Pornhub决定创建Tor镜像站点，以帮助保护LGBT用户的色情观看习惯，在某些国家，其性偏爱可能被定为犯罪。 想要将您的成人在线活动保密吗？好吧，好消息：Pornhub现在可以在暗网上找到。 Pornhub创建了一个Tor镜像站点，可以从http://pornhubthbh7ap3u.onion/访问。访问该链接将需要Tor浏览器，该浏览器可以帮助匿名化您的Web流量，并阻止Internet服务提供商和政府监听来跟踪您的活动。 Pornhub说，它创建了Tor网站，以保护LGBT用户的观看色情习惯，在某些国家，其性偏爱可能被定为犯罪。Pornhub副总裁Corey Price在一份声明中说：“随着恶意的黑客和破坏性监视行为日益引起人们的关注，我们必须建立内部保护措施，以帮助匿名用户的在线活动和交流，这一点很重要。” 如果政府选择阻止主要的Pornhub网站，则可以使用Tor镜像作为替代方案。这就是多年来，包括Facebook，《纽约时报》和BBC在内的其他公司也推出了自己的Tor镜子的原因。 为了匿名您的活动，Tor浏览器通过全球范围内由志愿者操作的服务器网络来引导您的连接。不利的一面是，由于您的流量正在各个网络节点上传输，因此在Tor上进行网络冲浪可能会变慢。因此不建议不耐烦的人使用。

互联网浩瀚无边。成千上万的网页、数据库和服务器日以继夜地运行着。但在这其中，我们所说的“可见”互联网（表面网），也就是能够使用类似 Google 和 Yahoo 这样的搜索引擎找到的网站只是冰山一角。在这表面之下的，就是占全部网站近 90% 的深网。据 ZDNet 指出，事实上，这种隐藏的网络实在太过广博，以至于不可能确切地知道在任何一个时间点同时活跃着多少个网页或网站。这个网络曾是黑客、执法人员和罪犯的领地。但是，类似加密和匿名化浏览器软件、Tor（洋葱路由）等新技术的诞生，使得任何感兴趣的人都有可能对其进行深入的探索。 深/暗网的定义 围绕这个不可见的网络，存在着大量名词术语，但如果您打算逛逛这片人迹罕至的区域，就有必要知道它们之间有何区别。根据 PC Advisor 的术语定义，“Deep Web（深网）”指的是所有无法被搜索引擎识别的网页。而“Dark Web（暗网）”指的则是带有犯罪意图或非法内容的网站，以及能供用户购买非法的商品或服务的“交易”网站。换言之，深网涵盖了表面之下的一切，只要用对软件，就能顺利访问深网，包括其中的暗网在内。除此之外还有第三个术语：“Dark Internet”，指的是即使使用 Tor，也无法通过公共互联网连接进行访问的网站和数据库。Dark Internet 的网站通常被企业或研究人员用来为敏感信息保密。 尽管许多新闻媒体会将“深网”和“暗网”当做两个可互换使用的词，但值得注意的是，大部分深网实际上是正当的。从还在审查中的博客文章，到重新设计后仍处于测试阶段的网页，再到您在网上办理银行业务时访问的页面，这些全都是深网的一部分，并且不会对您的计算机或整体安全造成任何威胁。据 CNN Money 表示，大型搜索引擎就如同漂浮在水面的渔船，只能“抓取”靠近表面的网站。 而所有其他内容都无法触及，从学术期刊到私人数据库，再到更多不正当的内容。 访问 大多数想要访问深网的人都会使用 Tor，一项最初由 United States Naval Research Laboratory（美国海军研究实验室）开发的服务。您可以将 Tor 看做像 Google Chrome 或 Firefox 一样的网络浏览器。其主要区别就在于，Tor 浏览器不会选择您的计算机与网络深处之间最直接的那条路线，而是会使用加密服务器的随机路径，也就是我们所说的“节点”。这样，用户就能连接到深网，而不必担心他们的行动受到跟踪或是暴露他们的浏览器历史记录。深网中的网站也会使用 Tor（或类似的软件，如 I2P）来保持匿名，这就意味着您将无从知道它们的操作者或托管地点。 现在，很多用户都会利用 Tor 来同时浏览公共互联网和深网。有些人只是单纯地不想让政府机构甚至互联网服务提供商 (ISP) 知道他们在网上看了些什么；而另一些人则是因为别无选择 — 有些用户所在的国家或地区对访问和使用设立了严格的法律，他们往往连公共网站都被禁止访问，因而只能使用 Tor 客户端和虚拟专用网络 (VPN)。对于政府批评者以及其他害怕在真实身份曝光后受到报复的直白发声者来说也是如此。当然，由于罪犯和恶意黑客也喜欢在其遮蔽下行动，匿名也会带来不好的一面。 使用和滥用 对于某些用户来说，深网为其提供了绕过当地限制获取当地所没有的电视或电影服务的机会。而另一些用户则会利用深网下载盗版音乐或获取尚未上映的电影。与此同时，在暗网中，也存在着恐怖、淫秽，或者就是单纯比较古怪的事物。举例来说，据 The Guardian（《卫报》）指出，在暗网中，只要几美元就能买到一条信用卡数据；ZDNet 也指出，只要知道去哪里找，就能在这里找到任何东西，从伪造的公民身份文件到护照，甚至职业杀手服务无一不有。有意者还可以在此获取个人详细信息，并利用它们来勒索普通的互联网用户。在此前 Ashley Madison 的黑客入侵事件中，大量的帐户数据，包括真实的姓名、地址和电话号码，最终都成为了暗网中出售的对象。这就证明，即使您不去蹚暗网的浑水，只要您经常使用的网站遭到黑客入侵，您就可能会有遭遇勒索（或更糟情况）的风险。 此外，毒品也是暗网中一个十分普遍的存在。据 Motherboard 指出，之前经过关闭、恢复、再度关闭然后改名的毒品市场丝绸之路，可以向感兴趣者提供任意数量的任何类型的毒品。与此同时，Business Insider（商业内幕网） 也详细报道了一些可以在深网中找到的奇怪事物，其中包括 DIY 输精管切除术工具包，还有在“寻宝人”于凌晨 3 点接到一个纽约付费电话时达到高潮的虚拟寻宝游戏。

