勇敢的浏览器通过DNS泄漏您的Tor / Onion服务请求

编辑：（因为这在其他地方越来越受关注。）我不是想在《勇敢传说》上拉屎。我只是想帮助保护可能使用Brave的Tor功能的最终用户来完成Tor上的工作，而这些工作只能在实际的Tor浏览器中完成。如果您使用的是《勇敢传说》，则可能会使用它，因为您希望获得一定程度的隐私/匿名性。通过DNS传送.onion请求，您的ISP或DNS提供商可以看到您对.onion站点的请求失败了。

我也没有NetSec专家，但是您不必复制它。我只是一个有一些网站和项目的家伙，我不确定如果不是由另一个项目的合作伙伴向我报告的，我在监视时看到此行为，我会注意到这一点他的本地请求离开了他的网络。他将自己撰写文章，并且比我更精通于讨论。

测试一周左右之前提到的内容，并希望出于本篇文章的目的对其进行复制。

你们中有些人知道我正在为与该站点无关的项目从事广告，跟踪器和其他BS阻止VPN服务的工作。请访问/ f / incoghost（网站）以获取更多信息，因为我试图将这些内容分开。

无论如何，据一位合作伙伴报告，Brave正在泄漏洋葱站点的DNS请求，我当时能够确认这一点。决定使用Brave启动虚拟机并使用此站点的Onion服务进行测试（尽管它将对任何.onion执行此操作）

此项显示（简单）的是，对域rambleeeqrhty6s5jgefdfdtc6tfgg4jj6svr4jpgk4wjtg3qshwbaad.onion发出的请求已发送到DNS服务器，并标记有请求者的IP，在这种情况下，它只是测试/开发VPN。这不应该发生。勇敢的人没有任何理由尝试通过传统方式来解析.onion域，就像在常规的clearnet网站上那样。

对于那些从普通住宅IP使用Brave浏览器并且（出于任何原因）使用浏览器中内置的Tor功能访问Tor站点的人来说，这尤其令人担忧。您的ISP或DNS提供商将知道您的IP对特定Tor网站的请求。使用Brave，您的ISP会知道您访问了somesketchyonionsite.onion。

TL; DR：如果您要使用Tor，请使用Tor浏览器，而不要勇敢。 Tor浏览器本身不会像Brave那样泄漏这些请求。

编辑：为澄清起见，我们正在使用的VPN服务没有记录，但是在此开发和测试期间，我们记录了DNS请求，同时确定了黑名单。这也使我们能够见证洋葱通过，这是勇敢的错误。

那就是我以勇敢的方式将duckduckgo加载到另一个容器中，同时实时获取对DNS服务器的DNS请求。我模糊了非洋葱的要求。 （与上述示例中的VPN测试位置不同，因此IP地址为209.x.x.x，而不是原始示例中的104.x.x.x。

尽管我们（非常）更喜欢“勇敢者”浏览器而不是Tor浏览器，但您将需要比找到的浏​​览器更好的资源。您可以从更广为人知的NetSec专家那里找到一些东西吗？是与布鲁斯·施耐尔（Bruce Schneier）的博客类似，还是在这种信誉水平上？

屏幕截图的问题在于它们可以被轻易伪造。在一行文本出现在打印之前，NetSec空间中还有许多可靠的作者/报告者可以采用的方法。我们必须信任这种新闻，因为我们谦虚的Mods没有时间或资源来审查。因此，我们需要一些更好的货源。对不起！

每天都有新帖子＆＃34;警告＆＃34;不合法的人，因此要谨慎。这不是＆＃34;安全＆＃34; subreddit。主持人的工作是确保小组讨论不会陷入阴谋论和错误信息中。安全公告应经过审核和确认，而不是独立声称该Mod没有时间独立验证。

我可以发布有关如何在其本地网络上使用pi-hole轻松复制此步骤的步骤。任何人都可以验证这一点。

伟大的。 请在r / brave，r / netsec，r / infosec以及其他直接相关且适当的地方进行此操作，以寻求其他人的确认。 一旦被社区审核（并由专业人士重新发布），欢迎您发布这些官方回复。 / r / brave是私人的，仅邀请。 我在netsec和infosec上发布过，所以我们会看到。 我猜/ r / privacy必须爱Brave并且不允许任何反对，因为它真是太该死了，容易验证这一点... 验证发生的所有事情是A.）勇敢B.）到洋葱站点C.）观察DNS流量。 将Pi-Hole安装在Raspberry Pi上或桌面上的虚拟机中，并通过它运行DNS请求，以便于使用，您可以对其进行验证。 不知道为什么他们如此犹豫将其通知给订户。 编辑3：在Debian 10和Ubuntu桌面上都进行了测试。 我不尊敬NetSec研究人员，也不设置100种不同的方案。