altijd al het idee van Tor. Zoveel noise produceren dat het signaal zoek raakt.
Anoniem: 636203 @Origin6429 januari 2015 17:21
En hoe meer mensen Tor gebruiken hoe moeilijker het wordt om traffic analysis te doen. Ik ben namelijk bang dat als niet veel meer mensen Tor gaan gebruiken dat overheden uiteindelijk iedereen die Tor gebruikt gaan criminaliseren.

Zeker nu dat zogenaamde onderzoek heeft uitgewezen dat de meeste mensen die Tor .onion sites bezoeken veelal kinderporno en terrorisme sites bekijken.

[Reactie gewijzigd door Anoniem: 636203 op 2 augustus 2024 21:24]

Dat onderzoek is belachelijk. Zelfs als het waar is, ja, nogal logisch dat er nu alleen maar louche figuren opzitten. De mensen die nu bitcoin hebben gebruiken het ook alleen maar voor de aanschaf van drugs en wapens, en belastingontduiking. Wordt dat gecriminaliseerd? Natuurlijk niet.

Dit onderzoek dient alleen maar om de publieke perceptie van Tor ten negatieve te beinvloeden, zodat minder mensen het gaan gebruiken en iedereen lekker bespioneerd wordt.

Overheden kunnen je niet veroordelen als zij niet kunnen bewijzen dat jij daadwerkelijk die illegale data hebt aangevraagd, en dat kan niet. Ze kunnen niet zomaar iedereen die het gebruikt als crimineel bestempelen omdat je, zelfs hier in NL, nog steeds onschuldig bent tot het tegendeel is bewezen en je dus sowieso naar het europees hof kan als ze je zo proberen te pakken. Mensen hebben hier rechten. Dank u wel EU.
Dat geloof ik wel, zeker weten kan niemand :)
Tor is zo gemaakt dat ook al zouden ze het willen dat het niet zou uitmaken.
Volgens mij valt 12 relays met bandbreedte die oplopen tot 3MB nog best mee, al helemaal in vergelijking met het aantal relays die er op dit moment al beschikbaar zijn (los van de bandbreedte).

Ben benieuwd waarom dit groots wordt gebracht, echt veel impact zal het verder niet hebben. Genoeg andere bedrijven die hetzelfde doen en die bereiken anders ook het nieuws niet.
Leuk bedacht maar iets zegt mij dat 14 relays niet echt iets toevoegen aan het Tor netwerk. Op dit moment is er zoveel mis met Tor dat het bijplaatsen van een klein aantal relays dat niet even zomaar oplost.
Er zijn er die nog 1024bit sleutels hebben. Wel terecht dat ze dit nu aanpakken, maar kan voor sommige wel wat problemen geven.

[Reactie gewijzigd door Brainy1978 op 2 augustus 2024 21:24]

Is niet echt iets voor eind gebruikers, tenzij de certificaat uitgevers die sleutels blijven gebruiken voor certificaten die ze uitgeven. Vindt het op zijn minst kwalijke zaak als ze dat niet bijtijds updaten. Certificaten verlopen zover ik weet jaarlijks en de enige reden waarom de dingen uberhaupt bestaan is om te garanderen dat je (veilig) met de juiste partij kunt communiceren.

Als ze dit niet op orde hebben is de hele toepassing 'kansloos'.
Helaas heeft niet iedereen in IT land alles op orde.. Maar je hebt een punt.
Het gaat nier niet om de op de site uitgegeven (DV, OV of EV-)certificaten, maar de root en intermediates van de CA's.
Sowieso worden 1024-bits keys al een tijdje niet meer ondersteund of uitgegeven. Het houdt nu vooral in dat (bijvoorbeeld) een Symantec een aantal van zijn root-certificaten kan gaan intrekken ;)
Hmm, hoop niet dat de VS nu hun "rechtvaardigheidskruisvaart" gaat voortzetten richting Mozilla.
Ze hebben er nogal een hand in met gag orders en andere fratsen te proberen dit soort diensten uit de lucht proberen te halen. Het zal ze wel een doorn in het oog zijn dat er een relatief grote speler ineens zoveel impuls geeft aan een dergelijke dienst.
Als jij 1024 Bits kan kraken dan heb je met 2048 toch ook geen moeite, is dat niet het zelfde als je 100 meter kunt rennen dat je dan 200 meter moet rennen , of wordt het echt 500%+ moeilijker door 2x meer bits ?
met elke bit extra, komen er 2x zo veel mogelijkheden (dus wordt het 2x zo 'lastig' om te kraken). Als je van 1024 naar 2048 bits gaat, dan wordt het 2^1024 is heel veel keer moeilijker om te kraken.
Werk exponentieel.
Neem 1 letter A tot Z => 26 combinaties
Neem 2 letters A tot Z => AA tot ZZ is 26 combinaties maar je kan ook AB, AC, AD, EF etc nemen, daarnaast kan je ook gewoon 1 letter nemen. Dat levert je 702 lettercombinaties op.

Is dus allesbehalve dat je maal 2 mag doen. In dit geval van 1024 naar 2048 mag je maal 4 doen.
Een verhoging van 1024 naar 1025 geeft al een verdubbeling.
De formule die gehanteerd wordt is 2^x waar x het aantal bits is. Reken zelf maar na.
en vervolgens bouwt de NSA weer een data center bij op de kosten van de belastingbetalers
om die nieuwe middelen weer te onderscheppen

jaarlijks gaan miljarden aan euros en dollars verloren omdat we allemaal ons zo willen afschermen
en dan smijten meerdere regeringen hier een kwak geld tegen om dit weer te onderscheppen

terwijl de bedoelingen wel goed zijn maar men helpt terroristen, criminelen ook langs deze kant door anoniemiteit aan te bieden

Op dit item kan niet meer gereageerd worden.