戴上您的潜水面罩，因为我们将深入到深层网上。 我们将要讨论的所有网站只能通过Tor访问。您的常规浏览器将无法打开任何以onion结尾的链接。 如果您还不熟悉.onion网站，请不要担心。我们将带您逐步了解安全浏览互联网这些隐藏部分所需的所有知识。 Best.onion网站-快速指南 ProPublic ProPublic是第一个支持在线隐私并创建其网站的洋葱版本的大型新闻机构。区块链 在Blockchain的secure.onion网站上匿名管理您的加密货币。Sci-Hub Sci-Hub是科学研究的金矿。您可以免费浏览这个庞大的研究论文和学术文章数据库。Facebook 令人惊讶的是，Facebook创建了流行的社交媒体平台的洋葱版。隐藏答案 隐藏答案是一个类似于Yahoo Answers的问答论坛，但完全不受监管。SecureDrop SecureDrop允许您安全地和匿名地向主要新闻机构提交提示和文档。 什么是深网？ 如果您想访问Amazon或Wikipedia之类的网站，即使您不记得确切的URL，也不会遇到任何麻烦。您只需在Google或Bing中键入您要查找的内容，链接就会显示在搜索结果中。 但是，并非每个网站都可以通过这种方式找到。深度网络是互联网上未被搜索引擎索引的任何部分的术语，因此无法通过搜索结果找到。 尽管深层网路听起来令人生畏，但它包含许多平凡的日常网站，例如公司内部网，网络邮件平台和私有数据库。 甚至您个人Google云端硬盘的内容也是深层网络的一部分，因为它们被隐藏在身份验证过程的后面。 在深层网络中是互联网的另一部分，称为暗网。这些网站非常隐蔽，以至于无法使用常规浏览器进行访问。大部分暗网只能使用Tor进行访问。 什么是Tor？ Tor是The Onion Router的缩写，是一种免费的开源软件，结合了全球服务器网络，可帮助您保持匿名在线状态。 当您使用Tor连接到Internet时，您的数据将封装在多层安全加密中。然后，将加密的数据定向到由志愿者操作的，称为节点的服务器随机序列。 您通过的每个节点都解密一个加密层，以了解下一步将流量定向到何处。下一个节点解密下一个加密层，依此类推。The Onion Router的“洋葱”部分来自剥离洋葱等加密层的过程。 Tor的多层加密系统可确保每个志愿服务器都知道您来自哪个节点以及将您发送到哪个节点，但除此之外别无其他。这使您的互联网活动非常难以跟踪。 Tor不仅用于匿名浏览互联网，还用于托管隐藏在多层加密背后的网站。 什么是.onion站点？ 任何属于Tor网络的网站都具有以onion结尾的URL，并且只能使用Tor进行访问。您的常规浏览器将无法查看这些网站。 .onion URL通常看起来与您习惯的URL不同。它们通常很长，复杂且难以记住。一些洋葱网站还定期更改其URL，以最大程度地提高其隐私性。 洋葱网站安全吗？ 尽管Tor旨在保护您的匿名性，但并不能完全保证您的安全或隐私。一方面，您的ISP知道您何时使用Tor来访问Internet。如果您的ISP知道，那么政府也很有可能也知道。 在大多数国家/地区，使用Tor或access.onion网站浏览并非违法。但是，您仍然可以通过隐藏自己的活动来吸引不必要的注意力。 此外，当您使用Tor时，您的流量所经过的一系列节点都是志愿者操作的。您不知道谁在控制这些服务器中的每一个。即使Tor的多层加密系统很强大，它也不是完美的，并且缺少VPN的其他安全功能。 因此，我们强烈建议您在探索.onion网站时与Tor一起使用VPN。 如何安全访问.onion网站 安全访问.onion站点的最佳方法是结合使用Tor和顶级VPN。 一种方法是先简单地连接到您的VPN，然后使用Tor浏览器连接到Tor。如果您还没有Tor浏览器，可以在其官方网站上下载。 此方法称为“ Tor over VPN”。由于您的VPN将立即隐藏您的IP地址并加密您的流量，因此您无需将任何信息透露给Tor网络。 一些VPN提供商还提供内置的Tor服务，使VPN和Tor一起使用更加容易。 还有另一种称为“ VPN over Tor”的方法，但是设置起来有些麻烦。 无论选择哪种方法，最后一步都是相同的。安全地连接到VPN和Tor后，您只需键入或复制.onion URL并将其粘贴到浏览器中即可。 以下是一些技巧，可帮助您在浏览洋葱网站时保持安全： 确保您输入正确的URL。尽管如果您牢固连接，.onion网站也不会对您造成伤害，但您仍然可以找到一些令人沮丧的黑暗事物。在访问a.onion网站之前，最好检查多个来源。注意分享的内容以及与谁互动。黑暗的网络不受监管，这对于打击审查制度和共享信息非常有用，但是这也意味着许多地方被用来进行非法活动。确保您知道要去的地方，并特别注意诈骗者和其他有恶意的人。不要在unknown.onion网站上下载任何文件或启用任何脚本。它们可能包含恶意软件。避免使用Tor2Web之类的代理服务，该服务允许您通过常规浏览器访问.onion网站。它们不安全，甚至可能会窃取或泄露您的数据。 Best.onion网站 这是一些受欢迎且值得信赖的洋葱网站，您可以访问这些网站来体验网络最深层次的内容。 1. ProPublic： https://www.propub3r6espa33w.onion/ ProPublic是第一个发布其网站的洋葱版本的大型新闻机构。这也是第一个获得普利策奖的在线新闻出版物。 这个非营利组织大力倡导隐私和言论自由。新闻机构提供a.onion版本网站的好处在于，它使那些受到严格审查的国家/地区的人们更容易访问真实信息。 2.区块链： https://blockchainbdgpzk.onion/ 您应该非常谨慎地在a.onion网站上购买任何东西，但是如果您打算进行任何购买，则需要使用加密货币。 流行的加密货币服务Blockchain可帮助您匿名发送和接收比特币。他们网站的the.onion版本为您提供了额外的匿名性。 这也是受HTTPS认证保护的为数不多的洋葱网站之一，因此您可以在不损害安全性的情况下管理加密货币。 3. Sci-Hub： http://scihub22266oqcxt.onion/ 创建Sci-Hub的信念是，每个人都应该自由，开放地获取科学知识。该平台托管了数以百万计的有关各种主题的研究论文和学术文章。

当希望在深入了解暗网所提供的内容时保持匿名时，The Onion Router（Tor）是您最安全的选择。Tor浏览器是一款功能强大的免费工具，可用于匿名浏览Internet，您可以在其中使用洋葱域发现各种网站。 如今，匿名似乎正在逐渐消失，互联网服务提供商（ISP）监视着您的一举一动，大型科技网站将您的信息数据出售给出价最高的人。如果您要创建一个新网站，或者即使您碰巧已经拥有一个网站，则值得一看的是，洋葱网站可以为您和您的访客提供什么网站保护。 什么是.onion域名？ .onion域名是一种域名后缀，专用于Tor匿名浏览器。这意味着像Microsoft Edge，Google Chrome和Mozilla Firefox这样的标准浏览器将无法访问使用洋葱域的网站，因为它们无法导航从中创建Tor 的代理服务器的中继。 您可能更熟悉的标准Web域名（例如.com，.org，.biz等）是由互联网名称与数字地址分配机构（ICANN）发行的。