Little-t-tor

Achtung! Diese Anleitung ist für die Installation des Netzwerk-Daemons tor gedacht, z.B. little-t-tor. Weitere Informationen, wie du den Tor-Browser installieren kannst, findest du im Tor-Browser-Handbuch.

Admin-Zugang: Um Tor zu installieren, benötigst du Root-Rechte. Im Folgenden werden bei allen Befehlen, die als Root-Benutzer ausgeführt werden müssen – wie z.B. apt und dpkg – ein # vorangestellt, während bei Befehlen, die als Benutzer ausgeführt werden müssen, ein $ vorangestellt wird, was der Standard-Eingabeaufforderung in einem Terminal ähnelt.

Debian/Ubuntu

Verwende nicht die Pakete aus dem Ubuntu-Universum. In der Vergangenheit sind sie nicht zuverlässig aktualisiert worden. Das bedeutet, dass dir Stabilitäts- und Sicherheitskorrekturen fehlen könnten.

Konfiguriere das Tor-Paket-Repositorium.

Aktiviere das APT-Repository des Tor-Projekts, indem du den Anweisungen folgst.

Paketinstallation

# apt install tor

Fedora

Konfiguriere das Tor-Paket-Repositorium

Aktiviere das RPM-Paket-Repository des Tor-Projekts, indem du den Anweisungen folgst.

Paketinstallation

# dnf install tor

FreeBSD

Paketinstallation

# pkg install tor

OpenBSD

Paketinstallation

# pkg_add tor

macOS

Einen Paketmanager installieren

Es gibt zwei Paketmanager unter OS X: Homebrew und Macports. Du kannst den Paketmanager deiner Wahl verwenden.

Zur Installation von Homebrew folgst du den Anweisungen auf brew.sh.

Um Macports zu installieren, folgst du den Anweisungen auf macports.org.

Paketinstallation

Wenn du Homebrew in einem Terminal-Fenster verwendest, gib ein:

# brew install tor

Wenn du Macports in einem Terminal-Fenster verwendest, gib ein:

$ sudo port install tor

Arch Linux

Um das Paket tor auf Arch Linux zu installieren, führe Folgendes aus:

# pacman -Syu tor

DragonFlyBSD

Bootstrap pkg

DragonFlyBSDs tägliche Snapshots und Releases (beginnend mit 3.4) werden mit bereits installiertem pkg ausgeliefert. Upgrades von früheren Versionen haben es jedoch nicht. Wenn pkg aus irgendeinem Grund auf dem System fehlt, kann es schnell gebootstrappt werden, ohne dass man es aus den Quellen erstellen muss oder DPorts installiert hat:

# cd /usr
# make pkg-bootstrap
# rehash
# pkg-static install -y pkg
# rehash

Empfohlene Schritte zur Einrichtung von pkg

Hier wird es ähnlich wie auf einem FreeBSD-System sein, und wir werden HTTPS benutzen, um unsere Pakete und Aktualisierungen zu holen – also brauchen wir auch hier ein zusätzliches Paket, das uns hilft (ca_root_nss).

Installieren des Pakets ca_root_nss:

# pkg install ca_root_nss

Bei Neuinstallationen wird die Datei /usr/local/etc/pkg/repos/df-latest.conf.sample nach /usr/local/etc/pkg/repos/df-latest kopiert. Die Dateien, die mit der Endung „.sample“ enden, werden ignoriert; pkg(8) liest nur Dateien, die mit „.conf“ enden, und es liest so viele, wie es findet.

DragonflyBSD hat 2 Paket-Repositories:

  • Avalon (mirror-master.dragonflybsd.org);
  • Wolfpond (pkg.wolfpond.org).

Wir können einfach die URL, die verwendet wird, um auf die Repositorys auf /usr/local/etc/pkg/repos/df-latest zu verweisen, bearbeiten, und das war's! Denk dran, pkg+https:// für Avalon zu verwenden.

Nach Anwendung all dieser Änderungen aktualisieren wir die Paketliste erneut und versuchen zu prüfen, ob bereits eine neue Aktualisierung anzuwenden ist:

# pkg update -f
# pkg upgrade -y -f

Paketinstallation

Install the tor package:

# pkg install tor

NetBSD

Einrichtung von pkg_add

Moderne Versionen des NetBSD-Betriebssystem können so eingestellt werden, dass sie pkgin verwenden, eine Software, die darauf abzielt, wie apt oder yum für die Verwaltung von pkgsrc-Programmdateien zu sein. Wir betrachten hier nicht die Einrichtung und entscheiden uns stattdessen für die Verwendung vom einfacheren pkg_add.

