揭开暗网的神秘面纱，用群晖NAS搭建自己的暗网网站

admin

揭开暗网的神秘面纱，用群晖NAS搭建自己的暗网网站


前言
本文深入浅出地介绍了暗网的概念，原理及实现的技术细节。并为群晖NAS开发了第三方安装包。此安装包绝对是老骥伏枥本人原创并合法引用开源项目 (Tor Project) 代码开发的安装包。 用群晖NAS搭建自己的暗网网站是老骥伏枥通过 NASYUN 论坛在全球首发。 请坛友们遵守 GNU General Public License， 未经授权禁止用于商业用途。搭建自己的暗网网站为的是进行学习，研究和技术交流。因为暗网技术具有匿名隐私保护功能，老骥伏枥在此郑重声明：请务必遵守当地法律，禁止使用本软件安装包从事任何网络违法犯罪活动。

第一讲：什么是暗网？暗网的核心技术“Tor Project”介绍
一，首先我来解释几个互联网的名词：

明网：为表层网(英语： Website) 即我们通常所说的公开的互联网， 是指全球资讯网上那些能被标准搜索引擎索引的公开的网络内容。一般常用的互联网由于可追踪其真实地理位置和通讯进行人的身分被称为「明网」。

深网：为深层网络（英语：Deep Web）的略称，又称：不可见网、隐藏网， 是指全球资讯网上那些不能被标准搜索引擎索引的非表面网络内容。深网包括许多非常常见的用途，例如学术信息、医疗记录、法律文本和政府资源等等。到达深网，需要获得特定的权限。

私网：为私人或企业内部的网路 （英语：Private， VPN）也属于不可见网，它是深网的一个子集。私网内部的电脑需要通过特定的网关访问公网，从公网到达私网内部，需要获得特定的权限。例如，一般在“家庭路由器”（NAT）后边的子网，为大家所熟悉的「私网」。

暗网（英语：Darknet或Dark Web）通称只能用特殊软体、特殊授权、 或对电脑做特殊设定才能连上的网络，使用一般的浏览器和搜寻引擎找不到暗网的内容。暗网的服务器位址(IP地址)和数据传输通常是匿名、匿踪的。目前最大规模的暗网技术是洋葱路由（英语：The Onion Router, 或Tor）[2]。

请看下面的这张图[3]，比较形象化地表示出了上述关系：

请输入图片描述

暗网是互联网中最隐秘的部分，一提到「暗网」多数人会立即联想到毒品、欺诈、黑市、暴力、色情等等。其实是非常不正确的概念。它是一种通过技术手段匿名、匿踪，来保护使用者隐私的互联网技术。

现实生活中的一些新技术往往都具有两面性。正如“水能载舟亦能覆舟”。原子能和平利用为人类提供了新能源，但也可以用来制作大规模杀伤性武器“原子弹”。暗网技术当然也是一般双刃剑。

让统计数据的事实来说话[4]。一下是根据维基百科最新得到暗网网站的内容分类比例:
暴力资讯 0.3%；武器 0.8%；社会资讯 1.2%；黑客资讯 1.8%；非法色情 2.3%；社交网络 2.3%；极端主义资讯 2.7%；未知的资讯 3.0%；其他非法资讯 3.8%；金融资讯 6.3%；毒品资讯 8.1%；其他资讯 19.6%；无意义数据 47.7%。从暗网分类统计数据来看。暗网并非洪水猛兽，暗网中的内容，负面的内容不到19.8%，80%以上内容是与毒品、欺诈、黑市、暴力、色情等等负面内容无关的。事实上明网中也包含有大量的负面内容。

二，用「暗网」技术来保护我们自己的Synology（群晖） NAS用户设备
从2014年以来一直有报道说：“多个Synology（群晖） NAS用户设备被入侵，黑客加密用户在NAS设备上的数据，并告诉用户支付赎金才能解密数据”[7]。笔者就想既然「暗网」技术可以让一般的浏览器和搜寻引擎找不到暗网的内容。暗网的服务器暗网的服务器位址(IP地址)和数据传输通常是匿名、匿踪的。为什么我们不利于它来保护我们自己的群晖NAS呢？这正是笔者为为群晖NAS开发了搭建暗网服务的第三方安装包的初始动力。