用户必须向ICANN提交提案才能注册域或子域，然后才能将其用于新网站。 有成千上万个不同的域，但并非每个想要使用它们的人都可以访问它们。的。苹果域是一个这样的结构域，其需要一个特殊的请求以获得。通常，与注册和维护您选择的域相关的费用。因此，任何想要获得特定域名的人都需要一点先期资金才能在其提交被批准后进行采购。 使用洋葱站点域既有优点也有缺点。更好的功能之一是只能通过Tor浏览器访问它。实际上，这既可以看作是优点，也可以是缺点。 看到Tor不被认为是一种非常流行的浏览器，使用洋葱域的网站很可能不会看到太多的自然流量。但是，精通安全和关心的个人会喜欢Tor提供的众多匿名层，而这些层在更流行的浏览器中不可用。 为什么要创建洋葱站点？ 当您选择创建一个洋葱站点时，匿名性比其他任何事情都要多。因此，为您自动生成域名时，不要感到意外。您会收到一个随机字符串，由16个小写字母和2到7之间的数字组成。此字符串将使Tor浏览器能够导航到您的服务器。 了解域名可以更改，但需要付费。您想要创建的任何虚构域（带有一个或多个可识别的词）将在计算上昂贵且需要大量资源。Facebook仅需要8个字符即可创建自己选择的洋葱域– facebookcorewwwi.onion –但要花大量的计算机资源。要获得域名所需的确切16个字符，可以使用一台计算机，将数据随机化超过十亿年。 是的，这些随机字符串可以产生16个字符。不多不少。这通常会导致难以记住字符串，从而使用户更难以记住您的网站。它还可以使恶意用户更容易创建相似但不同的域，从而使您的潜在访问者更加困惑。 但是，不必仅仅为了创建自己的域名而向ICANN注册，就可以视为一种特权。无需在“ whois”搜索中隐藏您的详细信息，并且您的ICANN帐户将不会受到恶意收购的攻击。作为洋葱用户，您可以完全控制自己的隐私和域。 在继续创建自己的洋葱网站之前，请确保您知道如何安全地访问暗网。在创建自己的洋葱站点之前，还必须运行隐私工具。了解前提条件后，您可以继续下一节。 用Tor创建Web服务器 您需要先配置现有的Web服务器，然后才能允许Tor的洋葱服务为现有的Web服务器提供一个洋葱域。如果您的服务器泄漏个人数据或信息，那么Tor提供的强大匿名功能并没有多大用处。 Tor建议将您的服务器绑定到本地主机。这对于保护您的真实IP地址非常有用，因为当您稍后设置洋葱服务时，您将能够创建供访客连接的虚拟端口。 您还希望将可能导致您回头的所有识别信息清除到服务器中。这意味着从可能发送给访问者的任何错误消息中删除对服务器信息的任何引用。 配置服务器的洋葱服务 只要您遵循Tor项目网站上的说明，此过程就非常简单。该站点将提供有关如何修改“ torrc”文件以创建洋葱服务器的更多详细信息。确保Tor在计算机上启动并正在运行，并确保在本地安装Web服务器，如上一节所述。 设置完成后，打开Tor浏览器以为您的网站生成一个公共密钥或域。不过，您可以将这个密钥分发给您想要访问网站以开始发展流量的任何人。 确保您共享的密钥是公共密钥，而不是私有密钥。确保私钥仅供您使用，以确保您的网站和访问者的安全。

英国广播公司已通过Tor网络提供其国际新闻网站，以阻止审查制度。 Tor浏览器是用于访问暗网的注重隐私的软件。 浏览器可以掩盖谁在使用它以及正在访问什么数据，这可以帮助人们避免政府的监视和检查。 包括中国，伊朗和越南在内的国家试图阻止访问BBC新闻网站或节目。 Tor浏览器的用户可以访问新的bbcnewsv2vjtpsuy.onion网站，而不必访问bbc.co.uk/news或bbc.com/news。单击此网址将无法在常规的网络浏览器中使用。 从英国以外的地区来看，BBC新闻网站的深色网络版将是国际版。 它将包括外语服务，例如BBC阿拉伯语，BBC波斯语和BBC俄语。 但是由于广播权，仅英国的内容和服务（例如BBC iPlayer）将无法访问。 什么是Tor？ Tor是一种访问Internet的方式，需要使用称为Tor浏览器的软件才能使用它。 该名称是The Onion Router的首字母缩写。就像蔬菜有很多层一样，网络上也有许多加密层。 它最初是由美国海军研究实验室设计的，并继续获得美国国务院的资助。 它试图通过包含多个“节点”的非常circuit回的路线在互联网上发送数据来隐藏一个人的位置和身份-在这种情况下，这意味着使用志愿者的PC和计算机服务器作为连接点。 沿此路径在每个跃点上应用的加密使将人连接到任何特定活动变得非常困难。 对于最终接收到请求的网站，似乎数据流量来自链中的最后一台计算机（称为“出口节点”）而不是负责人。 图像标题Tor通过通过一系列其他计算机路由用户的流量来隐藏用户的身份 除了允许用户匿名访问普通网站外，它还可以用作托管使用.onion后缀的隐藏网站的过程的一部分。 Tor的用户包括军方，执法人员和新闻工作者，以及希望对浏览器活动保密的公众人士。 但这也与非法活动有关，它使人们可以访问提供非法药物出售的网站，并访问虐待儿童的图像，这些图像不会出现在正常的搜索引擎结果中，并且不知道该在何处看。 尽管可以使用Tor浏览器访问BBC新闻网站的常规版本，但使用.onion网站还有其他好处。 伦敦大学学院的网络安全专家史蒂芬·默多克（Steven Murdoch）教授解释说：“洋葱服务减轻了稀缺的出口节点的负担，保留了端到端的加密（并且）具有自认证功能的域名可以防止欺骗。” 英国广播公司在一份声明中说：“现在，Tor网络上的BBC世界服务的新闻内容可供居住在受BBC新闻阻止或限制的国家/地区的听众使用。这符合英国广播公司世界服务提供可信赖的使命。世界各地的新闻。” 英国广播公司周三还宣布了英国首个针对智能扬声器的交互式语音新闻服务。 使用Amazon Alexa驱动的设备的人们将可以跳过并获得有关他们最感兴趣的故事的更多信息。