# echo "PKG_PATH=http://cdn.netbsd.org/pub/pkgsrc/packages/NetBSD/$(uname -m)/$(uname -r)/All" > /etc/pkg_install.conf

Paketinstallation

Installieren des tor-Pakets von NetBSD:

# pkg_add tor

Void Linux

Führe diesen Befehl aus, um das tor-Paket unter Void Linux zu installieren:

# xbps-install -S tor

Tor aus dem Quellcode installieren

Neueste Version und Abhängigkeiten herunterladen

Die neueste Version von Tor findest du auf der Download-Seite.

Wenn du aus dem Quellcode erstellst, installiere zuerst libevent, und stelle sicher, dass du openssl und zlib hast (einschließlich der -devel-Pakete, falls anwendbar).

tor installieren

tar -xzf tor-<version>.tar.gz; cd tor-<version>

Ersetze <version> mit der letzten Version von tor, zum Beispiel, tor-0.4.8.12

./configure && make

Jetzt kannst du tor als src/app/tor starten (0.4.3.x und später), oder du kannst make install ausführen (als root, falls nötig), um es in /usr/local/ zu installieren, und dann kannst du es einfach starten, indem du tor ausführst.

Achtung: Diese Anweisungen dienen der Überprüfung des Tor-Quellcodes. Bitte folge den richtigen Anweisungen, um die Signatur des Tor-Browsers zu überprüfen.

Digitales Signieren ist ein Prozess, der sicherstellt, dass ein bestimmtes Paket von seinen Entwicklern generiert wurde und nicht manipuliert wurde. Im Folgenden erklären wir, warum das wichtig ist, und wie du überprüfen kannst, ob der Tor-Quellcode, den du herunterlädst, der von uns erstellte ist und nicht von einem Angreifer verändert wurde.

Jede Datei auf unserer Download-Seite wird von zwei Dateien begleitet, die als „checksum“ und „sig“ mit dem gleichen Namen wie das Paket und der Erweiterung „.sha256sum“ bzw. „.sha256sum.asc“ bezeichnet werden.

Die Datei .asc prüft, ob die Datei .sha256sum (welche die Prüfsumme des Pakets enthält) nicht manipuliert wurde. Sobald die Signatur validiert wurde (siehe unten), kann die Integrität des Pakets überprüft werden mit:

$ sha256sum -c *.sha256sum

Diese Dateien ermöglichen es dir zu überprüfen, ob die Datei, die du heruntergeladen hast, genau diejenige ist, die du erhalten solltest. Dies ist je nach Webbrowser unterschiedlich, aber im Allgemeinen kannst du diese Datei herunterladen mit Rechtsklick auf die Links „sig“ und „checksum“ und die Option „Datei speichern unter“.

Zum Beispiel wird tor-0.4.6.7.tar.gz von tor-0.4.6.7.tar.gz.sha256sum.asc begleitet. Dies sind Beispiel-Datei-Namen und stimmen nicht genau mit den Datei-Namen überein, die du herunterlädst.

Wir zeigen nun, wie du auf verschiedenen Betriebssystemen die digitale Signatur der heruntergeladenen Datei überprüfen kannst. Bitte beachte, dass eine Signatur mit dem Datum versehen ist, an dem das Packet signiert wurde. Daher wird bei jedem Hochladen einer neuen Datei eine neue Signatur mit einem anderen Datum erzeugt. Solange du die Signatur überprüft hast, solltest du dir keine Sorgen machen, dass das gemeldete Datum sich ändern kann.

Installiert GnuPG

Zuerst musst du GnuPG installiert haben, bevor du Signaturen überprüfen kannst.

Für Windows-Nutzer:

Wenn du Windows benutzt, dann lade bitte Gpg4win herunter und installiere es.

Um die Signatur zu überprüfen, musst du ein paar Befehle in die Windows-Befehlszeile, cmd.exe, eingeben.

Für macOS-Benutzer:

Wenn du macOS benutzt, kannst du die GPGTools installieren.

Um die Signatur zu überprüfen, musst du einige Befehle in das Terminal (siehe „Anwendungen“) eingeben.

Für GNU+Linux-Nutzer:

Wenn du Linux verwendest, dann hast du GnuPG wahrscheinlich bereits auf deinem System, da die meisten Linux-Distributionen es vorinstalliert haben.

Um die Signatur zu überprüfen, musst du ein paar Befehle in ein Terminalfenster eingeben. Wie du das machst, hängt von deiner Distribution ab.

Holt den Schlüssel der Tor-Entwickler

Die folgenden Schlüssel können den Tarball signieren. Erwarte nicht alle, es kann variieren, je nachdem, wer verfügbar ist, um die Veröffentlichung zu machen.

