Dlaczego reguły ruchu wychodzącego Tor blokują adresy IP zamiast nazw domen

Chociaż blokowanie stron internetowych na podstawie nazwy hosta może wydawać się operatorom przekaźników użyteczne, zasady wyjścia Tor obsługują jedynie reguły oparte na adresie IP, aby zapobiec cenzurze i nadużyciom poprzez manipulację DNS.

Byłoby miło pozwolić operatorom przekaźników mówić takie rzeczy jak reject www.slashdot.org w swoich zasadach wyjścia, zamiast wymagać od nich uczenia się całej przestrzeni adresów IP, która może być objęta witryną (a następnie blokowania innych witryn pod tymi adresami IP).

Jednakże, są dwa problemy. Po pierwsze, użytkownicy nadal mogli obejść te blokady. Na przykład, mogą zażądać adresu IP zamiast nazwy hosta, gdy opuszczają sieć Tor. Oznacza to, że operatorzy nadal musieliby nauczyć się wszystkich adresów IP dla danych miejsc docelowych.

Drugi problem polega na tym, że pozwoliłoby to zdalnym atakującym na cenzurowanie dowolnych stron. Na przykład, jeśli operator Tor blokuje www1.slashdot.org, a następnie jakiś atakujący zatruwa DNS przekaźnika Tor lub w inny sposób zmienia tę nazwę hosta, aby rozwiązać adres IP głównej witryny z wiadomościami, to nagle ten przekaźnik Tor blokuje witrynę z wiadomościami.