打通匿名網路的最後一哩，Cloudflare推出Tor專用DNS解析器

讓完全匿名瀏覽網頁成為可能，Cloudflare為高度重視隱私的使用者推出匿名網路Tor（The Onion Router，洋蔥路由器）專用的DNS解析器，這個基於洋蔥網路的解析器服務，不會透漏使用者訪問目標給ISP，也不容易受DNS中繼站攻擊，確保瀏覽行為從頭到尾都無法被追蹤。不過這個服務仍在測試階段，Cloudflare提到，目前還不應使用在產品階段上。

Mozilla日前公開與Cloudflare合作，未來Firefox使用者將可以選用支援DNS over HTTPS技術的可信遞迴解析器（Trusted Recursive Resolver，TRR），此舉大幅提升了網路使用者瀏覽網頁的安全性以及隱匿性，但是對於想要完全匿蹤的使用者來說還不夠，因為Mozilla提到，在查詢完網域對應的IP後，客戶端要連接該IP時，會發送一明碼伺服器名稱指示，這項請求是未加密的，因此ISP仍然會知道使用者的訪問目標。

Cloudflare的Tor專用DNS解析器構建在洋蔥網路之上，其扮演的角色關係到Tor匿名網路的運作概念，假設使用者想要連接Cloudflare的網站，Tor網路會先計算出到達Cloudflare伺服器的路徑，使用者->ISP->X->Y->Z->www.cloudflare.com，並分別以Z、Y和X節點的公鑰依序加密封包，當使用者封包傳送到X時，便會以X的私鑰解密，X提交封包到Y時，Y會以自己的私鑰解密封包，傳遞到最後一個節點Z時，封包會被解密為原始封包傳遞給Cloudflare網站伺服器。

而這個過程還並不夠隱匿，因為ISP會知道使用者的IP，而Z中繼站也會知道使用者訪問的站點，因此Tor進一步提供了洋蔥服務，該服務由一群Tor節點組成，並公布編碼為.onion頂級網域（TLD）的公鑰，在每個節點間建立連線形成網路。使用這個技術可以讓資訊提供者或是個人用戶，難以被中繼網路追蹤。

但是在這整個連線的過程，仍然有最後一哩路存在風險，那就是網域解析，畢竟Tor網路仍然仰賴IP運作，使用者仍然需要使用DNS解析服務才能透過Tor網路瀏覽網頁。而使用Tor網路常用的兩種網域解析方法，第一種也是最一般的方法，直接向DNS服務查詢IP，第二種則是請求一個Tor的出口節點，公開解析域名。

但這兩種方法各有其缺點，第一種方法，當沒有使用DNS over HTTPS技術，便會向DNS伺服器洩漏使用者的IP，根據Mozilla說法，即使有了DNS over HTTPS技術，最少還是會對ISP洩漏訪問目標。而第二種方法，理論上雖然不會洩漏個人訊息，卻容易受到SSL剝離（SSL Stripping）、DNS快取毒害或是欺騙轉址攻擊。

Cloudflare為了解決上述Tor的DNS系統匿名缺陷，推出了基於.onion的解析器服務，簡單來說，Cloudflare就是提供了一個可靠的Tor的出口節點。至於這個Tor專用DNS解析器與1.1.1.1服務不同的地方，Cloudflare提到，.onion的地址是由dns4tor再加上49個看起來隨機組合的字母數字串組成，而這59個字符包含了完整的Ed25519公鑰，來保護與洋蔥服務間的通訊。

要使用這個功能只要讓瀏覽器路由請求到.onion位置就行了，使用HTTP選用標頭Alt-Svc可以通知瀏覽器資源可以被替代網路位置存取，Cloudflare表示，可以把這個功能想像成機會性加密（Opportunistic Encryption），瀏覽器收到一個在tor.cloudflare-dns.com上可用的.onion地址，便會試著檢查替代服務是否存在相同或是更高等級的安全性。而這包括可以使用相同認證以及伺服器名稱連接到洋蔥網路，瀏覽器會盡量確保使用者的瀏覽不離開Tor網路，而現在Firefox Nightly已經可以使用.onion位置做為替代服務。

原本使用Tor網路解析DNS，其匿名性就高於直接發送請求，解析器不只不知道使用者的IP，ISP也不會知道使用者進行域名解析，但是除非訪問的目標也是一個洋蔥服務，否則離開Tor網路的封包還是可能會被截獲，或是受到惡意出口節點的攻擊，更甚駭客還可以比較進入Tor網路前後的流量元資料，對客戶端進行去匿名化的處理。

Cloudflare強調，即使使用者的客戶端不支援DNS加密查詢也沒關係，使用.onion的解析器可以讓DNS over UDP和DNS over TCP具有與DNS over HTTPS和DNS over TLS一樣的安全性。另外，使用Tor網路也並非只為去匿名化，而是越多人使用匿名網路，真正需要匿名的爆料者的網路流量越能受到有效掩護，一個只有爆料者的匿名網路也不這麼匿名了，因此使用Tor網路看影片也可以為整體匿名網路做出貢獻。