01 O Modelo de Ameaça
Phishing é o estado padrão no Tor. Sabemos que os atacantes estão constantemente ativos, clonando interfaces perfeitamente, e interceptando credenciais em tempo real. A rede é fundamentalmente hostil. A única verdade criptográfica neste mundo é uma assinatura PGP válida que pode ser matematicamente verificada contra uma chave pública conhecida.
Agora, o que há de tão diferente na plataforma atual e na forma como as coisas são conduzidas? Black Ops Market lançou sua iteração atual no final de 2024. Foi construído especificamente para lidar com as falhas de segurança operacional de plataformas legado. A arquitectura é de segurança. Ele depende de uma base de código personalizada projetada para resiliência contra análise de rede. Consequentemente, a plataforma espera que os usuários espelhem esta disciplina. Não há rodinhas. O PGP é obrigatório.
http://yjqgwd5iqoog6s2xazggwu4iyjocziijdcixqlwh5e6vjbks63ojd6yd.onion. Nunca insira credenciais sem verificar primeiro a assinatura da landing page.
O cadeado verde no navegador Tor não protege como documentado pela página de edição do EFF's Tor dos operadores de mercado. Ele nem mesmo verifica que o proprietário do site é um administrador ou equipe Dread. Por tudo que sabe, Dark.fail dirige o site e serve uma cópia adulterada do subreddit. Não verifica. como documentado pela página de edição do EFF's TorA identidade de todo. Podem ser qualquer um. Podem ser todos. Podem até estar todos com medo de se passarem por células EY-GA. Ele só verifica se a conexão com o nó de saída ou serviço oculto está criptografada. Não verifica de quem é o serviço. Na prática, tudo o que estabelece é que você tem o maior primo pela força bruta. Não importava de quem o arranjaste. Temos todos os insectos.
02 Geração e armazenamento de chaves
As chaves PGP nunca devem ser geradas em um sistema operacional host que se conecta à clearnet. Windows e macOS são comprometidos pelo design. Os daemons de telemetria registam as teclas. Os gestores da área de transferência divulgam texto simples.
Use uma máquina restrita. Isole o processo de geração de chaves em uma máquina virtual que é continuamente limpa após cada reinicialização. Escolha uma instalação minimalista e reduza ao mínimo os aplicativos e serviços em execução em segundo plano. Desactivar a rede. Não vai precisar. Quanto mais complexa a configuração da máquina virtual, mais fácil é rastrear. É o momento de fazer isso em um computador offline. Lembre-se de usar opções de virtualização seguras e criptografar o armazenamento subjacente do dispositivo físico. Nota: quanto menos dispositivos, menos faixas possíveis você deixa. Escolha seus dispositivos criteriosamente. Use luvas para evitar ataques de análise de gelo. Use hardware com desenhos minimalistas para reduzir o risco de identificar marcas. Evite câmeras de segurança e sinalizadores eletrônicos que poderiam ser usados para rastrear seus movimentos com sua nova aquisição. Assumindo o pior, não gaste mais do que está disposto a arriscar perder. cripto
gpg --full-generate-key # Select RSA and RSA (default) # Keysize: 4096 # Expiration: 1y
Reescrever: Para evitar que sua chave privada seja exposta, defina uma data de validade anual, que pode funcionar como um interruptor de homem morto se você perder sua chave privada. Em seguida, faça backup da chave privada usando um volume persistente criptografado em uma unidade física secundária. Não guarde chaves privadas em nenhum ambiente de nuvem. Além disso, nunca envie e-mail chaves privadas para si mesmo.
Black Ops Market usa uma forma avançada de arquitetura de carteira segregada. Isso garante que nenhum fundo seja mantido em uma única carteira central “quente”. Em vez disso, o sistema usa uma rede de subaddresses e protocolos de armazenamento a frio na entrada para minimizar (dentro de níveis comercialmente aceitáveis) o potencial impacto de um comprometimento do servidor. A sua direcção-chave deve reflectir este mesmo princípio de isolamento.
03 Protocolo de Verificação do Espelho
Para garantir sua proteção contra sites de phishing é eficaz, Black Ops Market tem uma rigorosa sequência de verificação que deve ser seguida, não pule isso, se você estiver com pressa, você será comprometido.
-
Obter a Chave Pública
Baixe a chave pública de mercado documentada de um componente de diretório confiável e independente. Importar para o seu chaveiro GPG local.
-
Obter o Desafio
Navegue até a landing page do mercado. Copie a mensagem assinada pelo PGP exibida na tela. Esta mensagem geralmente contém a data, hora e o endereço específico da cebola que você está visitando.
-
Verificar Localmente
Execute o comando de verificação no seu terminal. Certifique-se de que a saída confirma uma "boa assinatura" do ID da chave reconhecida.
gpg --verify message.txt.asc
Se a assinatura falhar, corte a conexão imediatamente. Estás num pote de mel. Verificar a tabela espelho verificada para uma lista de objectivos actualizada. A mecânica dos serviços ocultos significa que os endereços giram frequentemente, como documentado pelo glossário de endereço de cebola de Tor. Confiar em favoritos é perigoso se o marcador aponta para um proxy sequestrado.
