Visitar a dark web em segurança: Tor a partir de um cloud browser

Surface, deep e dark web, em claro

A surface web é tudo o que o Google, o Bing e o DuckDuckGo indexam. É pequena, alguns por cento do total. A deep web é tudo o que vive atrás de um login, de um paywall ou de um URL privado. O teu home banking, a wiki interna da empresa, um Google Doc não público, tudo isso entra aqui. Nem secreto nem perigoso, só não publicamente indexável.

A dark web é outra coisa. Um subconjunto pequeno de sites a que só se chega por uma rede sobreposta como Tor ou I2P. Os endereços acabam em .onion em vez de .com e passam por vários saltos cifrados, de modo que nem o visitante encontra o servidor nem o servidor encontra o visitante. Profundo e escuro não querem dizer o mesmo, e confundi-los é a confusão mais comum sobre o assunto.

Quando este texto diz „dark web" fala só de serviços .onion acessíveis via Tor. É a única parte que exige precauções especiais, e a única que preocupa a maior parte das pessoas quando lê a palavra.

Porque Tor na tua própria máquina é arriscado

Instalar Tor no portátil parece o caminho mais simples para .onion. Na prática, desloca os riscos em vez de os eliminar. Cinco pontos são os que metem utilizadores Tor em sarilhos com regularidade.

O teu ISP vê-te. O Tor cifra os conteúdos, mas a ligação ao primeiro nó aparece em listas públicas de todos os grandes operadores. Em Portugal, no Brasil ou nos Estados Unidos raramente tem consequências diretas, mas pode ir parar a um processo. No Irão, na China ou na Bielorrússia é motivo suficiente para receber visita.

O que descarregas fica. O Tor Browser protege a sessão, mas tudo o que guardares vai parar ao teu disco real. Um PDF manipulado, um script dentro de um documento Word, uma imagem com tracker embebido: tudo sobrevive ao fecho do browser.

O teu fingerprint trai-te. O Tor Browser uniformiza a maior parte do fingerprint, mas atualizações, fontes do sistema, tamanho de ecrã e plugins instalados passam à mesma. Mais em Browser Fingerprinting.

Basta um clique fora do Tor. Se leres o email no mesmo perfil de sistema e te cair lá um link .onion, abre-se no browser por defeito, pelo teu IP real. Um único clique no sítio errado pode desanonimizar uma investigação inteira.

Os exploits de JavaScript existem mesmo.O CVE-2016-9079 da Mozilla foi talvez o caso mais conhecido, usado na Operação Pacifier do FBI para identificar utilizadores Tor. O patch só chegou dias depois. Falhas assim reaparecem de tempos a tempos. No teu próprio equipamento, as consequências são permanentes.

O que muda com uma sessão de cloud browser

Um cloud browser corre como container num servidor, longe do teu portátil. Controlas tudo a partir de uma ligação de browser normal, e o tráfego Tor fica todo dentro do container. É assim que se deslocam os pontos críticos.

O teu ISP vê uma ligação TLS comum para um cloud provider conhecido, não uma entrada Tor. Retira a marca mais visível sem bloquear o acesso à rede.Os downloads desaparecem com a sessão.O container tem armazenamento em RAM, tudo se vai ao fechar.O fingerprint é o do container, não o do teu portátil, das tuas fontes ou da tua GPU.

Podes ter abertas em paralelo uma sessão Tor e uma sessão clearnet sem que se contaminem. Correm em containers separados, com cookies, IPs e perfis próprios. Um clique na janela errada já não é uma fuga de identidade.

A única ressalva honesta: o cloud provider vê o conteúdo em claro dentro do container, porque é ele que aloja o processo do browser. Trocas uma ameaça (o teu ISP, o teu equipamento) por outra (o teu cloud provider). Para a maior parte dos modelos de ameaça é uma boa troca, mas convém conhecer a jurisdição e a política de logs antes de confiar.

Um workflow de acesso seguro

Seis passos para uma sessão de pesquisa típica. Nada de exótico, mas cada passo neutraliza uma fraqueza concreta.

1. 1

   Lança uma sessão cloud nova numa imagem com Tor

   A Browser.lol tem uma imagem Tor Browser. Seleciona-a e abre uma sessão nova. Sem cookies, sem histórico, sem separadores guardados de visitas anteriores.
2. 2

   Verifica que o Tor está mesmo a encaminhar

   Vai a check.torproject.org a partir do container. Deves ver a página verde de «Congratulations». Se não vires, há qualquer coisa a passar por clearnet: corta e recomeça.
3. 3

   Fica em serviços .onion HTTPS sempre que possível

   Os endereços .onion v3 modernos suportam HTTPS normal. Em conjunto dão autenticidade ponta a ponta sem as fraquezas do modelo clássico de confiança em certificados.
4. 4

   Mantém o JavaScript em «Safer» ou «Safest»

   Escudo do Tor Browser, em cima à direita. «Safer» desliga JS em sites não HTTPS. «Safest» desliga em todos. Parte muitos sites, mas elimina o vetor de exploit mais comum.
5. 5

   Não faças login em contas clearnet

   Sem Gmail, sem Twitter, sem banco, sem Reddit. Mal fazes login, essa sessão fica ligada à tua identidade real e todo o ganho de anonimato evapora-se.
6. 6

   Fecha a sessão quando terminares

   O container é destruído. Separadores, cookies, downloads, cache: vai tudo. Da próxima vez, recomeças do zero.