如果您对Tor浏览器感到好奇，那么您已经知道在线隐私和匿名性有多重要。是的，Tor浏览器是一个很棒的工具，可以帮助您保持安全。但是，关于它的优缺点，尤其是关于它与VPN的关系，存在很多困惑。 本指南将回答这些问题以及更多内容。我们将解释这个功能强大的工具的工作原理，以及在确定是否适合您时应考虑的因素。 什么是Tor浏览器？ Tor浏览器在许多方面类似于普通的Web浏览器。使用起来并不比Google Chrome或Microsoft Edge难。区别在于Tor浏览器通过Tor网络将您连接到Internet。 Tor是免费的开放源代码软件，可帮助您保持匿名在线状态。当您使用Tor浏览器浏览Internet时，为了保护您的位置和身份，在到达最终目的地之前，您的流量会随机通过服务器网络定向。 名称“ Tor”是洋葱路由器的简称。这是指Tor通过将数据包装在洋葱等多层加密中来保护数据的方式。 Tor浏览器是VPN吗？ Tor浏览器和VPN都是在线保护您的隐私的工具。但是，它们不是同一回事。它们是两种非常不同的技术，以不同的方式保护您。 使用VPN时，所有数据都通过端到端加密进行保护。然后，通过安全通道将其定向到远程服务器，该服务器将您连接到您尝试访问的网站。 Tor浏览器以另一种方式保护您的隐私，下面将对此进行说明。 重要的是Tor浏览器不是VPN，但是您可以将这两个工具结合使用以最大程度地提高安全性和隐私性。 Tor浏览器如何工作？ 尽管浏览器背后有复杂的系统，但实际上它非常易于使用。您只需下载并安装Tor浏览器，然后像使用任何其他浏览器一样连接到Internet。 Tor使用由美国海军开发的独特系统来保护政府情报通信。 您的数据在进入Tor网络之前被捆绑成加密的数据包层。然后将其路由到一系列称为节点或中继的志愿者操作的服务器上。 每次数据通过这些中继器之一时，都会删除一层加密以显示下一个中继器的位置。当您到达路径上的最终中继站（称为出口节点）时，将删除最后一层加密，并将您的数据发送到其最终目的地。 每个中继仅解密足够的数据以知道上一个和下一个中继的位置。由于每个路径都是随机生成的，并且没有一个中继保留记录，因此几乎不可能通过Tor的复杂网络将您的活动回溯到您。 Tor浏览器的安全性如何？ Tor浏览器在隐藏您的位置并防止跟踪您的流量方面非常有效。您的在线活动几乎不可能通过Tor的网络追溯到您。 但是，Tor浏览器并不完全安全。该系统有一些缺点。由于Tor网络中的每个服务器都是志愿者操作的，因此您永远都不知道谁在中继您的数据。 通常，这不是问题，因为每个中继只能访问上一个和下一个中继的位置（出口节点除外）。 出口节点将删除数据的最后一层加密。它无法访问您的原始位置或IP地址，但是如果您访问不安全的HTTP网站，则退出节点可能会监视您的活动。 Tor浏览器也容易受到与其他浏览器相同的攻击。如果您想保持匿名，最好关闭浏览器的插件和脚本，因为可以利用这些插件和脚本来泄露IP地址等信息。 Tor浏览器的缺点是什么？ 使用Tor浏览器的最大缺点是速度。由于您的数据在到达最终目的地之前必须经过多个中继，因此浏览速度可能非常慢。 Tor浏览器不是流和下载的最佳选择，它的创建者也 强烈反对使用torrent。洪流不仅令人痛苦地缓慢，而且洪流流量将不受保护，并可能暴露您的IP地址。 如果您正在寻找一种流媒体或洪流的方法，VPN是更好的保护。 使用Tor浏览器的另一个缺点是它会引起您的注意。您的ISP看不到您在做什么，但可以看到您已连接到Tor。这本身足以引起人们对您正在做的事情的怀疑。 即使您仅使用Tor浏览器合法地浏览Internet，但实际上您连接到Tor都可能使您成为政府监视的目标。美国国家安全局（NSA）和联邦调查局（FBI）等美国政府机构投入大量资金，试图找到跟踪Tor用户活动的方式。 在VPN中使用Tor浏览器 Tor浏览器是一种有效的工具，但没有提供与VPN相同级别的安全性。幸运的是，您不必在两者之间进行选择。您可以将Tor浏览器和VPN结合使用，以组合其功能并最大程度地保护您的隐私。 有两种主要的方式来Tor的浏览器和VPN结合起来。我们将向您介绍这两种方法，并说明每种方法的利弊。 通过VPN Tor 使用这种方法，您可以先连接到VPN，然后再访问Tor网络。该方法有很多优点，首先是非常简单的事实。您 只需连接到VPN，然后打开Tor浏览器。 在大多数情况下，此配置可提供足够的安全性和隐私权来保护您。 某些VPN通过提供内置的Tor服务使其变得更加容易。 相反，NordVPN可以通过其安全的VPN服务器之一路由您的流量，然后直接将其路由到Tor网络。NordVPN服务可以保护您设备上的所有流量，而不仅仅是浏览器活动。 Tor over VPN的另一个好处是，您的所有数据在进入Tor网络之前都已由VPN安全地加密。这意味着Tor的志愿者服务器无法访问您的真实IP地址。 由于VPN会对您的ISP隐藏您的活动，因此在访问Tor之前连接到VPN也可以防止您的ISP检测到您对Tor的使用。 Tor over VPN还为您提供了VPN提供商的隐私保护措施，因为他们无法看到您在Tor网络中正在做什么。另一方面，如果您的VPN提供商保留了您的活动日志，那么Tor over VPN不会隐藏您的真实IP地址或您正在使用Tor的事实。 这种方法的另一个缺点是，它无法保护您免受恶意出口节点的侵害，因为在到达最终目的地之前，您的流量是未加密的。 通过Tor的VPN 使用这种方法，您可以先连接到Tor网络，然后再通过VPN。这种方法比Tor over VPN 更复杂，因为在大多数情况下，您必须手动配置VPN才能以这种方式与Tor一起使用。 与Tor相比，VPN的最大好处是可以保护您 免受Tor出口节点的攻击。您的流量不是直接从出口节点流到最终目的地，而是从出口节点路由到安全VPN服务器。 这就是为什么此配置非常适合传达敏感信息的原因。 缺点是，尽管您的活动将被隐藏，但您的ISP（以及政府机构）也将能够看到您正在使用Tor。 这种方法还可以使您的真实IP地址对VPN提供商隐藏。但是，对于透明的无日志记录VPN，您不必这样做。

洋葱TLS / SSL证书更新 EV证书可验证网站：它们在网络用户需要知道与谁进行通信的任何情况下都很有用，但是对于onion网站使用名称作为公钥的base32表示形式（例如swursuzpievjanml.onion-结果，EV证书是唯一用于洋葱的证书。甚至虚荣的前缀仍然可以由任何人谁希望该前缀，使用一组不同的尾部字符的产生。因此，将网站与公司，慈善机构，个人独资经营者或其他法律实体联系起来的做法很有用。 我们最近对包含.onion名称的证书的处理方式进行了一些更改，值得在此处进行讨论： 整个CertSimple中允许通配符用于洋葱证书 与常规EV证书不同，常规的EV证书必须由人来审核每个域，因此不允许使用通配符，而洋葱EV证书则允许使用通配符。以前，客户必须通过电子邮件向我们发送有关洋葱通配符的信息，然后我们将其手动添加到证书中，我们的订购和证书管理平台现已更新，可以在任何.onion站点上接受通配符。 无需为当前洋葱指定完整的公钥 老一代的洋葱站点使用SHA1作为哈希方案。SHA1现在被普遍认为已损坏，因此缓解措施的一部分是在证书本身内部包含完整的pubkey副本，以防止它通过SHA1冲突而被用于另一个站点。使用较早版本站点的客户必须分别向我们发送完整的公钥电子邮件给我们，而不是申请证书。 像Ablative这样的新一代洋葱站点不使用SHA1，因此不需要额外的字段。虽然我们建议使用当前的洋葱名称，但如果需要，我们仍然支持以前的洋葱。 证书（包括洋葱站点）没有2年选项 当为新的EV证书检测到任何洋葱域时，UI会将证书的生存期限制为一年，因为.onion证书的最大生存期为一年。 目前为止就这样了 我们还将很快推出更多洋葱更换方法。我们始终对社区的反馈或改进我们验证过程的新方法感兴趣，因此请告知我们您的想法。