把自己的群晖NAS建在暗网上让自己可以方便地访问它。又不必担心来自明网对群晖NAS设备的入侵，设备上的数据安全性得到了保护。暗网服务器的网址以 onion为顶级域名，并由它的公钥派生出的16个字符组成。由此带来的好处是，再也不必为申请自己的域名而烦恼。特别是对于私网那些位于“家庭路由器”NAT之后的群晖NAS设备，因为动态IP需要借助“花生壳”或DDNS等才能接入互联网带来的麻烦。统统可以迎刃而解了。

三，Tor Project开源项目发展简史[1]

Tor的核心技术“洋葱路由”，是在1990年代中期由美国海军研究实验室的员工，数学家保罗•西维森（Paul Syverson）和计算机科学家邁克•里德（G. Mike Reed）和大衛•戈爾德施拉格（David Goldschlag），为保护美国情报通信而开发的软件。之后，洋葱路由于1997年交由国防高等研究计划署做进一步开发8[10]。

Tor的测试版由西维森和计算机科学家罗根•丁格伦（Roger Dingledine）和尼克•马修森（Nick Mathewson）[11]开发并命名为“洋葱路由项目”（The Onion Routing project），简称TOR项目，发布于2002年9月20日。2004年8月13日，西维森、丁格伦和马修森在第13届USENIX安全研讨会上介绍提出了「Tor：第二代洋葱路由器」。2004年，美国海军研究实验室以自由软件许可证发布了Tor代码，电子前哨基金会开始资助丁格伦和马修森继续开发。

2006年12月，丁格伦、马修森及另五人成立了The Tor Project，一个位于马萨诸塞州的非营利组织负责维护Tor。电子前哨基金会担任其早年的财政赞助商，Tor项目的早期资助者还包括美国国际广播局、新闻国际、人权观察、剑桥大学、谷歌和荷兰的NLnet

四，暗网的核心技术“Tor Project”介绍

「暗网」需要隐藏的东西是什么呢？事实上所要隐藏的东西其实就是一个：即IP地址。在「明网」中我们的身份都与IP地址有着某种联系。如何才能隐藏IP地址呢？当然要借助于代理技术啦。但不要以为我挂着代理，就真能隐藏了自己的真实IP地址了。先决条件是“信任度”的问题。事实是没有任何代理是绝对可以信任的。基于这个道理，「洋葱路由」认为没有一个节点是安全可信的。一个合格的匿名系统必须至少要三重代理。入口代理知道用户的IP地址，出口代理知道目的服务器的IP地址以及传输内容。但是每一个代理都不知道完整信息流向，从而保证通信的匿名性。Tor的结构和工作方式很容易理解，支撑其网络的是许多志愿者，非营利机构，科研院校和图书馆，还有那些布蜜罐的混蛋们，包括 FBI。接下来将进一步详细介绍Tor的工作流程。

众所周知，Tor（The Onion Router，洋葱路由）提供客户端匿名通信，可以帮助用户匿名上网，保护用户隐私[4]。其实 Tor同样也可以提供服务器端的匿名，这就是暗网中的顶级域名为onion的网站。这些网站只能通过Tor网络才可以访问，相信很多用户是被这些网站下的一些服务所吸引而使用的 Tor。
暗网中的Tor网络连接和普通网站的Tor网络连接一样吗？下面我们来讲解一下。

Tor网络中的客户端与服务器的连接过程一般称为电路（circuit），电路是由Tor路由节点组成的网络路径。
普通的网站通过Tor网络连接一般需要经过三个Tor节点，如下图所示:

请输入图片描述

而暗网中的网站通过Tor网络连接一般则需要六个Tor节点，如下图所示:

请输入图片描述

一般情况下，客户端匿名访问普通网站的Tor电路为：首先通过本地代理随机选择一个入口节点，入口节点随机选择一个中间节点，中间节点随机选择一个出口节点，最后出口节点通过TCP 连接并以明文形式携带内容到目的服务器。入口节点知道用户的IP地址，出口节点知道目的服务器的IP地址以及传输内容。但是每一个节点都不知道完整信息流向，从而保证通信的匿名性。