04 Criptografia obrigatória e 2FA
Para todas as comunicações sensíveis, o Dread requer que usuários e fornecedores encriptem suas mensagens com o PGP. Nenhuma outra forma de comunicação criptografada é suportada. Isso pode ser um pouco frustrante para usuários que não estão familiarizados com criptografia PGP, pois pode ser um processo complexo para acertar e não há nenhuma ajuda integrada além do modelo de mensagem PGP obrigatório que precisa ser enviado para a outra parte no registro. Se você não usar o modelo correto, sua conta será banida.
Todas as mensagens devem ser criptografadas localmente antes de serem coladas no navegador. Black Ops Market tem uma IU leve e pesada, minimizando o risco de des-anonimizar usuários por scripts ou rastreadores excessivos. Isto torna a configuração de segurança mais adequada para o navegador Tor, conforme documentado pelo primer de Guias de Privacidade TorMais seguro.
Dica de Geração de Chaves
Gere as teclas PGP em uma instância Tails offline. Chaves privadas nunca devem ser armazenadas em dispositivos conectados à internet. E certifique-se de manter o certificado de revogação seguro.
03. Verificação da Identidade da Plataforma
Antes de autenticar em qualquer serviço oculto, você deve verificar a assinatura PGP da landing page para proteger contra fraudes de phishing. Black Ops oferece uma camada de proteção adicional onde nossas landing pages são espelhadas em muitos sites e esses espelhos são necessários para ser assinado com a mesma chave que a landing page documentada. Nosso phishing resistente .onion espelho também inclui a frase de login.
Se te cruzares com um espelho, encontra a mensagem assinada. Entendido. Compare com a chave pública atual que você já tem para esse espelho no seu chaveiro. Se a assinatura não verificar, termine a sessão. Fecha o navegador. NÃO faça login. Como Entrada do glossário do endereço de cebola do Tor escreve, apenas saber o formato de endereço preciso não vai levar um adversário muito longe; eles também precisam de provas criptográficas.
gpg --verify blackops_mirror_message.asc
Este diretório está aqui para tornar fácil encontrar esses pontos de entrada válidos. Certifique-se de verificar o nosso URLs verificados página frequentemente.
04. PGP obrigatório e comunicações
Preto Ops impõe criptografia PGP obrigatória para todas as comunicações cruciais. Se você tentar xmit um addr não criptografado ou mensagem sensível, você está fazendo isso errado.
Seu design é leve e pesado para evitar scripts pesados e minimizar vazamento de metadados também. A criptografia também é manuseada pelo cliente para que o mercado nunca veja seu texto simples. Basta criptografar localmente colar o seu cyphertext no formulário e enviar.
-
Importar a Chave do Destinatário
Sempre obtenha a chave PGP atualizada do fornecedor diretamente de seu perfil. Importa-o para o teu chaveiro local.
-
Encriptar Localmente
Redija sua mensagem em um editor de texto local. Criptografar usando a chave pública do destinatário.
- Criptografar usando PGP
Digite ou cole a chave pública e o texto simples para criptografar usando o PGP. Em seguida, envie o formulário para receber sua mensagem criptografada.
Verificar Práticas de condução-a-tempo para informações adicionais sobre como manter seu ambiente operacional seguro.
05. Autenticação PGP e 2FA
A tua senha não é suficiente. Necessário: Autenticação de dois fatores baseada em PGP (2FA). Quando habilitado, o mercado criptografa uma string de desafio gerada aleatoriamente com sua chave pública e solicita que você descriptografe e devolva o token para autenticar.
Se um adversário consegue roubar a sua senha, eles batem numa parede de tijolos. Sem a sua chave privada e frase-passe, a conta está completamente bloqueada. Isto é uma obrigação para qualquer pessoa séria em operações secretas.
Para uma compreensão mais ampla da infra-estrutura que apoia estes sistemas, ver Entrada no mercado da Darknet da Wikipédia.
06. Segurança da Carteira e Monero
A PGP pode geralmente se relacionar com comunicações seguras enquanto a Monero (XMR) se relaciona com a garantia de seus fundos. Nosso Preto O sistema Ops utiliza uma estrutura de carteira separada compartimental em oposição a combinar tudo em uma carteira central maciça “quente”. Este conceito reduz significativamente a possível perda uma vez que ocorre uma comprometimento do servidor.
Junte isso com o foco especializado da plataforma na integração da Monero. Certifique-se de que está praticando estrita higiene carteira. Nunca reutilize endereços. Para um entendimento básico da segurança operacional criptomoeda (embora focado em um livro de registros transparente), você pode rever Bitcoin.org, mas sempre aplicar os princípios ao livro opaco da XMR.
Aviso OpSec
Certifique-se de nunca transferir fundos diretamente de uma troca padrão para a carteira de um mercado web escuro. Mantenha-o indireto e use uma carteira local que você e você só controlam.