Tor e privoxy: problema di autenticazione?

[legionario]

Un saluto a tutti!

Premessa: il mio computer si trova dentro una lan aziendale, quindi dietro Proxy Microsoft.

Ho appena finito di configurare Tor e Privoxy seguendo le istruzioni della documentazione ufficiale e alcuni consigli trovati qui su slacky. I due demoni partono correttamente senza alcun errore o warning segnalato, ma, dopo aver abilitato tor dal plugin Torbutton di firefox, il browser non riesce a raggiungere nessun sito. In pratica rimane per un sacco di tempo su "Waiting for nomesito.com..." fino a quando mi appare il seguente messaggio di errore di Privoxy:

Codice: Seleziona tutto

 
No such domain
Your request for http://nomesito.com could not be fulfilled, because the domain name nomesito.com could not be resolved. 

Questo e' il log di tor (/var/log/tor/tor.log) :

Codice: Seleziona tutto

[notice] Tried for 120 seconds to get a connection to [scrubbed]:80. Giving up. (waiting for circuit)

Quindi, poiche' c'e' un problema a trovare i dns deduco che non riesco a superare il proxy aziendale. Queste sono i miei file di configurazione di tor e privoxy:

/etc/tor/torrc :

Codice: Seleziona tutto

SocksPort 9050 # what port to open for local application connections
SocksListenAddress 127.0.0.1 # accept connections only from localhost
HttpProxy 10.150.xxx.xxx:8080
HttpProxyAuthenticator utente:password
HttpsProxy 10.150.xxx.xxx:8080
HttpsProxyAuthenticator utente:password
ReachableDirAddresses *:80
ReachableORAddresses *:443

/etc/privoxy/config :

Codice: Seleziona tutto

forward-socks4a / 127.0.0.1:9050 .
confdir /etc/privoxy
logdir /var/log/privoxy
actionsfile standard  # Internal purpose, recommended
actionsfile default   # Main actions file
actionsfile user      # User customizations
filterfile default.filter
# Don't log interesting things, only startup messages, warnings and errors
#logfile logfile
#jarfile jarfile
#debug   0    # show each GET/POST/CONNECT request
debug   4096 # Startup banner and warnings
debug   8192 # Errors - *we highly recommended enabling this*
user-manual /usr/share/doc/privoxy/user-manual
listen-address  127.0.0.1:8118
toggle  1
enable-remote-toggle 0
enable-edit-actions 0
enable-remote-http-toggle 0
buffer-limit 4096

Gli altri file di configurazione di privoxy non li ho toccati perche' la documentazione dice che non e' indispensabile.
Se riusciste a darmi una mano ve ne sarei veramente grato perche' il proxy stranamente non mi consente di collegarmi ad alcuni siti governativi americani dove ho assoluto bisogno di scaricare alcuni documenti per la mia tesi.
Ho pensato che si potesse trattare di un problema del proxy che, essendo Microsoft, forse utilizza la modalita' di autenticazione NTLM. Il problema e' che non so realmente se il proxy utilizza questo benedetto NTLM. C'e' un modo per saperlo?

Grazie

[legionario]

Dunque, ho provato a configurare il tutto con Tork ma il problema rimane lo stesso. Ho scaricato e installato ntlmaps che, funzionando come proxy server locale, consente di autenticare sessioni http di tipo NTLM, quindi ho configurato una catena di proxy facendo puntare tor a privoxy e quest'ultimo a ntlmaps. Il risultato non cambia.

Nella barra di stato di tork lampeggiano i seguenti messaggi:

Codice: Seleziona tutto

 0 servers on network
Client: status unknown
Server: status unknown

Non ho dubbi del funzionamento di ntlmaps perche' mi consente di utilizzare egregiamente swaret, cosa che prima era impossibile. Quindi tendo a escludere la mia precedente ipotesi, non credo il problema sia dovuto all'autenticazione NTLM del proxy della LAN.
Visto che quest'ultimo problema l'avevo sollevato tempo fa, ma senza esito, aggiorno il vecchio post...

Possibile che nessuno abbia mai utilizzato tor + privoxy all'interno di una lan? Mi sembra strano perche' da quanto ne so e' un metodo molto in voga per attuare il proxy avoidance...

[sid77]

rispondo a questo post perchè mi fido di più dei file di conf che delle gui
quindi considera di lavorare con queste configurazioni

quindi dietro Proxy Microsoft.

è un ISA server? potrebbe essere parecchio noioso da superare

Questo e' il log di tor (/var/log/tor/tor.log) :

il messaggio di "giving up" non è il massimo dell'utilità, puoi postare, invece, il log da quando annuncia l'avvio di tor? (in pratica dall'inizio)

/etc/tor/torrc :

mi sembra corretto

/etc/privoxy/config :

pure questo

se non caviamo un ragno dal buco, considera di postare nella mailing list or-talk, è in inglese ma c'è dentro della gente che ne sa a manciate di tor (tra cui, ovviamente, gli sviluppatori stessi)

ciao

[legionario]

Ci sono riuscito!