暗网情况下，客户端匿名访问暗网服务器的Tor电路需要经过六个Tor节点，客户端和服务器各通过一个 Tor电路连接到一个中继Tor节点（称为“会合点” ），这个会合点既不知道客户端地址，也不知道服务器地址，从而保证通信双方的匿名性。
当然暗网中的Tor电路不仅增加了一个会合点，还增加了介绍点和目录数据库。它的电路结构如下图所示：

请输入图片描述

首先介绍暗网中的各个角色：
a)客户端：匿名访问暗网服务器的用户（浏览器）；
b)暗网服务器：也叫隐藏的服务器，只能通过Tor网络被访问的目的服务器（网站）；
c)目录数据库：存放暗网中的网站信息，用于客户端查询；
d)介绍点：用于与客户端或暗网服务器通信的节点；
e) 会合点：用于最终客户端和暗网服务器端通信的节点。

在暗网的电路连接中形成七个小电路，每个小电路都有不同的功能：
1)暗网服务器-介绍点：选取介绍点；
2)暗网服务器-目录数据库：发布网站；
3)客户端-目录服务器：查询描述符；
4)客户端-会合点：建立连接；
5)客户端-介绍点：请求转发；
6)介绍点-暗网服务器：转发信息；
7)暗网服务器-会合点：终极连接。

每一条小电路都由若干随机选取的Tor节点组成，以保证通信的匿名性。

下面回到主题，揭秘暗网中的Tor网络连接。客户端通过Tor网络访问暗网服务器经过以下的 7个步骤。

1.选取介绍点：
暗网中的网站建立后，需要将自己发布出去才能让用户访问，为了将自己的URL信息放到目录数据库上，暗网服务器需要选取一些 Tor节点作为介绍点，并建立Tor电路，这样这些介绍点就不知道暗网服务器的具体地了。这些介绍点用于以后客户端想要访问暗网服务器时与会合点的通信（如下图所示）。

请输入图片描述

2.发布网站：
暗网服务器组合一个描述符，包括自己的公钥和各个介绍点，并用私钥进行签名认证，上传到目录数据库上。这些描述符和暗网服务器的网址是一一对应的，客户端通过请求暗网服务器的网址可以在目录数据库中找到对应的描述符，只有通过描述符里的介绍点才能访问到暗网服务器。暗网服务器的网址以 onion为顶级域名，并由它的公钥派生出的16个字符组成，例如 ：http://agvinctzwwqn33on.onion:5000。至此，暗网服务器（网站）就建立好了（如下图所示）。

请输入图片描述

3.查询描述符：
客户端通过某个渠道得知了暗网服务器的网址，但是它不能直接访问暗网服务器，必须获取更多的信息。客户端需要通过Tor电路与目录数据库建立连接，查找该网址对应的描述符，从而获取该暗网服务器的介绍点和公钥信息，通过介绍点来连接暗网服务器。与此同时，客户端随机选择一个中继节点作为 “会合点”（如下图所示）。

请输入图片描述

4.客户端与会合点建立连接：
客户端与会合点建立Tor电路，随机选取Tor 节点进行连接，在此电路中会合点作为Tor电路中的出口节点。连接时携带一个一次性的“secret”给会合点，以校验将要与之连接的暗网服务器（如下图所示）。

请输入图片描述

5.请求转发：
客户端查找到暗网服务器的描述符并与会合点建立好连接之后，选择描述符里的其中一个介绍点与它通信，建立Tor电路并携带一个用暗网服务器的公钥加密的信息（该信息包括会合点地址和一次性的 “secret”）发送给介绍点，请求介绍点通知要访问的暗网服务器（如下图所示）。

请输入图片描述

6.转发信息：
介绍点收到请求消息后将用公钥加密的信息传送给暗网服务器，暗网服务器收到客户端请求后，用自己的私钥对加密信息进行解密，得到会合点的地址和一次性“secret” 。由于经过Tor电路传输，介绍点不知道服务器的具体地址（如下图所示）。

请输入图片描述

终极连接：
暗网服务器得知会合点地址之后，经过Tor电路与会合点建立连接，并携带一次性 “secret”，会合点将此“secret”与之前客户端发给它的进行校验。如果校验成功，则会合点通知客户端，至此，客户端与暗网服务器的连接建立完成（如下图所示）。
请输入图片描述

