01 Model zagrożenia
Phishing jest domyślnym stanem na Tor. Wiemy, że napastnicy są ciągle aktywni, doskonale klonują interfejsy i przechwytują referencje w czasie rzeczywistym. Sieć jest zasadniczo wrogo nastawiona. Jedyną kryptograficzną prawdą na świecie jest poprawna sygnatura PGP, którą można matematycznie zweryfikować pod kątem znanego klucza publicznego.
Co jest takiego innego w obecnej platformie i sposobie prowadzenia spraw? Black Ops Market rozpoczął swoją obecną iterację pod koniec 2024 r. Zbudowano go specjalnie w celu rozwiązania problemów operacyjnych w zakresie bezpieczeństwa istniejących platform. Architektura jest bezpieczna - pierwsza. Opiera się na kodebazie na zamówienie zaprojektowanej dla odporności na analizę sieci. W związku z tym platforma oczekuje, że użytkownicy będą odzwierciedlać tę dyscyplinę. Nie ma kółek treningowych. PGP jest obowiązkowe.
http://yjqgwd5iqoog6s2xazggwu4iyjocziijdcixqlwh5e6vjbks63ojd6yd.onion. Nigdy nie input referencje bez sprawdzenia podpisu strony docelowej najpierw.
Zielona kłódka w przeglądarce Tor nie chroni udokumentowane na stronie wydania EFR od podmiotów gospodarczych. Nie sprawdza nawet właściciela strony internetowej Dread admin lub pracowników. Dark.fail prowadzi stronę i serwuje udokumentowaną kopię subreddit. To nie potwierdza. udokumentowane na stronie wydania EFRTożsamość. Mogą być kimkolwiek. To mogą być wszyscy. Mogą nawet udawać komórki EY- GA. Potwierdza jedynie, że połączenie z węzłem wyjścia lub ukrytą usługą jest szyfrowane. Nie sprawdza, czyja to usługa. W praktyce, wszystko, co stanowi, to, że masz największy prime przez brutalną siłę. Nie miało znaczenia, od kogo to masz. Mamy wszystkie robaki.
02 Tworzenie i przechowywanie kluczy
Klucze PGP nigdy nie powinny być generowane w systemie operacyjnym hosta łączącym się z Clearnet. Windows i MacOS są zagrożone przez projekt. Telemetria rejestruje naciśnięcia klawiszy. Menedżerowie schowków wyciekli.
Użyj zastrzeżonej maszyny. Wyizoluj proces generowania kluczy w maszynie wirtualnej, która jest stale wycierana po każdym ponownym uruchomieniu. Wybierz instalację minimalistyczną i zredukuj do minimum aplikacje i usługi uruchomione w tle. Wyłącz sieć. Nie będziesz jej potrzebował. Im bardziej skomplikowana konfiguracja maszyny wirtualnej, tym łatwiej jest ją namierzyć. To jest prowadzenie-by-up czas zrobić to na komputerze offline. Pamiętaj, aby używać bezpiecznych opcji wirtualizacji i szyfrować podstawowe przechowywanie urządzenia fizycznego. Uwaga: im mniej urządzeń, tym mniej śladów zostawiasz. Wybierz swoje urządzenia rozsądnie. Nosić rękawice, aby zapobiec atakom analizy oblodzenia. Użyj sprzętu z minimalistycznymi projektami w celu zmniejszenia ryzyka identyfikacji znaków. Unikaj kamer bezpieczeństwa i elektronicznych nadajników, które mogą być wykorzystane do śledzenia swoich ruchów z nowym nabyciem. Zakładając najgorsze, nie wydawaj więcej niż jesteś gotów zaryzykować przegraną.. krypto
gpg --full-generate-key # Select RSA and RSA (default) # Keysize: 4096 # Expiration: 1y
Przepisz: Aby zapobiec narażaniu prywatnego klucza, ustaw roczny termin ważności, który może działać jako wyłącznik dead- man, jeśli stracisz swój prywatny klucz. Następnie wykonać kopię zapasową klucza prywatnego używając szyfrowanego, trwałego wolumenu na wtórnym dysku fizycznym. Nie przechowuj prywatnych kluczy w środowisku chmur. I nigdy nie wysyłaj sobie prywatnych kluczy.
