Byt nul/O
dark0de læses som darkode ved et blik
Hvorfor ser v2- og v3-onion-adresser så forskellige ud, og fortæller længden alene mig noget?
Ja: en v2-onionadresse er en kort streng på 16 base32-tegn efterfulgt af .onion, mens en v3-adresse er 56 base32-tegn efterfulgt af .onion. Den længdeforskel alene fortæller dig, hvilken kryptografisk generation du kigger på, men den fortæller ikke, om adressen er ægte — så at lære at genkende sandsynlige stavefejl eller forfalskede spejlinger afhænger stadig af andre kontroller.
Det gamle v2-format brugte en 80-bit offentlig nøgle og et afkortet hash, og derfor var den menneskeligt synlige del kort. V3-formatet bruger en længere ed25519-offentlig nøgle, en versionsbyte og en kontrolsum, hvilket giver den lange streng på 56 tegn. I praksis understøttes v2-adresser ikke længere af aktuelle udgaver af Tor Browser, så hvis nogen deler et kort “onion”-link i dag, er det enten en historisk reference eller en fælde, der ikke åbner korrekt.
Hvad længden kan og ikke kan fortælle dig
- At se et .onion-link på 16 tegnbetragt det som forældet, i stykker eller bevidst vildledende
- At se et .onion-link på 56 tegngenkend det moderne format, men gå ikke ud fra, at det er sikkert
- At få øje på en streng på 55 eller 57 tegnmistænk en stavefejl, en kopieringsfejl eller et forfalsket spejl
Tænk på adressen som et husnummer. Et længere husnummer hører måske til et nyere vejnet, men det beviser ikke, at huset er den vens hjem, du havde tænkt dig at besøge. Et enkelt manglende tegn i en v3-adresse peger næsten altid på en anden tjeneste — ofte en, der er bygget til at se velkendt ud.
Vigtigt
“Ret” aldrig en let forvrænget onionadresse ved at gætte på et manglende eller ombyttet tegn. Hvis det kopierede link er misdannet, så kassér det, og få en frisk reference fra en kilde, du allerede har tillid til.
Hvad får et forfalsket spejl til at se “rigtigt nok” ud til at narre en omhyggelig person?
Et spoofet spejl overbeviser ikke, fordi det kopierer hele siden; det overbeviser, fordi det kopierer den del, dine øjne faktisk tjekker — de første par tegn, de sidste par tegn og den overordnede form. Midten af en v3-onion-adresse er 56 base32-tegn, og næsten ingen læser dem alle. Angribere udnytter den skannevane.
Hvor dine øjne springer over
Når du kaster et blik på en adresse, skaber din hjerne en “visuel kontrolsum”: den husker længde, et par bogstaver nær starten og måske endelsen. En falsk adresse som facebookcorewwwi.onion over for faceb00kcorewwwi.onion overlever, fordi midten ikke bærer nogen betydning for en træt læser. I v3-adresser laver angribere et nyt nøglepar, indtil de får de samme første 2–3 og sidste 2–3 tegn, og udgiver derefter det look-alike.
1Læs hele adressenhjernen gemmer kun de første 3 og sidste 3 tegn
2Angriber vælger tætte tegn
7abc…xyz mod 7acb…xzy3Mappen viser begge navnefalsk ligger ved siden af ægte post
4Bruger indsætter forkert linkforventet hængelås eller advarsel dukker aldrig op
5Legitimationsoplysninger sendt til forkert endpointfalsk spejl registrerer dem
De små byt, der overlever
Flyt ét bogstav
zonatools mod zoantools — usynligt med små bogstaver
Gentag et dobbeltbogstav
shopvvorld mod shopworld — ekstra v gemmer sig i monospace
Tilføj bindestreg eller punktum
market-place mod marketplace — mappefejl, ikke brand
Erstat et sjældent bogstav
ru mod nu med små bogstaver i lille skriftstørrelse
- Tegnforvirring
- Præfiks-kloning
- Suffiks-matching
Den praktiske lærdom for en forælder eller teamleder: sammenlign ikke “begyndelse og slutning”. Vælg tre adskilte udsnit — for eksempel tegn 8–11, 30–33 og 52–55 — og sammenlign dem med en kilde, du allerede stoler på. Hvis den falske er bygget til at matche kanterne, vil udsnittene i midten ikke passe sammen.
Vigtigt
En gyldig onion-adresse har præcis 56 tegn efter protokollen og før onion — ingen bindestreger, ingen punktummer, ingen store bogstaver. En falsk mappe viser nogle gange strenge, der ser ud som 56 tegn, med ekstra symboler for at forvirre optællingen.
Tip
Når to links kommer fra forskellige personer og kun afviger med ét tegn, så behandl begge som upålidelige, indtil du lader være med at åbne nogen af dem.
Kan jeg stole på et link, blot fordi det kommer fra et signeret indeks eller en community-tråd?
Et signeret indeks eller en fællestrumpost kan gøre et link mere sandsynligt ægte, men det kan ikke i sig selv gøre det sikkert. Signaturen beviser kun én ting: Den, der kontrollerer signaturnøglen, godkendte den nøjagtige tekst på et tidspunkt i fortiden. Den beviser ikke, at personen er ærlig, at nøglen ikke blev stjålet, eller at linket stadig peger derhen, hvor det gjorde, da noten blev signeret.