最终客户端和暗网服务器之间的Tor电路连接经过六个节点：客户端的入口节点，客户端的中间节点，会合点（也是客户端的出口节点），暗网服务器的出口节点，暗网服务器的中间节点，暗网服务器的入口节点。

以上介绍了Tor（The Onion Router，洋葱路由）的工作原理。

第二讲：如何访问暗网
在上一讲中我们介绍了洋葱路由的工作原理。暗网服务器的网址以 onion为顶级域名，客户端通过请求暗网服务器的网址可以在目录数据库中找到对应的描述符，只有通过描述符里的介绍点才能访问到暗网服务器。因此，不能通过一般的浏览器去访问以onion为顶级域名的服务器。因此Tor Project以开源的Firefox浏览器为基础，修改并增加了请求暗网服务器的网址和在目录数据库中查找对应的描述符的功能。发布了Tor浏览器（Tor Browser），专门用于访问以 onion为顶级域名的暗网网站。这是一个免费的浏览器。任何人都可以去https://www.torproject.org/download/download-easy.html 免费下载。这个Tor浏览器有Windows，Linux，IOS 和 Android各种版本可供用户选择。

如果你去Tor Project项目的网站有困难，我在这里为你提供了当前最Windows版的Tor浏览器中文7.0.6版，供你下载。
点击下载 百度网盘：https://pan.baidu.com/s/1c1FtQJQ 提取密码：qw2q

下面详细介绍Tor浏览器的使用方法：

安装Tor，安装在C盘D盘都可以。请看如下的两张截图
请输入图片描述

请输入图片描述

运行并配置Tor
接下来就是软件的配置过程，整个过程我们需要对自己的网络环境仔细考虑，认真了解你所在的地区，和询问运营商ISP是否对Tor网络连接进行了特殊处理。如果你所在的地区，对Tor网络连接没有什么限制，直接按“链接”按钮就可以了。笔者强烈建议你先试试直接按“链接”按钮，如果能成功连入Tor网络，就可以继续看我的第三讲，【用群晖NAS搭建自己的暗网网站】。
国内一般地区都是有些限制的，需要选择“配置”按钮，作进一步的设定。请看如下的截图。

请输入图片描述

让我们考虑使用网桥突破封锁。这对于以后搭建自己的暗网网站时也会有帮助。因为暗网服务也需要用这个的网桥来突破封锁。进入Tor网络。

根据Tor- 维基百科[1]提供的资料，Tor在中国被许多人用于突破防火长城，这主要是因为中国大陆屏蔽了大量的海外网站和服务器。Tor会自动检测节点是否可达目标地址。如果返回错误无法到达，它会自动更换节点。相应地，这种技术也可以用在中国大陆境外模拟中国大陆境内的节点，以访问一些境外无法访问的内容。

而防火长城对于Tor一直没有很好的解决方法。现行比较有效的方法是对未使用SSL（HTTPS）加密的连接进行特征检测并重置连接，或对已知节点和网桥进行IP地址屏蔽，也有在中国境内建立Tor的虚假节点以对通过其传输的数据进行最大限度的审查。作为反制，有部分大陆网民自发在中国境内建起网桥，帮助中国大陆境内未能连接上Tor网络的使用者连接。

2009年9月以后的一段时间内，使用的Tor的0.2.1.19版本，并不使用网桥的情况之下无法建立Tor的连接。然而使用的Tor的稳定版0.2.1.20，仍能够建立Tor的连接，突破网络封锁且不需要勾选“我的ISP阻挡了对Tor网络的连接”的选项，即使用网桥。从理论上来说，在使用网桥的情况下，Tor的总能建立连接，而不被封锁，因为网桥是可以动态更新的。

2010年6月3日前后的一段时间内，使用Tor的0.2.1.26版本，在使用Bridges的情况之下，建立Tor的连接也相当的困难，显示的信息是“建立Tor回路failed”，这说明防火长城成功侦测并截断了Tor的连接。但Tor的连接一旦建立后切断并不容易，所以Tor一旦成功建立连接后就无法被防火长城干扰。同年8月前后至今，Tor又可以连接上。据全球互联网自由联盟上的用户说，只要加一次网桥，接下来就可以轻松连上Tor网络。