近日，涉及国内多家银行数百万条客户数据资料、在暗网被标价兜售的消息广为流传。 尽管涉事各家银行进行数据比对核查之后，均否认了被兜售的数据资料包真实性。但是，牵涉面甚广的庞大的金融数据，尤其是银行用户涉敏信息的如何保障安全性，仍持续在行业引发关注、研讨。 尤其是，伴随银行线下业务线上化、与流量方边界日益拓宽等新变化，泄密在前端、在外包管理领域，也给银行数据安全管理带来新挑战。截至2019年底，我国开立银行账户113.52亿户、全国人均拥有银行账户数达8.09户，这些账户安全谁来守护？ 这次疑涉百万条客户数据被盗卖的消息，神秘交易地“暗网”浮出水面，再次让更多人关注起这个通过特殊技术手段才可登入的秘境。 而更多人不知道的是，“你看到的只是冰山一角，暗网交易的信息非常非常多，金融相关信息可以占到7成以上。”通过连日多方采访，券商中国记者试图还原一组金融数据是如何被盗取、流入暗网、被谁交易售出、由谁流出市场的暗网链条。 百万条用户资料被“白菜价”非法甩卖？ 银行：与真实数据不符 涉及国内多家银行数百万条客户数据资料，在暗网被标价兜售，连日来引发行业广泛关注。4月15日，一位金融安全技术人士向券商中国记者证实了在暗网看到该条盗卖信息。 从数据安全人士此前发布的相关截图来看：被售卖信息里包含了大规模的金融机构客户数据泄露，其中涉及上海银行80.3155万条、浦发银行10万条、招商银行上海分行6.3万条、中国农业银行90万条、兴业银行46万条客户资料，其中既有储蓄账户、也有信用卡账户及私行理财账户，含客户姓名、客户类型、性别年龄、手机号码、开户账号、住址邮编、存款数据等信息。 此外，还包括经过初步分类的20万条企业代表资料，包含公司名称、注册资本、企业经营范围等。需指出的是，该部分信息多为公开可获取信息。 “46万条银行信用卡客户数据标价不到100美元，90万条数据标价只卖3999美元（折合人民币约2.8万元），简直是‘白菜价’；如果是真实数据，这么庞大的数据量实际售价至少10倍以上。”一位大数据行业风控总监向券商中国记者评价，尽管截图显示的样例数据非常详尽，但这么大的数据量价格却低得离谱，盗卖数据是不是真的、可信度要打个问号。 为了核实上述情况，记者也第一时间联系了涉事银行，各家银行相对一致态度是：经过核查比对，与真实数据信息不符；不排除不法分子将不明来源数据冠以金融机构名义兜售，以牟取非法利益。 兴业银行相关负责人回复，“所谓的‘兴业银行信用卡客户信息’与我行真实的客户信息要素并不吻合，不排除系不法分子伪造、售卖所谓银行客户信息牟取不当利益。” 招商银行方面人士告诉记者，“经比对相关数据，与我行真实客户信息并不吻合，网络上的信息不属实。我行谴责任何伪造并贩卖公民信息的犯罪行为，并保留追究损害我行声誉法律责任的权利。” 浦发银行方面回应称，“经排查比对，相关数据无我行账户信息，且与我行客户信息要素不符。” 上海银行相关人士回应记者称，“进行了详细比对，发现其所谓客户信息中并无我行银行账户信息，且与我行真实客户信息关键要素并不匹配。可认定该贩卖信息非我行泄露数据，不排除系不法分子为牟取不当利益伪造、拼凑、出售所谓银行的客户信息。” 全国开立银行账户达113.5亿 谁在守护安全？ 百万条被兜售的数据资料包尽管真实性被驳，但庞大的金融数据尤其是银行用户涉敏信息的安全性如何保障？已足够引起行业及监管对金融数据安全的重视。 央行统计显示，银行账户数量稳步增长，截至2019年末，全国共开立银行账户113.52亿户、同比增长12.07%，其中，全国开立单位银行账户6836.87万户、同比增长11.73%，个人银行账户112.84亿户，同比增长12.07%，全国人均拥有银行账户数达8.09户。 为业界所公认的是，金融行业尤其是银行业是风控建设最好的行业，其中信息科技领域的风控建设和落地水平远高于其他行业。依据银保监会“商业银行信息科技风险管理指引”，银行业有严格的风控建设体系和风控监督体系，有严谨的风险控制点的识别、评价、处置、跟踪机制。 “银行业信息科技风控要求较高，需要符合国内外风控管理要求，包括商业银行信息科技风险管理指引、巴萨尔协议、塞班斯法案等。”腾讯安全数据安全团队负责人彭思翔告诉记者。 杭州某大型技术公司金融事业部总经理曾负责过银行物联网解决方案，涉及到数据服务采集业务，他向记者举例，“设备采集的信息一般会保存在当地银行机构，在信息保存、传输安全性方面，一方面是，银行本身设有专网，内网、外网隔开，还有硬件设施方面的防火墙设置防护；另一方面，各家银行内部有各个层级对安全认证的严格复核管理。” “银行的IT系统不具备大规模向外泄露数据的可能性。”一家股份行风险管理部门总监向券商中国记者分析，“按银保监会的相关规定，银行业IT系统基本分为：生产域、测试域、互联网域等，其中，三个域之间的数据传输收到严格限制。只有在生产域才能看到数据的全貌，测试域只有用于测试的数据，有数据量和脱敏的相关要求，互联网域基本没有客户信息。从技术上、系统上，大规模数据外泄讲不通。” DataVisor黑产研究专家、高级技术经理周君桢的看法类似，金融机构尤其是银行的安全风险等级最为严格，一方面是监管要求高、管理严；另一方面是业务属性决定，对于银行来说，客户账户信息是核心商业价值要素之一，银行会投入大量人力、物力做相关保障，大中型银行也具备强大技术团队和实力。 流量经济爆发的安全新挑战：泄密在前端 从近期发布的国有六大行年报来看，其中有四家2019年科技投入总金额突破百亿元，最高的建设银行投入176.33亿元；截至2019年末，工商银行金融科技人员规模多达3.48万名、在全员占比高达7.82%，其次是建设银行、交通银行、中国银行、农业银行金融科技人员占比分别为2.75%、4.05%、2.58%、1.58%。 银行加大科技投入、科技人员扩容规模空前。然而，银行数据涉密各个环节，尽管被最高等级的风险防护，仍难有万全之说。 首先是不同金融机构之间、金融机构内部之间的安全能力有差异。