Alternative Internet

Sat, 16 Dec 2023 02:40:00 +0000

author: DominicusIn

Alternative Internet
#

A collection of interesting networks and technology aiming at re-decentralizing the Internet. If you would like to help in categorising these projects, please submit a PR to this README.md file.

Dark Web Links

Thu, 18 May 2023 06:02:00 +0000

author: DominicusIn

Dark Web Links v3
#

New v3 Hidden Services
#

V3 Onion Hidden Services Links And Deprecation Of Old V2 Onion Sites

The short version 2 onion services will deprecated, after 15 years the Tor Project is going to switch to the new and more secore, and also longer version 3 .onion links.

Make sure to have a site like this repo bookmarked where you can find the new v3 dark web links.

The following list are the first sites which are available as a v3 .onion hidden service, when more sites switch to the new protocol, we will update the homepage with a bigger list of up to date links.

Recommendet to use Tails as a live usb

macOS-Security-and-Privacy-Guide

Mon, 06 Sep 2021 06:01:00 +0000

author: DominicusIn

This guide is a collection of techniques for improving the security and privacy of a modern Apple Macintosh computer (“MacBook”) running a recent version of macOS (formerly known as “OS X”).

HipChat Alternatives

Mon, 16 Dec 2019 03:42:00 +0000

author: DominicusIn

HipChat Alternatives
#

Why?
#

HipChat is fantastic, however:

dpiblock

Fri, 10 Nov 2017 16:58:00 +0000

author: DominicusIn

Провайдеры Российской Федерации, в большинстве своем, применяют системы глубокого анализа трафика (DPI, Deep Packet Inspection) для блокировки сайтов, внесенных в реестр запрещенных. Не существует единого стандарта на DPI, есть большое количество реализации от разных поставщиков DPI-решений, отличающихся по типу подключения и типу работы.

Существует два распространенных типа подключения DPI: пассивный и активный.

Пассивный DPI

Пассивный DPI — DPI, подключенный в провайдерскую сеть параллельно (не в разрез) либо через пассивный оптический сплиттер, либо с использованием зеркалирования исходящего от пользователей трафика. Такое подключение не замедляет скорость работы сети провайдера в случае недостаточной производительности DPI, из-за чего применяется у крупных провайдеров. DPI с таким типом подключения технически может только выявлять попытку запроса запрещенного контента, но не пресекать ее. Чтобы обойти это ограничение и заблокировать доступ на запрещенный сайт, DPI отправляет пользователю, запрашивающему заблокированный URL, специально сформированный HTTP-пакет с перенаправлением на страницу-заглушку провайдера, словно такой ответ прислал сам запрашиваемый ресурс (подделывается IP-адрес отправителя и TCP sequence). Из-за того, что DPI физически расположен ближе к пользователю, чем запрашиваемый сайт, подделанный ответ доходит до устройства пользователя быстрее, чем настоящий ответ от сайта.

Выявляем и блокируем пакеты пассивного DPI

Поддельные пакеты, формируемые DPI, легко обнаружить анализатором трафика, например, Wireshark.
Пробуем зайти на заблокированный сайт:

Мы видим, что сначала приходит пакет от DPI, с HTTP-перенаправлением кодом 302, а затем настоящий ответ от сайта. Ответ от сайта расценивается как ретрансмиссия и отбрасывается операционной системой. Браузер переходит по ссылке, указанной в ответе DPI, и мы видим страницу блокировки.

Рассмотрим пакет от DPI подробнее:

HTTP/1.1 302 Found
Connection: close
Location: http://warning.rt.ru/?id=17&st=0&dt=195.82.146.214&rs=http%3A%2F%2Frutracker.org%2F

В ответе DPI не устанавливается флаг «Don't Fragment», и в поле Identification указано 1. Серверы в интернете обычно устанавливают бит «Don't Fragment», и пакеты без этого бита встречаются нечасто. Мы можем использовать это в качестве отличительной особенности пакетов от DPI, вместе с тем фактом, что такие пакеты всегда содержат HTTP-перенаправление кодом 302, и написать правило iptables, блокирующее их:

# iptables -A FORWARD -p tcp --sport 80 -m u32 --u32 "0x4=0x10000 && 0x60=0x7761726e && 0x64=0x696e672e && 0x68=0x72742e72" -m comment --comment "Rostelecom HTTP" -j DROP