但在2011年1月之后，中国大陆有网民反映，Tor即使更换了网桥也无法正常连接上，但事实上这是网桥已经被屏蔽的结果16。对于长期频繁使用和连接Tor的用户来说，由于Tor会缓存节点路由信息，所以只要这些节点或网桥没被封锁，他们照样能正常使用Tor。

自2011年10月后，当中国的一个Tor客户端与美国的网桥中继建立连接，一个中国的数据探针会在15分钟周期内尝试与Tor进行SSL协商和重协商，但目的不是建立TCP连接。12月后这种行为停止[18]。

自Tor Browser4.5发布后，借助meek网桥，中国大陆用户可以接通Tor网络。

选择“配置”按钮，作进一步的设定。请看如下的截图。
请输入图片描述

下面介绍网桥来源：
访问 https://bridges.torproject.org/bridges?transport=obfs2 获取obfs2网桥
访问 https://bridges.torproject.org/bridges?transport=obfs3 获取obfs3网桥
访问 https://bridges.torproject.org/bridges?transport=obfs4 获取obfs4网桥
访问 https://bridges.torproject.org/bridges?transport=scramblesuit 获取scramblesuit网桥
给bridges@bridges.torproject.org发邮件（标题和正文都写get transport obfs3，其他类型“照猫画虎”）获取各类网桥。

以上几种方法加起来大约可以20个网桥， 后边会说网桥往哪放。请看如下的截图。

请输入图片描述

现在暂时不建议选择自动或取网桥，因为它会获取一组网桥，你也不知道那个是可以为今后搭建自己的暗网网站时给暗网服务用的。因为我在为群晖DMS开发安装包的时候，需要使用安装包的接口来编程，它只能容许输入一行，也就是一个网桥的地址。这在我的下一个版本中需要进一步改善，提供更方便的UI界面。

继续按下一步按钮，进入下一个界面，请看如下的截图。

请输入图片描述

在这个界面你可以选择一个代理。但出于安全考虑强烈建议不要选任何代理，我在第一讲中说过的，没有任何代理是可以信任的。谁知道你会掉进那个混蛋布置的陷阱蜜罐里？切记有句话叫做“不作死就不会死”。

好啦，到此为止Tor浏览器的配置就完成了。接下来只能祝你好运啦，请看如下的截图。

请输入图片描述

当你看到如下画面出现在屏幕上，祝福你，你的Tor浏览器已经成功连入Tor网络。

请输入图片描述

使用Tor浏览器既可以用来访问「明网」的服务器，也可以用来访问「暗网」的以 onion为顶级域名网站。因为现在还没有在群晖的NAS上搭建好自己的暗网网站，下一讲将详细介绍。让我们先来试试最简单的应用，访问一个明网服务器。访问一下谷歌试试看。请看如下的截图。

请输入图片描述

按一下这个小葱头图标，你可以查看Tor路由的三重代理节点和它们的位置。看到了吧，我的Tor浏览器第一跳去了德国，第二跳是瑞典，第三跳出口是美国，从这最后一个IP地址，访问谷歌的服务器。我的IP地址彻底被隐藏起来了。根据Tor路由的设计理念，下一次会随机选取代理节点，再试一次，路经又会不同。

第三讲:用群晖NAS搭建自己的暗网网站
前面两讲细说了预备知识，并做好了访问自己的暗网网站的准备工作。这一讲将进一步深入，进入我们的重头戏，开始搭建自己的暗网网站。为利于它来保护我们自己的群晖NAS设备，和我们宝贵如金的数据。

根据我在第一讲中介绍的原理，根据我在第一讲中介绍的原理，暗网服务器组合一个描述符，包括自己的公钥和各个介绍点，并用私钥进行签名认证，上传到目录数据库上。客户端通过介绍点来连接暗网服务器。即使你的群晖NAS设备在“家庭路由器”（NAT）之后。也不会有问题。穿越NAT，与浮动IP地址都不会影响你的暗网网站。本来Tor洋葱路由网络就是要隐藏IP地址啊。所以说需要借助“花生壳”或DDNS等才能接入互联网带来的麻烦。统统可以迎刃而解了。酷！！！

