Tor 出口政策之所以屏蔽 IP 地址而非域名的原因
虽然中继运营者按主机名屏蔽网站看似有用,但 Tor 出口政策仅支持基于 IP 的规则,以防止通过 DNS 操纵进行审查和滥用。
如果中继运营商在他们的出口政策中说reject www.slashdot.org这样的话,而不是要求他们列出所有可能被该网站覆盖的 IP 地址空间(然后把这些 IP 地址上其他网站也屏蔽),听起来很不错。
然而,这样有两个问题。 首先,用户仍然能够绕过屏蔽。 比如,当从 Tor 网络退出时,他们可以请求 IP 地址而不是主机名。 也就是说,中继运营者仍然需要了解所有目标 IP 地址。
第二个问题是,它将允许远程攻击者屏蔽任意网站。 例如,如果 Tor 运营商封锁 www1.slashdot.org,然后一些攻击者污染 Tor 中继的 DNS 或以其他方式更改该主机名以解析到一个主要新闻网站的 IP 地址,这样突然间这个 Tor 中继就阻止了该新闻网站。