Black Ops Market używa zaawansowanej formy wyodrębnionej architektury portfela. Gwarantuje to, że żadne fundusze nie są przechowywane w jednym centralnym "gorącym" portfelu. Zamiast tego system wykorzystuje sieć podadresów i protokołów przechowywania na zimno przy wjeździe w celu zminimalizowania (w ramach akceptowalnych komercyjnie poziomów) potencjalnego wpływu kompromisu serwera. Twoje kluczowe zarządzanie musi odzwierciedlać tę samą zasadę izolacji.
03 Protokół weryfikacji lustra
Aby zapewnić ich ochronę przed miejscami phishing jest skuteczne, Black Ops Market ma rygorystyczną sekwencję weryfikacji, które muszą być przestrzegane, nie pominąć tego, jeśli jesteś w pośpiechu, będzie zagrożony.
-
Uzyskaj klucz publiczny
Pobierz udokumentowany klucz publiczny rynku z zaufanego, niezależnego komponentu katalogowego. Zaimportuj go do sieci kluczy GPG.
-
Pobierz wyzwanie
Przejdź na stronę docelową rynku. Kopiuj wiadomość z podpisem PGP wyświetlaną na ekranie. Ta wiadomość zazwyczaj zawiera aktualną datę, czas i konkretny adres cebuli, który odwiedzasz.
-
Weryfikacja lokalna
Uruchom polecenie weryfikacji w terminalu. Upewnij się, że wyjście potwierdza "Dobry podpis" z rozpoznanego identyfikatora klucza.
gpg --verify message.txt.asc
Jeśli podpis zawiedzie, natychmiast zerwij połączenie. Jesteś na dzbanku. Sprawdź zweryfikowana tabela lustrzana zaktualizowany wykaz punktów końcowych. Mechanika ukrytych usług oznacza adresy często obracane, udokumentowane przez glosariusza TorPoleganie na zakładkach jest niebezpieczne, jeśli zakładka wskazuje na porwanego pośrednika.
04 Obowiązkowa szyfrowanie i 2FA
Dla wszystkich wrażliwych komunikatów Dread wymaga od użytkowników i dostawców szyfrowania wiadomości za pomocą PGP. Nie są obsługiwane żadne inne formy szyfrowanej komunikacji. Może to być nieco frustrujące dla użytkowników, którzy nie są zaznajomieni z szyfrowaniem PGP, ponieważ może to być złożony proces, aby uzyskać prawo i nie ma zintegrowanej pomocy innej niż obowiązkowy szablon wiadomości PGP, który musi być wysłany do drugiej strony przy rejestracji. Jeśli nie używasz właściwego szablonu, Twoje konto zostanie zakazane.
Wszystkie wiadomości muszą być zaszyfrowane lokalnie przed wklejeniem do przeglądarki. Black Ops Market ma lekkie, text- heavy UI, minimalizując ryzyko deanonimizacji użytkowników przez nadmierne skrypty lub trackery. Jest to najbardziej odpowiednie ustawienie zabezpieczeń dla przeglądarki Tor, udokumentowane przez podkład Przewodników Prywatności TorNajbezpieczniej.
Wskazówka generowania kluczy
Generuj klawisze PGP na offline Tails instance. Klucze prywatne nie mogą być przechowywane na urządzeniach podłączonych do sieci. I upewnij się, że certyfikat cofnięcia jest bezpieczny.
03. Weryfikacja tożsamości platformy
Zanim potwierdzisz autentyczność wszelkich ukrytych usług, musisz zweryfikować podpis PGP strony docelowej, aby chronić przed oszustwami phishing. Black Ops oferuje dodatkową warstwę ochronną, w której nasze strony do lądowania są odbijane w wielu miejscach i te lustra muszą być podpisane tym samym kluczem co udokumentowana strona do lądowania. Nasze odporne na phishing .cebulowe lustro zawiera również zwrot logowania.