为了在群晖NAS设备上搭建自己的暗网网站，就必须让它能接入Tor洋葱路由网络。为此我为大家开发了全套的第三方安装包。这对于像老骥伏枥这样有35年经验的老码农而言，就如“张飞吃豆芽”啊。该第三方安装包基本实现了一键安装。
点我下载 百度网盘：https://pan.baidu.com/s/1pKEXvPD 提取密码：768z 解压密码：laojifuli

由于这个软件包涉及到严格的安全性。笔者强烈建议你在安装前，进行rar压缩包的MD5检验。
这个软件包的MD5检验码: 468011c9b62e80a46bec683f7aa93bc8

请务必确认使用本人的原装软件包，谨防有人变造该软件包，下套子，做陷阱蜜罐。

我的rar压缩包中有两个版本，一个是为群晖DSM5.2版系统的，另一个是为群晖DSM6.1版系统的。压缩包的文件目录结构如下：

请输入图片描述

压缩包中一共有5个文件。dms5.2-tor-0.2.4.23-18.spk是给群晖DSM5.2版系统的第三方安装包。由于群晖DSM5.2系统的linux内核及系统结构与群晖DSM6.1系统不同。DSM5.2系统只需要一个安装包直接安装就可以。DSM6.1系统的安装要稍微复杂一点。在安装我的dms6.1-tor-0.3.1.7-14.spk之前，要先安装一个有麻省理工提供的第三方初始化包。这是一个经过群晖签名认证的包。但在群晖官网是找不到。所以我打包在我的压缩包里，方便你安装。这个包还需要一些关联包，PHP5.6.spk和WebStation.spk笔者建议直接从群晖官网安装即可。

下面介绍详细的安装过程。解压我的安装包到你的本地电脑上。从浏览器启动你的群晖NAS管理界面。由于我的安装包没有经过群晖签名认证，你必须从安装页面的Settings界面选择“Select Any Publisher”，请看如下的截图。

请输入图片描述

接下来选择手动安装，我以DSM5.2为例，请看如下的截图

请输入图片描述

点击下一步，进入软件使用许可证协议页面，请务必认真阅读使用协议，并遵守协议，请看如下的截图。

请输入图片描述

点击下一步，进入安装设置界面，首先是设置本地私网的Tor代理界面，请看如下的截图。

请输入图片描述

如果你只想搭建暗网网站，请直接跳转到下一个配置页面。但如果你想一机两用，为你的本地私网的提供Tor代理服务，使私网内部的所以电脑的各种浏览器，IE浏览器，Firefox浏览器等等，都可以通过私有代理匿名访问「明网」的服务器。你就要点选开启代理模式。需要注意的是，在你的私网内部的群晖NAS，如果“家庭路由器”是分配浮动IP地址的，你要设定成根据MAC地址，为群晖NAS分配固定IP地址，以免造成私网内部电脑找不到代理以及代理重启困难和出错的问题。然后填写当前正确的群晖IP地址，网络IP地址掩码根据你的私网设定，Tor代理口默认为9050一般不需改动。

按下一步按钮，继续设定网桥，请看如下的截图。

请输入图片描述

只有在需要利用网桥，才能接入Tor网络时，需要其余这个选项，并填写网桥信息。在第二讲中，我已经纤细介绍过如何配置Tor浏览器的网桥。如果你在配置Tor浏览器时需要配置网桥，同样的网桥也可用于这里。这个页面我做的不好，只能填写一个网桥信息。下一个版本需要进一步改善。需要注意的问题是，DSM5.2的Tor版本比较旧，不支持obfs4网桥，与meek网桥等等新式网桥。如果不需网桥就可接入Tor网络，直接跳转到下一个设置页面即可。
按下一步按钮，继续设定，请看如下的截图。

请输入图片描述

这里只有一个选项，就是你是否要启动暗网网站。其他俩个是我调程序用的。除非你是这方面的专家，否则不要动。
到此Tor安装包的配置就完成了。接下来就进入安装包启动页面，请看如下的截图。