“大中型的金融机构风险等级高，但是一些分支机构风险能力就较弱，可能账户密码保护不严密。一些地下灰黑产业，就会有组织、有目的性地去攻击，抓住一些系统平台存在的漏洞。”周君桢介绍。 “银行的风控水平并不是一碗水端平。”上述股份行智能风控中心总监直言，“有的银行风控水平高、有的银行风控水平低，实力强的银行所有的模型都是行内专业人员建模；但是对于部分地方偏远地区的银行等，缺乏高端数据专业人才，只能通过外包方式去建模型。甚至部分不具备技术能力的银行直接拿过来就用一些第三方公司流量数据，这些数据包括身份认证三要素和部分行为特征，但是往往这类数据可能在使用前已经可能被泄密了。” “泄密环节出在前端。”——在数位金融机构风控资深从业人士看来，这是伴随着近几年的银行线下业务线上化，在风险防控上一个更应该引起行业注意的新变化。 在彭思翔看来，银行数据泄露可能发生的场景，除了信息科技运行领域访问控制策略不当，开发、测试和维护领域三个环节未分离或分离后数据未脱敏，以及信息安全领域系统漏洞之外，其中一个重要的方面就发生在“外包管理领域”，“特别是对外包研发、测试的管理不当。生产环境暴露、数据库过度授权，都会引起数据泄露。” “因为行业业务属性不同，银行的IT系统和互联网公司之间，往往有代际差异。”该股份行智能风控中心总监向记者举例。“比如面对一个互联网流量平台采用流量分发模型，100万客户分发给数十家不同的银行，与之相应的，银行与之对接的是流量准入模型；很天然地，这两个模型之间是对抗关系，准入模型希望准入更多，而分发模型希望筛掉更多；在现实情况中，相比互联网公司，银行IT系统灵活度、可使用工具、覆盖的行为数据数等，都处于相对劣势。” “今后银行数据风控管理必将趋严” “为促进金融行业健康发展与风险控制，监管层已经通过发布监管指引并将数据治理与监管评级挂钩的方式，来提高银行业对数据治理工作的重视，不管有没有出现这次的事件，银行今后数据风控管理上必将是趋严的。”数位银行业内人士均认为，尽管这次盗卖数据真实性存疑，但它后续仍然会也业务层面产生影响。 2018年5月，银保监会发布《银行业金融机构数据治理指引》，旨在引导银行业金融机构加强数据治理。去年12月，金融业移动金融APP备案首批试点开启，首批23家试点备案名单中就有16家银行，含5家国有大行、5家股份行、3家城商行、2家农商行、1家农信联社，涉及提升安全防护、加强个人金融信息保护、提高风险监测能力、健全投诉处理机制、强化行业自律5个方面，并划定了涉及个人金融信息采集、使用、留存等方面四大红线。 事实上，银行数据管理趋严背后，是国家层面对个人信息数据管理工作地系统性出击。去年下半年，工信部等数次公开点名批评百余款应用软件及其运营企业，涉及未经用户同意超范围及非必要使用个人信息等违规情形。 券商中国记者注意到，去年5月份到8月份，监管部门密集出台了关于数据安全管理办法、APP违规收集使用个人信息行为认定方法等多项征求意见稿及草案。这也和上述数位银行业人士的判断类似，当前央行对银行数据治理指引已经非常详尽，未来的变化更多出现在相关立法层面。 “在数据确权、数据治理上，中国有着绝对的优势，将是一个世界性的数据资产大国。”京东数科数字技术中心数据资产部总经理张旭认为，数据资产是银行的核心资产，是政府安保数据之外最值得信赖的数据，但数据向前发展必然面临着确权，以及海量数据在手之后如何通过人工智能等新技术做深度挖掘、开发应用。 “从大环境的导向来看，为业内普遍认同的是，监管曾仍然鼓励在合规前提下推动金融机构数据高质量发展，比如与各类政务数据互联互通，建立跨区域的数据融合应用等。”苏宁金融研究院院长助理薛洪言接受券商中国记者采访时称。 庞大数据黑色交易网：金融相关占比7成以上 “暗网售卖数据是有组织严密的产业链，窃取售卖数据是黑产中隐藏最深的、历史最悠久的、最成熟的变现方式。”腾讯安全数据安全团队负责人彭思翔直言。 2018年被业内认为是数据保护的元年，却也是数据泄露的灰色之年。当年3月，Facebook被曝8700多万条用户数据泄露、遭遇其有史以来最大型数据泄露危机。而在国内，2018年初有国内某评价连锁酒店传出涉及5亿条顾客隐私数据在暗网贩卖；今年3月，国内某APP发生信息泄露，在暗网上被以“5.38亿用户绑定手机号数据，其中1.72亿有账号基本信息”的名义进行售卖。 近年来频繁爆发重大企业信息资料或用户数据泄漏事件，让暗网这个“地下黑市”逐渐被社会所认知。 “暗网，可以简单理解为互联网的一个地址，有一定技术手段都可以访问。最大特性是匿名平台，很难追溯，匿名传输，匿名货币交易。”周君桢告诉记者，“市场规模很难统计，你看到的只是冰山一角，暗网交易的信息非常非常多。” 而他注意到一个明显的变化是，从2018年以来，随着传统金融数字化转型的加速，银行、证券、保险尤其是互联网金融等类型金融数据明显增多，诸多信息经常在暗网上被倒卖，“金融相关的数据情报数据占到7成以上，尤其涉及金融属性的个人隐私信息，如金融开户信息，信用卡等，国内国外同样如此。” 腾讯安全报告从2018年暗网数据交易的情况（抽样数据）来看，帐号/邮箱类数据、个人信息、网购/物流数据、银行数据、网贷数据位列前五，分别占比为19.78%、12.19%、9.69%、9.02%和8.3%，其它还有博彩数据、股市数据、企业工商数据等信息。 2018年暗网交易数据分布占比情况 来源：腾讯安全 彭思翔介绍，黑产者盗取数据的具体手段包括技术入侵、社会工程学及APT攻击，也形成了脱、洗、撞三步循环的模式，“脱库是指入侵有价值的企业，把数据库全部盗走；洗库指对数据初步清洗，拿到其中最有价值的数据去变现；撞库指清洗后发现可以继续利用的数据，会到别的应用、企业继续尝试渗透脱库，形成循环操作模式，一个企业或者一个行业的数据将全部被获取。” 比如，银行业里储存了大量用户敏感信息且又全又准确，而银行开展了大量业务应用、更新速度快，这又带来攻击面大、窗口多，但银行又很难做到滴水不漏的防护，“这就会成为黑产重点攻击的目标。” 由谁卖出、被谁买入 不少人有类似的经历：在某银行刚办理按揭贷款，随后不断收到各类第三方平台的信贷类、消费类营销电话和短信。 “这是典型的个人信息泄露的情况，比如房贷办理需书面填写较多个人信息，不排除有机构人员或信息接触者将信息留存在转手倒卖，比如一些信息中介或金融代理机构，联合第三方营销推广平台的惯用操作手法。”周君桢解释，“不过，相比这类信息泄露，暗网更多是有组织、有目标的盗取、买卖。” “早期一般一个团队或者单人来完成，但是目前已经完全产业化、专业化，固定的团队进行脱库，再卖给洗库团队，再卖给撞库团队，互不干涉，通过虚拟化货币交割，追查极其困难。”