在信任一个 .onion 地址之前,如何正确验证它
onion 地址不是名字 - 它是公钥。错一个字符,你就坐到了陌生人的服务器前。关于验证,研究人员与运营者都说了什么。
安全
43 篇帖子关于不被钓鱼的简短实用笔记。不贩卖恐慌,只有清单。
最新笔记
最新优先假查封横幅:当警方通告成为骗局的一部分
假查封横幅为 exit scam 与钓鱼套件供料。AlphV 恶作剧的内幕、克隆 takedown 页面的解剖,以及能戳穿摆拍突袭的核对方法。
Playpen 与 NIT:重写 tor browser 安全的 FBI 那次入侵
2015 年,FBI 运营了 13 天 dark web 站点 Playpen,并用一个浏览器 exploit 揭开了 1000 多名访客的身份。NIT 是如何工作的。
一步一步验证 PGP 签名:导入、核对、识破伪造
一次 PGP 签名验证的实践巡游:安装 GnuPG、导入与核对密钥、验证 detached 与 clearsigned 消息 - 以及要避开的典型新手错误。
钓鱼镜像为什么有效:darknet 最可靠骗术的心理学与机制
假镜像窃取登录与充值,因为它们利用紧迫感、品牌信任与被投毒的链接列表。骗术如何运作 - 以及哪些习惯能击败它。
clipboard 劫持者:悄悄调换你加密地址的恶意软件
clipboard 劫持者守候复制的加密地址,并在毫秒间完成调换。为什么只看首尾字符已不再够用。
address poisoning 解析:相似地址如何掏空加密钱包
address poisoning 往你的交易历史里播种相似的地址,守候一次疏忽的复制粘贴。骗局如何运作、受害者失去了什么,以及为什么保存的地址簿会赢。
错一个字符:onion typosquatting 如何把用户送进冒名服务器
改掉 .onion 地址中的一个字符,tor 就会把你连到另一台完全不同的服务器。我们重新审视有据可查的相似域名活动,以及那些站得住的验证习惯。
onion 站点上的小锁:HTTPS 证书对 .onion 到底意味着什么
.onion 站点上的小锁,含义与 clearnet 不同。我们看 TLS 为 onion 服务增加了什么,以及 tor 在此之外已做了什么。
tor browser 中的 fingerprinting:什么仍在泄露,什么不会
tor browser 通过让所有人 identical 阻断了大部分 fingerprinting。同质化防御覆盖了什么、什么仍在渗出,以及用户如何亲手破坏它。
hidden services 上的验证码:用隐私换来的便利
onion 运营者依赖验证码挺过 DDoS 浪潮,但第三方挑战可能泄露访客数据、破坏匿名性。如何权衡这些取舍。
一个账户,一个密码:为什么凭据复用仍在杀死市场登录
大多数被攻陷的账户倒于密码复用,而不是 exploit。旧 dump 如何喂养今天的接管、NIST 到底建议什么,以及如何构建能活下来的登录。