请输入图片描述

立即启动试试吧。如果启动成功，恭喜你！你的暗网网站已经搭建完成啦。
你会问，我的暗网网址是什么呢？别急，启动成功后，你的管理菜单中，会出现一个暗网信息的图标，请看如下DSM5.2版和DSM6.1的两张截图

请输入图片描述

请输入图片描述

点击这个图标，就会告诉你你的暗网网址了。请看如下的截图。

请输入图片描述

试试用第二讲设置的Tor浏览器访问一下自己的暗网网站吧。在地址栏中输入你的地址。这个是我试验用的暗网地址，我不开机，你访问不了的。我开机的时候，访问的结果，请看如下的截图。红框中的暗网地址是对应一致的吧。

请输入图片描述

再来一张全景截图证明一下吧。

请输入图片描述

第四讲：暗网匿名与隐私的的安全性分析
根据通泰媒体的整理调查暗网的使用者分为三大类型。好奇者；正面使用者；负面使用者。现在每年有着近 5000 万人次下载；安装；和使用Tor洋葱路由。不过不要以为世上存在「绝对安全」这回事[18]。

在2016年HackFest大会（2016年11月5日）上加拿大匿名与隐私研究者Sarah Jamie Lewis发表了关于「暗网」隐藏服务安全方面的五大安全风险的安全性研究报告。该报告在他的mascherari.press上发布过了，感兴趣的群友可以访问查看。

首先，问题NO.5是开放／可读的网站目录。这种情况在“明网”中非常的常见，但是这种开放目录将会对隐藏服务的安全性带来非常严重的影响。网站管理员通常喜欢将网站资源直接存放在类似“Backup”这样的目录中，因为他们觉得没人会来查看这些目录或文件。

其次是问题NO.4是EXIF元数据。这类数据是编码在图片之中的，它可以告诉你这张数字相片是在哪里拍摄的、用哪种设备拍摄的、或者是用什么软件编辑的等等。实际上，EXIF元数据的安全问题早在几年前就已经出现了。比如说，你可能拍一张自己的照片放在自己的暗网网站上，访问的人立即可以从中提取出拍照地点的GPS坐标，接下来你就可以利用地图服务的街景模式来找到你了。

问题NO.3是克隆网站。在扫描过程中，他发现大约有29%的匿名服务有至少一个副本，这里的“副本”指的是网站页面内容的sha1哈希完全相同。在进行了大量分析工作之后，他发现如果暗网服务使用的是动态页面的话，那么包含至少一个副本的网站数量可能会更高。这些网站副本通常是管理员故意留下的，这个问题在自己的群晖NAS暗网网站中也需要注意。

问题NO.2是SSH指纹。每一台服务器通常只有一个唯一的公共密钥，所以我们可以通过对比两个隐藏服务所使用的SSH指纹来判断它们是否使用的是同一台服务器。除此之外，如果你的服务器存在错误配置或者主机端口对“明网”开放的话，Shodan引擎将可以搜索到你的SSH公共密钥。

问题NO.1是本地主机绕过。如果你在隐藏服务中所运行的软件会给本地流量分配特殊的权限，或者是你对你的Web应用进行了额外的配置，那么就有可能发生问题1所描述的这种情况，最常见的就是Apache的mod_status模块了。他发现目前大约有6%的暗网网站存在Apache本地主机绕过问题，这种安全问题不仅会暴露服务器的IP地址，而且该服务器所托管的其他网站也将会受到影响。

下面让我们再来看两的典型的暗网安全事件，以便对暗网的安全性有一个一般性的了解。

2013 年美国相当脍炙人口的案子之一便是起获于网路发布炸弹讯息的Eldo Kim[18]，身为哈佛大学生的Kim 透过了Tor 发布讯息希望拖延期末考日期，但高估了Tor 的匿名能力；为此而获得了FBI的「免费招待」。哈哈哈！“流氓不可怕，就怕流氓有文化”。