彭思翔告诉记者，“绝大部分被盗数据不会公开出来，而是进入到秘密交易环节，作用在特定的场景中，如竞争对手战略分析、同业用户争夺、上下游业务定推等，此类秘密交易也可称为定制化数据交易，特点是数据只卖一次或在某个时间窗口禁售，而公开在暗网交易的数据是多次多家进行贩售。” 而在买方上，“更多不是在个人论坛卖，往往是卖给专业信息商或数据商，后者对数据加工、匹配、拼接，数据完整性会更好，层层转包、价值会更高。”周君桢介绍，通过数据加工完善，信息精准度明显提高，国内的电信诈骗、国外的信用卡盗刷往往由此。 另一特征是其全球化趋势，全球都存在数据黑产，且成为数据跨境非法流动的主要渠道。“如非洲国家的个人信息，被不法代理用于亚马逊用户注册，进行欺诈和作弊行为。”彭思翔介绍，黑客会把数据进行整理并相互交流、形成黑产的大数据服务商，具体来讲就是社工库，在利益的驱使下，黑产向大数据服务和基础设施建设等大规模、高技术发展，这也给数据安全的治理加大了挑战难度。 三大变现途径：精准诈骗、撞库攻击、撒网式诈骗 截至2019年末，中国网民数达8.29亿，手机网民规模达到8.17亿，在网民总数中的占比提升至98.6%；数字经济渗透在社会生活方方面面，个人的数据轨迹也无处不在。 暗流涌动的黑市交易侵蚀着用户隐私，而被盗取贩卖隐私数据在直接变现以外，黑产从业者往往还会被利用购得数据进行精准诈骗等犯罪行为，进一步损害个人权益。 腾讯安全报告统计，信息泄露催生三大变现途径：精准诈骗、撞库攻击以及撒网式诈骗。 一个写在腾讯安全报告的案例是，网购用户买完东西后，收到热心“客服”的电话，“客服”以质量问题、物流问题等事由，发送一个退款网页链接或二维码，用户按照提示操作即可退还高于购物款的退款或退款保证金，之后“客服”会进一步引导用户把多收到的钱退还给网店。 而很多人不知道的是，这是诈骗者通过暗网等获得网购用户详细信息后进行的针对性电信诈骗。用户收到的款项其实是一些正规的贷款平台的快速贷款，诈骗者利用网银或第三方支付平台上快速授信贷款等服务，误导用户从贷款平台贷款、然后将“多余”的款项打回诈骗者的网络帐户。 “购物退款”诈骗作案流程示意，来自腾讯安全报告 腾讯安全报告指出，包括“购物退款”、冒充“公检法”、“发放助学金”、“航班取消”、“二胎生育退费”、“交通违章提醒”、“积分兑换现金”等精准诈骗行为，均是诈骗者基于个人信息特点精心设计的具有针对性的诈骗剧本。 此外，近四年来，撞库攻击催化信息泄露在全球呈裂变式增长，这种恶意登陆更多是撞库和扫号的攻击。“从个人角度，需要提高防护意识，从业务必要性的角度看是否给出授权信息；个人在使用金融账户时，建议不同账户使用不同密码，避免被有的技术公司利用信息进行撞库，带来资料泄露风险。”周君桢说。 彭思翔也建议，个人密码定期更换、一个密码最长使用时间不超过6个月；加密自己的终端设备，包括电脑、手机、硬盘；仔细查看服务提供商的隐私协议，对不合理条款提出质疑。 “当前一些高端的数据盗窃团伙不会再接一般的数据定制需求，而是专注在变现能力更强的金融诈骗。”彭思翔告诉券商中国记者，随着越来越多的终端支付和丰富的网络电商活动，涉金融的数据安全管理形势并不乐观，也因此这也成为当前多国关注和管控的重点。

我们最近提出了大量有关如何为.onion地址获取SSL证书的问题。该博客文章应提供有关.onion证书查询的基本答案。 背景 截至9月，.onion被IESG 确认为特殊用途域，这意味着它们可以使用SSL证书进行保护。（以前.onion被视为内部名称。）公众信任的证书向Tor用户验证组织，并且是对抗网络钓鱼和MITM攻击的重要组成部分。CA / B论坛概述了审核.onion名称的准则，您可以在此处阅读。 .Onion网站可用的证书 Tor项目致力于帮助用户匿名浏览Web。但是，获得SSL证书向用户 标识自己（或组织）与匿名无关。这使得为​​.onion站点订购SSL证书变得很复杂，这就是DigiCert遵守CA.B 论坛.onion证书指南的原因。订购.onion证书时，请确保记住以下几点： EV证书： DigiCert仅提供.onion地址的扩展验证证书。通配符名称：这些.onion EV证书有一个独特的用例，允许使用通配符名称（例如* .yourdomain.onion）。有效期：根据CA / B论坛指南，.onion证书的有效期不超过15个月。（DigiCert系统将根据应用程序将有效期自动调整为15个月，以确保.onion通用名称。） 如何为。洋葱地址订购证书 要为您的.onion网站购买证书，只需订购EV SSL或EV多域SSL证书并填写 订购表。

为了继续保护用户隐私，我们推出了Tor隐藏服务，以打击对ProtonMail用户的审查和监视。 在过去的两年中，ProtonMail取得了巨大的发展，尤其是在最近的美国大选之后。今天，我们已经成为拥有200万用户的全球最大的加密电子邮件服务。自从我们的用户社区最初对该项目进行众筹以来，我们已经走了很长一段路。今天的ProtonMail的范围比我们的创始团队在2013年CERN见面时的最初设想要大得多。 随着ProtonMail的发展，我们周围的世界也在发生变化。公民自由在全球各个角落越来越受到限制。甚至美国这样的西方民主国家也未能幸免于这一趋势，这可以从美国科技公司被迫加入美国监视机构中最明显地看出来。实际上，我们已经达到了根本无法在美国或英国运行针对隐私和安全性的服务的地步 。 同时，赌注也比以往任何时候都高。随着ProtonMail的发展，我们越来越意识到我们作为言论自由，尤其是调查新闻自由工具的作用。去年秋天，我们受邀参加了第二届亚洲调查新闻会议，并得以亲眼目睹了诸如ProtonMail之类的工具在该领域的重要性。 最近，越来越多的国家开始采取积极措施来监视或限制对隐私服务的访问，从而切断了对这些重要工具的访问。我们意识到，在某些国家/地区对ProtonMail的审查不是如果是否要解决的问题，而是什么时候要解决的问题。 因此，我们为ProtonMail创建了Tor隐藏服务（也称为洋葱站点），以提供对ProtonMail的替代访问，该访问更安全，私有且不受审查。 Tor加密电子邮件的隐藏服务 从今天开始，也可以使用我们新的洋葱站点通过Tor网络直接连接到ProtonMail。为了使用我们的洋葱站点，您需要首先在计算机上设置Tor。可以在此处找到有关将ProtonMail加密电子邮件与Tor一起使用的说明。