Tænk på en signatur som et laksegl på en konvolut. Seglet viser, at konvolutten ikke er blevet åbnet, siden den blev forseglet, men det fortæller dig ikke, hvem der i virkeligheden ejer ringen, om brevet indeni er sandt, eller om adressen skrevet på papiret er den, du havde tænkt dig at besøge.
Hvad signaturen faktisk dækker
En signatur dækker de bytes, der blev signeret, ikke den webside, du kigger på. Hvis et opslag siger "markedsadressen er abc123.onion", og den streng er signeret, så gør ændring af blot ét tegn signaturen ugyldig. Men den samme nøgle kunne også signere en anden besked i morgen, hvor der står "markedsadressen er abc124.onion" — og den nye signatur ville også være gyldig.
- Du ser en PGP-signeret besked med en onion-adresseSpørg: er signaturen gyldig i forhold til den nøjagtige tekst?
- Du er ved at åbne
abc123.onionSammenlign hvert eneste tegn i adressen med den signerede tekst, ikke kun de første seks eller syv.
- Signaturen stemmerDette bekræfter, at beskeden ikke blev ændret efter signeringen, ikke at adressen drives af markedet.
- Tråden blev opdateret for nyligBehandl en gyldig signatur som ét nyttigt signal blandt flere, aldrig som et endegyldigt svar.
En fællestrumpost er endnu svagere. Enhver kan svare med et "bekræftet spejl" og håbe, at folk kopierer det uden at tjekke. En tråd med mange svar og gamle konti er ikke et bevis: konti bliver solgt, og fora bliver kompromitteret. At et link optræder i en populær tråd betyder blot, at mange har set det, ikke at mange har bekræftet det uafhængigt.
Tip
Hold en lille, lokal liste over adresser, du allerede har brugt med held. Når en tråd giver dig en ny adresse, så sammenlign den med din liste — ikke med trådens påstand om, at den er officiel.
Vigtigt
En gyldig signatur på en forfalsket adresse er stadig farlig. Hvis underskriveren blev narret eller kompromitteret, får signaturen det falske til at se stærkere ud, ikke mere sikkert.
I praksis er det mest nyttige tjek dette: den signerede eller refererede adresse skal matche den adresse, du er ved at åbne, tegn for tegn, uden nogen "næsten ens"-undtagelser. Hvis den signerede tekst angiver én adresse, og tråden, du læser, viser en anden, så luk fanen og start forfra fra din egen gemte kopi.
- Signatur
- kryptografisk bevis for, at en bestemt besked kom fra indehaveren af en privat nøgle og ikke blev ændret efterfølgende
- Signeret indeks
- en liste over links ledsaget af en signatur, som kun beviser listens integritet på signeringstidspunktet
- Fællestrumpost
- en offentlig diskussion, hvor alle kan poste links, uden garanti for bekræftelse
Hvad bør jeg gøre, før jeg skriver eller indsætter en onion-adresse i Tor Browser?
Før du indsætter noget som helst, så behandl adressen som en delt adgangskode: én person læser den langsomt højt, en anden kontrollerer den mod en kendt god kilde, og ingen trykker på “forbind”, før begge er enige. Den ene vane fjerner de fleste “tæt nok på”-fejl, før Tor Browser overhovedet rører ved linket.
1Kopiér det mulige linkGem det i en almindelig teksteditor, ikke direkte i Tor Browser
2Læs adressen baglæns én gangNæsten ethvert spoof er afhængigt af, at din hjerne automatisk retter begyndelsen af en streng
3Sammenlign den med én signeret eller længe gemt referenceIkke et nyt søgeresultat og ikke et skærmbillede, en fremmed lagde op for fem minutter siden
4Bed en anden person om at læse den højtHvis du er alene, så sig den selv højt
5Åbn den først derefter i Tor BrowserPå dette tidspunkt bør et forkert tegn allerede føles forkert
Vigtigt
Lad være med at “rette” en mistænkelig adresse ved at taste den forkerte del ind igen efter hukommelsen. At taste efter hukommelsen er præcis sådan, et næsten rigtigt onion bliver til en fungerende phishing-side.
En nyttig regel for en familie eller et lille team er: linket er ikke klar, før to personer har kontrolleret det ud fra to forskellige kopier. Den ene kan have adressen fra en gammel signeret liste, mens den anden læser fra den nye besked eller forumtråd. Hvis de er uenige bare én gang — selv om et enkelt tegn — er linket ikke klar.
Hvad du skal genlæse på selve adressen
På et v3-onion skal du kontrollere de sidste tre og første tre tegn, ikke midten. Midten er for lang til, at de fleste kan holde den i korttidshukommelsen, men enderne er der, hvor slåfejl og spoofs oftest gemmer sig. På en v2-adresse skal du kontrollere de sidste fire tegn før suffikset .onion, fordi det er den kontrolsum, der fanger utilsigtede ændringer.