Du kannst den Schlüssel mit den oben angegebenen Links abrufen oder mit:

$ gpg --auto-key-locate nodefault,wkd --locate-keys ahf@torproject.org
$ gpg --auto-key-locate nodefault,wkd --locate-keys dgoulet@torproject.org
$ gpg --auto-key-locate nodefault,wkd --locate-keys nickm@torproject.org

Dies sollte etwa so aussehen (für nickm):

gpg: key FE43009C4607B1FB: public key "Nick Mathewson <nickm@torproject.org>" imported
gpg: insgesamt verarbeitet: 1
gpg: hinzugefügt: 1
pub   rsa4096 2016-09-21 [C] [expires: 2025-10-04]
      2133BC600AB133E1D826D173FE43009C4607B1FB
uid           [ unknown] Nick Mathewson <nickm@torproject.org>
sub   rsa4096 2016-09-23 [S] [expires: 2025-10-04]
sub   rsa4096 2016-09-23 [E] [expires: 2025-10-04]

Wenn du eine Fehlermeldung erhältst, ist etwas schiefgelaufen und du kannst nicht fortfahren, bis du herausgefunden hast, warum es nicht funktioniert hat. Möglicherweise kannst du den Schlüssel stattdessen über den Abschnitt Behelfslösung (mit einem öffentlichen Schlüssel) importieren.

Nachdem du den Schlüssel importiert hast, kannst du ihn in einer Datei speichern (hier per Fingerabdruck identifizieren):

$ gpg --output ./tor.keyring --export 0x2133BC600AB133E1D826D173FE43009C4607B1FB

Dieser Befehl sorgt dafür, dass der Schlüssel in einer Datei unter dem Pfad ./tor.keyring, also in dem aktuellen Verzeichnis, gespeichert wird. Wenn ./tor.keyring nach dem Ausführen dieses Befehls nicht existiert, ist etwas schiefgelaufen, und du kannst nicht weitermachen, bis du herausgefunden hast, warum das nicht funktioniert hat.

Überprüft die Signatur

Um die Signatur des heruntergeladenen Pakets zu überprüfen, musst du die entsprechende .sha256sum.asc-Signaturdatei und die .sha256sum-Datei selbst herunterladen und sie mit einem Befehl überprüfen, der GnuPG auffordert, die heruntergeladene Datei zu überprüfen.

Die untenstehenden Beispiele gehen davon aus, dass du die Dateien im „Downloads“-Ordner gespeichert hast. Beachte, dass diese Befehle Beispiel-Datei-Namen verwenden und dass deine Datei-Namen anders lauten: Du wirst eine andere Version als 9.0 heruntergeladen haben und möglicherweise nicht die englische (en-US) Version gewählt haben.

Für Windows-Nutzer:

gpgv --keyring .\tor.keyring Downloads\tor-0.4.6.10.tar.gz.sha256sum.asc Downloads\tor-0.4.6.10.tar.gz.sha256sum

Für macOS-Benutzer:

gpgv --keyring ./tor.keyring ~/Downloads/tor-0.4.6.10.tar.gz.sha256sum.asc ~/Downloads/tor-0.4.6.10.tar.gz.sha256sum

Für BSD-/Linux-Benutzer:

gpgv --keyring ./tor.keyring ~/Downloads/tor-0.4.6.10.tar.gz.sha256sum.asc ~/Downloads/tor-0.4.6.10.tar.gz.sha256sum

Das Ergebnis des Befehls sollte in etwa so aussehen (je nachdem, welcher Schlüssel unterschrieben hat):

gpgv: Signature made Mon 16 Aug 2021 04:44:27 PM -03
gpgv:                using RSA key 7A02B3521DC75C542BA015456AFEE6D49E92B601
gpgv: Good signature from "Nick Mathewson <nickm@torproject.org>"

Wenn du Fehler-Meldungen bekommst, die „No such file or directory“ enthalten, ist entweder bei einem der vorherigen Schritte etwas schiefgelaufen, oder du hast vergessen, dass diese Befehle Beispiel-Datei-Namen verwenden und deiner deshalb etwas anders lauten muss.

Du kannst außerdem mehr über GnuPG erfahren (englisch).

Überprüfung der Prüfsumme

Nachdem wir nun die Signaturen der Prüfsumme validiert haben, müssen wir die Integrität des Pakets überprüfen.

Für Windows-Nutzer:

certUtil -hashfile tor-0.4.6.10.tar.gz.sha256sum SHA256

Für macOS-Benutzer:

shasum -a 256 tor-0.4.6.10.tar.gz.sha256sum

Für BSD-/Linux-Benutzer:

sha256sum -c tor-0.4.6.10.tar.gz.sha256sum