正确设置Tor之后，可以通过以下URL访问ProtonMail的洋葱站点： https://protonirockerxow.onion 我们要特别感谢Roger Dingledine和Tor Project 创建了Tor软件，并就ProtonMail的洋葱站点实施提供了有见地的评论和建议。 Tor电子邮件隐私权 您可能要通过Tor使用ProtonMail有几个原因。首先，通过Tor网络将流量路由到ProtonMail，使攻击者很难窃听Internet连接来知道您正在使用ProtonMail。Tor在您的连接之上应用了额外的加密层，使高级攻击者更难以对您与我们的连接进行中间人攻击。Tor还会使您与ProtonMail的连接成为匿名连接，因为我们将无法看到您与ProtonMail的连接的真实IP地址。 Tor还可以帮助ProtonMail辅助功能。如果ProtonMail在您所在的国家/地区被阻止，则可以通过访问我们的洋葱站点来访问ProtonMail。此外，从对手无法轻易确定其物理位置的意义上说，洋葱站点是“隐藏的”服务。因此，尽管protonmail.com可能受到DDoS攻击，但protonirockerxow.onion不能以相同的方式受到攻击，因为攻击者将无法找到公共IP地址。 请注意，也可以在我们的常规网站https://protonmail.com上通过Tor来访问ProtonMail ，但是使用洋葱站点有很多优点。首先，洋葱站点连接在Tor级别上提供了真正的端到端加密，这意味着在您的连接到达我们的基础结构之前，Tor会应用额外的加密，而非洋葱Tor连接在最后一个连接中没有Tor加密。节点。其次，Tor还提供端到端身份验证，从而有助于减轻现有的用来保护大部分Internet的证书颁发机构系统的某些弱点（稍后将对此进行详细介绍）。 但是使用Tor确实有一些缺点。Tor连接通常比标准Internet连接要慢得多，因此会降低性能。ProtonMail的洋葱站点仍被认为是实验性站点，因此其可靠性可能不如我们的标准站点高。 由于我们的洋葱站点仍处于试验阶段，因此对于ProtonMail洋葱站点的使用，我们尚未提出任何建议。即使不使用Tor，ProtonMail收件箱也仍然受到PGP端到端加密，安全身份验证（SRP）和可选的两因素身份验证的严格保护。但是，ProtonMail绝对会让用户处于敏感情况下，Tor提供的额外安全性和匿名性实际上可以挽救生命。 ProtonMail的洋葱站点–技术细节 在实施ProtonMail的洋葱站点时，我们采取了一些其他预防措施，以确保最高级别的安全性，以防御高级威胁。 带有Tor的HTTPS 作为一项附加的安全功能，我们决定为洋葱站点仅提供HTTPS。为此，我们与SSL证书提供商Digicert合作为https://protonirockerxow.onion提供了有效的证书。以前，Digicert向Facebook发行了首个洋葱SSL证书，我们很高兴Digicert能够为ProtonMail做到这一点。 ProtonMail的.onion SSL证书具有扩展验证，因此您将在浏览器中看到绿色的条，并且它还提供了另一种防止网络钓鱼的保护措施，因为您可以确定所连接的洋葱站点属于我们。为了提高安全性，您还可以使用以下SHA256哈希手动验证protonirockerxow.onion的SSL证书。 指纹识别 SHA-256 57：EE：4B：D5：5C：2C：31：A5：54：32：61：B8：B5：B7：AB：DA：1E：CB：EB：0D：71：13：17：AD：A1： 04：49：2D：D6：B3：29：42 SHA-1 CB：9D：60：2C：01：A4：B2：BC：B5：7F：E7：CB：8A：EB：BA：58：45：03：51：C2 虽然洋葱站点并非绝对必须使用HTTPS，但出于以下几个原因，我们决定将它用于ProtonMail： 首先，通过将protonirockerxow.onion托管在未公开位置和国家/地区的现有基础设施之外，我们可能会利用将洋葱站点的位置保密的功能。在这种情况下，HTTPS添加了一个附加的加密层，以保护洋葱前端与我们的核心基础结构之间的流量。HTTPS还使我们能够继续强制使用安全cookie，从而提高了用户安全性。 第二，我们深信安全。因此，我们认为HTTPS对于洋葱站点不是完全多余的。如果总有一天要破坏Tor，那么强制执行HTTPS可以为最终用户增加另一层安全性。同样，Tor还提供了安全性，以防HTTPS受到威胁。考虑到默认情况下有数百个受信任的CA（证书颁发机构），并且在高风险国家中，许多CA受政府直接控制，因此，我们非常重视HTTPS遭到破坏的概念。 因此，通过使用我们的洋葱站点，您的电子邮件受到三层端到端加密的保护，外层有Tor加密，中间层是HTTPS，PGP是电子邮件本身的最后防御层。 Tor网络钓鱼抵抗 洋葱站点地址是16个字符的加密密钥哈希，通常看起来像这样：3ens52v5u7fei76b.onion。问题是没有很好的方法来区分 3ens52v5u7fei76b.onion 和 3lqpblf7bsm532xz.onion 就人眼而言，两者同样无法识别。这带来了网络钓鱼的风险，因为可以轻松地创建网络钓鱼站点，并且除非每次都仔细检查16个字符的随机URL，否则用户无法确定他们是否在访问正确的洋葱站点。从可用性的角度来看，期望用户每次都执行此检查是不现实的。 为了绕过这个问题，我们使用了ProtonMail的备用CPU容量来生成数百万个加密密钥，然后使用“蛮力”方法对它们进行哈希处理，以便为我们的洋葱地址找到更易于理解的哈希值。在花费大量CPU时间之后，最终结果是以下地址具有更强的网络钓鱼功能： protonirockerxow.onion 因为它很容易记住为： proton i rocker xow 因此，为确保您正在访问ProtonMail的官方洋葱站点（而不是某些网络钓鱼站点），请确保洋葱站点具有正确的域名，并且还具有颁发给Proton Technologies AG的有效SSL证书。 下一步是什么？ 在我们创建的以下页面上，您可以找到所有这些的更简化和精简的版本，以提供ProtonMail对Tor支持的30秒摘要： https://protonmail.com/tor 在接下来的几个月中，我们将继续努力为ProtonMail进行其他安全性和隐私增强，包括完成2016年《安全路线图》中剩余的部分。展望2017年，我们将更加专注于使ProtonMail更具抗审查性，并为我们的用户社区提供安全连接到ProtonMail所需的工具，即使是在受到威胁的位置也是如此。 最好的问候， ProtonMail团队