Полный разбор луковой маршрутизации: от идеи до технической реализации, шифрования и анонимности в интернете.
Tor (The Onion Router) — это программное обеспечение и одноимённая открытая сеть, разработанная для обеспечения анонимности в интернете путём многоуровневого шифрования и перенаправления трафика через цепочку серверов.
Tor изначально создан исследователями ВМС США в 1990-х годах. Сегодня развивается некоммерческой организацией Tor Project.
Сеть состоит из более чем 7000 ретрансляторов, которые добровольно поддерживают физические лица и организации по всему миру.
Технология получила название из-за многослойного шифрования — как слои лука. Каждый узел снимает один слой, не зная полного пути.
Tor обеспечивает анонимность на сетевом уровне, но не защищает от ошибок пользователя, вредоносного ПО или слабостей прикладного ПО.
Прежде чем отправить запрос, клиент Tor выстраивает трёхузловую цепочку и оборачивает данные в три слоя шифрования. Вот как это происходит шаг за шагом.
При запуске Tor Browser клиент обращается к Directory Servers — доверенным серверам каталогов, которые хранят актуальный список всех ретрансляторов сети с их публичными ключами и метаданными.
consensue document · ~300 KBКлиент случайным образом выбирает три узла: Guard (входной), Middle (средний) и Exit (выходной). Устанавливаются зашифрованные TLS-соединения последовательно — сначала с Guard, затем расширяется цепочка до Middle и Exit по протоколу Tor Circuit Extension.
Tor Handshake · CREATE/CREATED cellsПеред отправкой клиент оборачивает данные в три слоя шифрования. Внешний слой шифруется ключом Exit-узла, средний — ключом Middle, внутренний — ключом Guard. Каждый узел видит только «свой» слой.
AES-128-CTR · per-hop encryptionGuard-узел снимает внешний слой шифрования и пересылает данные Middle-узлу. Middle снимает свой слой и пересылает Exit-узлу. Exit снимает последний слой и отправляет запрос конечному сайту в открытом (или HTTPS-зашифрованном) виде.
RELAY cells · 512 bytes eachОтвет от сайта идёт обратно через Exit → Middle → Guard, каждый узел добавляет слой шифрования. Клиент снимает все три слоя и получает исходные данные. Весь маршрут занимает, как правило, 200–2000 мс.
reverse circuit · layered encryptionКаждый ретранслятор в сети Tor выполняет строго определённую роль. Именно разделение ролей обеспечивает свойство анонимности: ни один узел не обладает полной информацией о соединении.
Название "луковая маршрутизация" отражает структуру пакета: данные оборачиваются в несколько слоёв шифрования, каждый из которых снимается соответствующим узлом.
Для каждого узла цепочки клиент согласовывает симметричный сессионный ключ через протокол Diffie-Hellman (ntor handshake). Используются эллиптические кривые Curve25519.
Помимо луковых слоёв, все соединения между узлами защищены TLS, что добавляет дополнительный уровень конфиденциальности и защиту от прослушивания на каналах.
Трафик делится на ячейки (cells) фиксированного размера 512 байт. Это затрудняет анализ трафика по размеру пакетов — все пакеты выглядят одинаково.
Предположим, вы открываете сайт example.com через Tor. Вот какая информация доступна каждому участнику цепочки.
Tor — мощный инструмент, но не универсальное решение. Понимание его ограничений так же важно, как знание возможностей.
| Характеристика | Tor | VPN | HTTPS | Прокси |
|---|---|---|---|---|
| Скрывает IP от сайтов | Да | Да | Нет | Да |
| Скрывает трафик от провайдера | Частично | Да | Частично | Нет |
| Требует доверия посреднику | Нет | Да (VPN-провайдер) | Нет | Да |
| Устойчив к корреляционным атакам | Частично | Нет | Нет | Нет |
| Скрытые сервисы | Да (.onion) | Нет | Нет | Нет |
| Скорость работы | Медленная | Средняя | Быстрая | Средняя |
Многие легитимные организации запустили официальные .onion-версии своих ресурсов. Ниже — проверенные сайты с публично известными адресами, упорядоченные по категориям.
Tor — легитимный инструмент, который ежедневно используют миллионы людей по всему миру в совершенно разных целях.
Журналисты защищают источники и обходят цензуру в авторитарных режимах
Активисты в странах с цензурой получают доступ к закрытому контенту
Аналитики собирают данные анонимно, не раскрывая интерес к объекту
Учёные и ИБ-специалисты изучают сетевые угрозы анонимно
Обычные пользователи скрываются от таргетированной рекламы и слежки
Доступ к заблокированным сайтам и ресурсам по всему миру
Зеркало — это точная копия сайта, размещённая по другому адресу. Когда основной ресурс заблокирован или недоступен, зеркало позволяет получить те же данные через иной домен или хостинг.
Зеркало синхронизирует содержимое с оригиналом — вручную или автоматически (через rsync, CDN, репликацию). Посетитель видит тот же контент, но сервер и IP-адрес отличаются.
Когда регулятор блокирует домен, DNS-запись или IP-адрес оригинала — зеркало на другом домене или в другой юрисдикции остаётся доступным. Новый адрес не попадает в реестры сразу.
Официальные зеркала создаёт сам владелец ресурса и публикует их через доверенные каналы. Неофициальные могут быть устаревшими или содержать изменённый контент — доверять им опасно.
Когда сайт заблокирован, а старая ссылка не работает — нужно знать, где искать проверенные адреса. Важно пользоваться только официальными и доверенными источниками.
Большинство заблокированных ресурсов ведут официальные аккаунты в Telegram, X (Twitter) или Mastodon. В описании профиля или закреплённых постах всегда публикуются актуальные рабочие ссылки и зеркала.
Многие проекты хранят актуальный список зеркал в открытом репозитории. Такой список сложнее заблокировать, чем обычный сайт, и он обновляется самим проектом. Ищите файлы MIRRORS.md или README с разделом "Mirrors".
Подписка на официальную рассылку — один из самых надёжных способов получать актуальные адреса. Email-адрес не блокируется, а письма приходят напрямую при смене домена или зеркала.
Результаты поиска могут содержать фишинговые копии, которые выглядят как оригинал. Обязательно сверяйте найденную ссылку с официальными источниками перед вводом каких-либо данных.
Скрытый .onion-сервис невозможно заблокировать обычными средствами — он не зависит от DNS, регистраторов и IP-адресов. Официальный .onion-адрес публикуется самим проектом и остаётся стабильным долгое время.