Jeśli natkniesz się na lustro, znajdź podpisaną wiadomość. Przyjąłem. Porównaj go z aktualnym kluczem publicznym, który już masz dla tego lustra w twoim breloczku. Jeśli podpis nie sprawdzi się, przerwij sesję. Zamknij przeglądarkę. Nie logować się. As Wpis glosariusza adresu Tor Pisze, tylko wiedząc, że dokładny format adresu nie dostanie przeciwnika bardzo daleko; potrzebują również kryptograficznych dowodów.
gpg --verify blackops_mirror_message.asc
Ten katalog jest tutaj, aby łatwo znaleźć te ważne punkty wejścia. Upewnij się, aby sprawdzić nasze zweryfikowane adresy URL często.
04. Obowiązkowy PGP i Komunikacja
Czarny Operacje wymuszają obowiązkowe szyfrowanie PGP dla wszystkich kluczowych komunikatów. Jeśli próbujesz xmit niezakodowany addr lub sensytywna wiadomość, robisz to źle.
Jego konstrukcja jest lekka i ciężka tekst, aby uniknąć ciężkich skryptów i zminimalizować wyciek metadanych, jak również. Szyfrowanie jest również obsługiwane przez klienta, więc rynek nigdy nie widzi tekstu. Wystarczy zaszyfrować lokalnie wkleić cyfertekst do formularza i złożyć.
-
Importuj klucz odbiorcy
Zawsze należy pobrać zaktualizowany klucz PGP sprzedawcy bezpośrednio z ich profilu. Zaimportuj to do lokalnego breloczka.
-
Szyfruj lokalnie
Stwórz wiadomość w lokalnym edytorze tekstu. Szyfruj go używając klucza publicznego odbiorcy.
- Szyfrowanie przy użyciu PGP
Wprowadź lub wklej klucz publiczny i tekst jawny do szyfrowania za pomocą PGP. Następnie należy przesłać formularz, aby otrzymać zaszyfrowaną wiadomość.
Sprawdź OPSEC prowadzi praktyki w zakresie przestoju czasu dodatkowe informacje na temat bezpieczeństwa środowiska operacyjnego.
05. Uwierzytelnianie PGP i 2FA
Twoje hasło nie wystarczy. Wymagane: PGP-based Two-Factor Authentication (2FA). Po włączeniu, rynek szyfruje losowo wygenerowany ciąg wyzwań z kluczem publicznym i żąda odszyfrowania i zwrotu symbolu do uwierzytelniania.
Jeśli przeciwnikowi uda się ukraść twoje hasło, trafią w mur. Bez prywatnego klucza i hasła konto jest całkowicie zablokowane. To musi być dla każdego poważnego w handlu tajnym.
Aby uzyskać szersze zrozumienie infrastruktury wspierającej te systemy, zobacz: Wejście na rynek ciemnicy Wikipedii.
06. Bezpieczeństwo portfela i Monero
PGP może ogólnie odnosić się do bezpiecznej komunikacji, podczas gdy Monero (XMR) odnosi się do zabezpieczenia Twoich funduszy. Nasz czarny System Ops wykorzystuje oddzielną strukturę portfela, w przeciwieństwie do połączenia wszystkich w jeden ogromny centralny "gorący" portfel. Koncepcja ta znacznie zmniejsza ewentualną stratę w momencie wystąpienia kompromisu serwera.
Połącz to ze specjalistycznym ukierunkowaniem platformy na integrację Monero. Upewnij się, że praktykujesz ścisłą higienę portfela. Nigdy nie używać adresów. Dla podstawowego zrozumienia bezpieczeństwa operacyjnego kryptowaluty (choć koncentruje się na przejrzystej księgi), można dokonać przeglądu Bitcoin.orgAle zawsze stosuj zasady do nieprzejrzystej księgi XMR.
Ostrzeżenie OpSec
Upewnij się, że nigdy nie przenosisz funduszy bezpośrednio ze standardowej wymiany na portfel ciemnego rynku internetowego. Zachowaj go pośrednio i użyj lokalnego portfela, który ty i ty tylko kontrolujesz.