2013年“丝绸之路”创始人RossUlbricht被捕，以非法交易违禁品被判终身监禁[19] 。暗网“丝绸之路”是如何被FBI发现的呢？其原因是错误配置的验证码。前FBI特工 Christopher Tarbell 描述了他和同事如何发现丝绸之路服务器IP地址：他们在丝绸之路登录页面的输入框输入各种字符串，发现网站返回的数据中的一个IP地址没有匹配任何已知的Tor节点。他们在浏览器上直接输入这个IP地址，结果弹出了丝绸之路的CAPTCHA提示，显示这个IP地址就是丝绸之路服务器的真实地址。正可谓“道高一尺魔高一丈”。

所以对暗网管理者和暗网使用者而言，请牢记“天网恢恢疏而不漏”这句名言，千万不要以身试法。

结束语
本文从理论到实践，全面系统地讲解了「暗网」技术的原理，发展历史，Tor浏览器，路由器，及其支撑其网络的运行的结构。并为群晖NAS开发了第三方安装包，用于在群晖NAS上搭建自己的暗网网站。本文是从学术研究的角度，以群晖NAS为实践对象，探索匿名与隐私与数据安全保护。目标是既要保护匿名隐私，又要随时随地方便地访问到自己的数据并提供安全保护。特别要感谢我太太帮助仔细审核了文章并纠正了一些错误。也非常感谢NASYUN论坛提供空间来发表。

为群晖NAS开发了第三方安装包只是一个原型设计。尚有很多不足之处需要改进。例如：必须在安装的同时完成配置任务（受限于群晖SPK制作的WIZARD_UIFILES与Developers Guide开发文档不足），一旦安装后就不能修改配置了。如需修改配置，则有卸载重装。安装界面UI也不够美观。还有为了加快开发进度，UI界面上中文，英文混搭。都是需要改善的地方。因为是科研用途，不是商品软件包。很多细节的地步都没有仔细推敲。如果你对商品化这个软件包有需要，请QQ联系我。

该软件包目前只提供运行于x86体系结构的群晖设备平台版本。其他体系结构的群晖设备需要重新交叉编译源代码。因为我手头没有他体系结构的群晖设备无法测试，请谅解我暂不能提供其他体系结构的群晖设备的安装包，除非有人愿意赞助无盘的硬件二手闲置设备。

「暗网」技术是一个劲爆话题。随着Tor洋葱路由的加固升级，它的隐私匿名性会越来越好。追踪难度将进一步变大，连FBI都感到头疼。根据Tor- 维基百科提供的资料[1] ， 目前英美两国，在对Tor用户的身份辨识研究的现状是：

美国国安局（NSA）及英国政府通讯总部（Government Communications Headquarter，GCHQ）于2012年6月发布名为Tor Stinks的简报档，档案中两国政府单位提及监听Tor网路困难重重，文中表示「无法辨识出所有Tor用户的身份。而以人工分析后，我们得以辨识非常小部份的Tor用户。」然而对特定呼叫有回应的用户，国安单位未成功辨识出任何身份。之后利用代号为「EgotisticalGiraffe」的技术（靠入侵Tor Browser Bundle基体软体Firefox的漏洞），NSA在用户可能造访的网站或论坛植入恶意程式，然后趁用户造访时植入其电脑，并借此搜集资料，监听Tor网路（The Onion Router）。虽然NSA表示这是为了瞄准恐怖份子或有组织的罪犯，但《卫报》表示，这类攻击也可能伤害到新闻记者、研究人员，或是不小心造访这些网站的人[16]。而Mozilla已在2012年11月释出Firefox 17版修补了该漏洞。

2015年11月，Tor项目指责卡内基梅隆大学研究员在FBI的资助下攻击Tor的隐藏服务。该大学的研究人员Michael McCord和Alexander Volynkin通过设置大量节点，组合使用流量确认攻击和女巫攻击使Tor用户的身份去匿名化。最近公开的法庭文件确认了卡内基梅隆大学在其中扮演的角色——对Tor的攻击研究得到了美国国防部的资助。法庭文件针对的是暗网毒品市场丝路2.0的雇员Brian Farrell，执法部门通过向卡内基梅隆大学发去传票获得了Farrell的IP地址。

文章的最后，老骥伏枥要再次郑重声明：撰写本文与制作安装包的目的是为了探索，研究，学习这项技术。禁止利用本文提供的技术和使用本软件包从事任何互联网络违法犯罪活动。