Как заблокировать или ограничить доступ пользователей Tor к вашему сервису

Нам жаль это слышать! Бывают ситуации, когда владельцу ресурса нужно заблокировать доступ анонимных пользователей. Но во многих случаях есть более простые способы решения этой проблемы. Пользователи по-прежнему смогут безопасно входить на ваш сайт.

Во-первых, спросите себя, есть ли способ принимать решения на уровне приложения, чтобы отделить законных пользователей от придурков. Например, сделать некоторые разделы сайта или функции (право оставлять комментарии?) доступными только для зарегистрированных пользователей. Составить актуальный список IP-адресов Tor нетрудно. Вы можете установить ограничения конкретно для этого списка. Так у вас получится многоуровневый контроль доступа. Вам не придется закрывать сайт сразу от множества людей.

Например, в IRC-сети Freenode возникла проблема с тем, что скоординированная группа злоумышленников присоединилась к каналам и незаметно перехватила разговор; но когда Freenode пометили всех пользователей, приходящих с узлов Tor, как "анонимных пользователей", лишив злоумышленников возможности смешиваться, злоумышленники вернулись к использованию своих открытых прокси и бот-сетей.

Подумайте о сотнях тысяч людей, которые используют Tor ежедневно просто ради безопасности своих данных. Например, для защиты от сборщиков информации, рекламных компаний. Есть те, кто использует Tor, потому что это единственный способ преодолеть жесткий местный брандмауэр. Прямо сейчас некоторые пользователи Tor могут связываться с вашим сервисом, не совершая никаких злонамеренных действий. Вам необходимо решить, стоит ли запрет сети Tor потери вкладов этих пользователей, а также потенциальных будущих законных пользователей. (Владелец сервиса часто не знает, сколько к нему пришло "правильных" пользователей Tor, и даже не замечает их, пока не возникает злодей.)

На этом этапе вам также следует спросить себя, что вы делаете с другими сервисами, которые объединяют множество пользователей за несколькими IP-адресами. В этом смысле Tor не очень-то отличается от AOL.

И напоследок, пожалуйста, помните, что у узлов Tor есть индивидуальные политики исходящего трафика. Многие узлы Tor вообще не позволяют исходящие соединения. Многие из тех, которые разрешают некоторые исходящие соединения, могут (уже) запрещать подключения к вашему сервису. Если вы намереваетесь блокировать узлы, лучше проверить политики исходящего трафика и блокировать только те узлы, которые позволяют такие подключения. Имейте в виду, что политики могут меняться (как, впрочем, и весь список узлов сети Tor).

Если вы решительно настроены на блокировку, у нас есть список выходных узлов Tor и другой список узлов, основанный на DNS.

(Некоторые системные администраторы блокируют диапазоны IP-адресов. Обычно причиной являются политика безопасности или какой-либо шаблон, соответствующий злоумышленнику. Иногда администраторы разрешают выходные узлы Tor, поскольку хотят обеспечить доступ к своим сервисам только пользователям Tor. Эти скрипты пригодны и для создания "разрешительных списков".)