Tip
Sig den mistænkelige del med en anden accent eller rytme. Det lyder fjollet, men det bryder det mønster, dine øjne forventer at se.
Hvis linket kom med ekstra kontekst — “officiel backup”, “nyt domæne”, “samme som før” — så spørg, hvilken dokumentation der følger med den påstand. En formulering som “samme som før” bør udløse et tjek af før: har du stadig den gamle adresse, og matcher de hinanden noget sted ud over de første otte tegn?
1Antagelse: “Jeg genkender dette link”Genkendelse er ikke verifikation
2Antagelse: “Det blev lagt op af et kendt navn”Navne bliver efterlignet oftere, end links bliver gættet
3Antagelse: “Det ligner det, jeg brugte i sidste uge”Kontrollér de sidste tegn, ikke den overordnede form
4Beslutning: åbn eller ventNår du er i tvivl, så vent på en anden kilde, du allerede har tillid til
| Tjek | Svagt tjek | Stærkt tjek |
|---|---|---|
| Læs linket én gang | fanger kun meget store fejl | fanger meget lidt, giver falsk tryghed ;; Sammenlign enderne af adressen |
Bemærk
For et lille team skal reglen være kedelig: intet onion-link bliver åbnet fra en chatbesked, før nogen har indsat det i en teamnote, og en anden har svaret “kontrolleret”. Svaret betyder mere end selve kontrollen.
Når et link åbner, men noget føles en anelse forkert – er det allerede for sent at bekræfte?
Nej — det at siden åbner, starter en ny bevissfase. Du kontrollerer ikke længere kun linket; du sammenligner det, den indlæste side påstår, med hvordan en troværdig kopi bør se ud. Men hold hovedet koldt: at lukke fanen er nok ved de fleste tidlige uoverensstemmelser, og det er først det at logge ind eller indtaste noget, der gør en mistanke til reel skade.
Hvordan “noget føles en smule forkert” kan se ud, når en side er indlæst
Uventet redirect-kæde
Du åbnede abc.onion, og få øjeblikke senere viser adresselinjen et andet onion eller et exit-hop-mønster, du aldrig bad om. Behandl det som et rødt advarselsbanner, ikke som en kosmetisk detalje.
Ødelagte identitetssignaler
Et marked, der normalt viser sin egen PGP-signerede hilsen, captcha-stil eller velkomstlayout, beder pludselig om en “genbekræftelse” eller viser et næsten identisk, men mere sløret logo. Det hul er fingeraftrykket, der ikke passer.
Formularer på siden, som ikke burde findes
Hvis det første skærmbillede presser dig til at indtaste en mnemonic, privat nøgle, sælgeradgangskode eller “dekryptere din session”, før du overhovedet har kigget rundt, beder siden om noget, et ægte indeks aldrig har brug for.
Ændringer i timing og sprog
Sjældne spejle indlæses i hak, men et konsekvent mønster af usædvanlige forsinkelser ved klik plus en anelse skæv formulering er et tegn på, at kopien leveres gennem et mellemled.
- Siden indlæses som en visuel klonDet grundlæggende tema og markedsnavnet passer, så din vagtsomhed falder et øjeblik ;; Ét element stemmer ikke med hukommelsen
Hvorfor en indlæst side stadig ikke er en betroet side
Inden for onion-tjenester overføres antagelser i TLS-stil ikke på den måde, folk forventer. En .onion-adresse giver allerede transportkryptering gennem Tor, så en ekstra hængelås betyder ikke, at siden er det ægte marked; det betyder, at den skjulte tjeneste har konfigureret et certifikat. En phishing-klon kan også have et certifikat. Det afgørende er, om sidens indhold matcher markedets signerede, tidligere sete identitet — dets PGP-nøgle, layout-fingeraftryk, offentlige meddelelser og den præcise onion-adresse efter enhver redirect.
- Et ægte marked omdirigerer dig normalt ikke til et andet onion umiddelbart efter indlæsning
- Et signeret indeks eller en gemt note kan fortælle dig det forventede fingeraftryk for det første skærmbillede
- Hvis siden ser rigtig ud, men beder om ét ekstra trin, før du kan browse, så behandl det trin som angrebsfladen
Vigtigt
“Test” ikke en mistænkelig side ved at indtaste en falsk adgangskode. Nogle kloner indsamler forsøg og bruger dem til at vurdere, hvor forsigtig du er, mens den reelle risiko er enhver formularinteraktion, der sender data ud, før du har bekræftet siden.
1Mistænkelig side åbnerstop, før du klikker i et formularfelt
2Sammenlign med gemt fingeraftryknotér onion, PGP-sidefod og det første skærmbillede
3Hvis der er en uoverensstemmelseluk fanen, og genstart Tor Browser med et nyt kredsløb
4Hvis intet føles forkertvent et par minutter før et eventuelt login, og tjek siden igen efter et kredsløbsskift
Tip
Før du næste gang skal beslutte under pres, så gem en kort tekstfil eller et printkort med det præcise onion og et eller to visuelle fingeraftryk for hver tjeneste, din familie eller dit team har tillid til. En indlæst side kan kun vurderes i forhold til noget, du allerede har på din side.