Razões legítimas para abrir um .onion

As manchetes giram à volta dos marketplaces, mas o tráfego real no Tor é muito mais banal. Alguns exemplos concretos com que te vais cruzar.

O New York Times tem um espelho .onion oficial da página principal. O mesmo se aplica à BBC News. Se estás num país que bloqueia o domínio clearnet, o espelho é a forma mais simples de continuar a ler.

SecureDrop e GlobaLeakssão plataformas .onion que permitem que fontes contactem jornalistas. Reuters, The Guardian, ProPublica, Público, todos têm endereços SecureDrop oficiais para whistleblowers.

O Internet Archive tem um espelho .onion útil quando um bloqueio regional te impede de chegar à Wayback Machine. Tor Project,Mullvad e Riseupmantêm os sites principais também em .onion para se alcançarem sem passar por um exit node.

O DuckDuckGo tem um endpoint .onion para pesquisas a partir da rede Tor, idem o Brave Search. Ambos evitam que cada pesquisa tenha de sair para o clearnet.

O que nunca deves fazer

Esta lista não é moral, é operacional. Cada ponto é uma forma concreta de queimar uma sessão à partida segura.

Não faças login em contas clearnet.Gmail, Twitter, o teu banco, qualquer serviço onde estás registado. Um único login liga toda a sessão Tor à tua identidade real. Uma sessão separada para logins pessoais é trivial, fá-la.

Não abras documentos descarregados na mesma sessão se o Tor Browser te avisar. PDFs com trackers embebidos e documentos Office com macros são um vetor clássico para desanonimizar utilizadores Tor. Guarda o ficheiro, fecha a sessão, examina-o depois noutra sandbox.

Não confies em «onion directories» ao calhas.Muitos são honeypots, outros mantêm listas de endereços obsoletos ou tomados. Usa só diretórios verificados pela comunidade. O diretório oficial do Tor Project e os wikis consolidados são um bom ponto de partida.

Não ligues o JavaScript em sites desconhecidos.Conhecer um endereço .onion não significa que quem o gere tenha boas intenções. Mantém o nível de segurança alto e só liga o JS se a página precisar mesmo e tu confiares em quem a gere.

Não uses o teu nome verdadeiro, a tua localização nem um username recorrente. A correlação entre plataformas é a ferramenta principal dos sistemas de tracking. Um username que usas no Reddit e que aparece num fórum onion liga as duas contas automaticamente.

É legal?

Em Portugal, Brasil, Estados Unidos, Reino Unido e na maior parte dos países da UE é legal usar a rede Tor e visitar sites .onion. O que fazes lá dentro é outra história. Consumir material que já é ilegal por si só (conteúdos de abuso, armas, drogas ilícitas) é crime em qualquer lado, independentemente do esquema de endereços usado.

Alguns países vão no sentido oposto e bloqueiam ou criminalizam a própria rede Tor. China e Irão bloqueiam sistematicamente, a Rússia parcialmente, e em alguns países do Golfo o acesso é vigiado. A resposta habitual são os Tor bridges, nós de entrada não públicos. Uma sessão cloud numa jurisdição fora do bloqueio é uma alternativa pragmática.

És responsável pelo cumprimento da lei local. Este texto não é aconselhamento jurídico. Se vives num país onde o Tor está bloqueado, confirma a situação legal atual antes de cada uso.

FAQ breve

O resultado na prática

A dark web não é o que Hollywood faz dela. É um esquema de endereços que permite a servidores e visitantes encontrarem-se sem conhecer os IP reais uns dos outros. Para jornalistas, whistleblowers, pessoas em países com bloqueios e utilizadores atentos à privacidade, é útil. Também o é para criminosos, mas isso não é problema teu enquanto não alinhares com eles.

Quem só quer ver de que falam todos consegue-o com esforço mínimo. Uma sessão cloud nova numa imagem Tor, JavaScript em «Safer», sem logins clearnet, uma vista de olhos pelo espelho do NYTimes ou pela pesquisa onion do DuckDuckGo, e fechar a sessão no fim. Tudo isto leva menos de dez minutos e não deixa nada no teu equipamento. É tudo o que uma visita ocasional pede. Para ir mais a fundo, já tens as peças para o fazer sem danos colaterais. Sobre o que «anonimato» quer mesmo dizer na prática, lê Anonymous Browsing: VPN, Tor, or Virtual Browsers? e Incognito Mode Is a Lie.