Что это такое? Модуль u32 iptables позволяет выполнять битовые операции и операции сравнения над 4-байтовыми данными в пакете. По смещению 0x4 хранится 2-байтное поле Indentification, сразу за ним идут 1-байтные поля Flags и Fragment Offset.
Начиная со смещения 0x60 расположен домен перенаправления (HTTP-заголовок Location).
Если Identification = 1, Flags = 0, Fragment Offset = 0, 0x60 = «warn», 0x64 = «ing.», 0x68 = «rt.ru», то отбрасываем пакет, и получаем настоящий ответ от сайта.

В случае с HTTPS-сайтами, DPI присылает TCP Reset-пакет, тоже с Identification = 1 и Flags = 0.

Активный DPI

Активный DPI — DPI, подключенный в сеть провайдера привычным образом, как и любое другое сетевое устройство. Провайдер настраивает маршрутизацию так, чтобы DPI получал трафик от пользователей к заблокированным IP-адресам или доменам, а DPI уже принимает решение о пропуске или блокировке трафика. Активный DPI может проверять как исходящий, так и входящий трафик, однако, если провайдер применяет DPI только для блокирования сайтов из реестра, чаще всего его настраивают на проверку только исходящего трафика.

Системы DPI разработаны таким образом, чтобы обрабатывать трафик с максимально возможной скоростью, исследуя только самые популярные и игнорируя нетипичные запросы, даже если они полностью соответствуют стандарту.

Изучаем стандарт HTTP

Типичные HTTP-запросы в упрощенном виде выглядят следующим образом:

GET / HTTP/1.1
Host: habrahabr.ru
User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64; rv:49.0) Gecko/20100101 Firefox/50.0
Accept-Encoding: gzip, deflate, br
Connection: keep-alive

Запрос начинается с HTTP-метода, затем следует один пробел, после него указывается путь, затем еще один пробел, и заканчивается строка протоколом и переносом строки CRLF.
Заголовки начинаются с большой буквы, после двоеточия ставится символ пробела.

Давайте заглянем в последнюю версию стандарта HTTP/1.1 от 2014 года. Согласно RFC 7230, HTTP-заголовки не зависят от регистра символов, а после двоеточия может стоять произвольное количество пробелов (или не быть их вовсе).

 Each header field consists of a case-insensitive field name followed
 by a colon (":"), optional leading whitespace, the field value, and
 optional trailing whitespace.
 header-field = field-name ":" OWS field-value OWS

 field-name = token
 field-value = *( field-content / obs-fold )
 field-content = field-vchar [ 1*( SP / HTAB ) field-vchar ]
 field-vchar = VCHAR / obs-text

 obs-fold = CRLF 1*( SP / HTAB )
 ; obsolete line folding</code></pre><br>

OWS — опциональный один или несколько символов пробела или табуляции, SP — одинарный символ пробела, HTAB — табуляция, CRLF — перенос строки и возврат каретки (\r\n).



Это значит, что запрос ниже полностью соответствует стандарту, его должны принять многие веб-серверы, придерживающиеся стандарта:

Privacy on Dominicus In

Alternative Internet

Alternative Internet
#

Dark Web Links

Dark Web Links v3
#

New v3 Hidden Services
#

macOS-Security-and-Privacy-Guide

HipChat Alternatives

HipChat Alternatives
#

Why?
#

dpiblock

Пассивный DPI

Выявляем и блокируем пакеты пассивного DPI

Активный DPI

Изучаем стандарт HTTP

OnionShare

OnionShare
#

Privacy on Dominicus In

Alternative Internet

Alternative Internet #

Dark Web Links

Dark Web Links v3 #

New v3 Hidden Services #

macOS-Security-and-Privacy-Guide

HipChat Alternatives

HipChat Alternatives #

Why? #

dpiblock

Пассивный DPI

Выявляем и блокируем пакеты пассивного DPI

Активный DPI

Изучаем стандарт HTTP

OnionShare

OnionShare #

Alternative Internet
#

Dark Web Links v3
#

New v3 Hidden Services
#

HipChat Alternatives
#

Why?
#

OnionShare
#