Hai detto bene! E' meglio lasciar stare le gui. Il server e' di tipo ISA e in effetti per superarlo ci sono non poche difficolta'. C'e' bisogno dell'utility ntlmaps per poter essere autenticati su questo tipo di server.

In pratica si deve fare una concatenazione di proxies in questa maniera:
1) configurare privoxy per fargli indirizzare tutto il traffico SOCKS e non quello HTTP verso Tor;
2) instradare tutti i pacchetti che tor ha ricevuto da privoxy verso ntlmaps, il quale reindirizzera' i pacchetti cosi' modificati, con l'aggiunta delle informazioni per l'autenticazione, al proxy isa. In questa fase si deve istruire tor a comunicare solo sulle porte 80 e 443, in quanto sono generalmente le uniche consentite dal sever ISA.

La connessione funziona ma i tempi di latenza aumentano visibilmente. In linea teorica con questa tecnica si puo' aver accesso anche ai servizi di irc e di messaggistica, ma ancora non l'ho provato.

[sid77]

Ci sono riuscito!

congrats

La connessione funziona ma i tempi di latenza aumentano visibilmente.

in realtà la latenza dovrebbe essere dovuta tutta a privoxy, che passa in rassegna le connessioni e prova a far stripping della pubblicità e di altra roba.
se vuoi, puoi provare a levare privoxy e usare polipo al suo posto, tra l'altro prima o poi anche i bundle ufficiali faranno questo cambiamento (più "poi" che "prima").

In linea teorica con questa tecnica si puo' aver accesso anche ai servizi di irc e di messaggistica, ma ancora non l'ho provato.

IM di sicuro, irc è un po difficile: i maggiori network bloccano l'accesso da tor per proteggersi dagli abuse (che diventano veramente troppo facili), l'unico tor-friendly era, fino a un po di tempo fa, freenode che offriva un hidden server per connettersi al suo network. purtroppo hanno avuto dei problemi con dei bot per il logging che viaggiavano via tor

p.s.: a infosecurity di febbraio parlo di tor, se vuoi venire sei il benvenuto

[legionario]

in realtà la latenza dovrebbe essere dovuta tutta a privoxy, che passa in rassegna le connessioni e prova a far stripping della pubblicità e di altra roba.
se vuoi, puoi provare a levare privoxy e usare polipo al suo posto, tra l'altro prima o poi anche i bundle ufficiali faranno questo cambiamento (più "poi" che "prima").

Appena ho un po' di tempo provo questo polipo. Ma in pratica cosa fa di diverso da privoxy? Non filtra le pagine web?

IM di sicuro, irc è un po difficile: i maggiori network bloccano l'accesso da tor per proteggersi dagli abuse (che diventano veramente troppo facili), l'unico tor-friendly era, fino a un po di tempo fa, freenode che offriva un hidden server per connettersi al suo network. purtroppo hanno avuto dei problemi con dei bot per il logging che viaggiavano via tor

Ho provato con kopete ma non c'e' la possibilita' di impostare il proxy. C'e' qualche IM che lo consente?
Per quanto riguarda irc allora e' meglio che ci metto una pietra sopra..
Da quello che mi dici mi viene un dubbio: un sysadmin puo' scoprire che sto usufruendo della rete tor oppure non c'e' alcun rischio di essere scoperti?

p.s.: a infosecurity di febbraio parlo di tor, se vuoi venire sei il benvenuto

Ti ringrazio per l'invito. Mi piacerebbe tanto venire, ma in quel periodo nascera' mia figlia e dovro' andare a Roma. Comunque qual e' il programma d'infosecurity? Se si svolge la sera e sto ancora a Bergamo vorrei partecipare.

Grazie per i suggerimenti

Saluti

[sid77]

Appena ho un po' di tempo provo questo polipo. Ma in pratica cosa fa di diverso da privoxy? Non filtra le pagine web?

sul sito linkato, dicono che invece lo fa. magari lo fa più velocemente o magari meno
rimane il punto che sembra effettivamente più veloce e dovrebbe essere già stato adottato da JanusVM (virtual machine per torificare tutte le connessioni di una macchina) al posto di privoxy.

Ho provato con kopete ma non c'e' la possibilita' di impostare il proxy. C'e' qualche IM che lo consente?

sul serio? mi pare strano in ogni caso pidgin supporta l'uso di proxy.

Da quello che mi dici mi viene un dubbio: un sysadmin puo' scoprire che sto usufruendo della rete tor oppure non c'e' alcun rischio di essere scoperti?

esistono le signature per snort, quindi se il sysadmin è abbastanza sgamato se ne accorge.

Ti ringrazio per l'invito. Mi piacerebbe tanto venire, ma in quel periodo nascera' mia figlia e dovro' andare a Roma.

congrats!

Comunque qual e' il programma d'infosecurity?

http://www.infosecurity.it/

ciao