تسجيل الدخول عبر Tor يخبر الموقع من أنت، لا أين أنت

يتغير عنوان المخرج، ولا يتغير اسم الحساب، والموقع يبني ملفاً عن ذلك الحساب منذ سنوات. تسجيل الدخول عبر Tor يزيل إشارة واحدة، وهي موقعك الشبكي المعتاد، ويترك بقية الصورة سليمة. هذا يبقى ذا قيمة، وهو ليس إخفاءً للهوية عن الخدمة التي تحققت معها للتو. التمييز سهل القول وسهل النسيان تحت الضغط.

ما يكشفه تسجيل الدخول نفسه

تسجيل الدخول الناجح بيان متعمد بأن هذه الجلسة تخص ذلك الحساب. من جهة الخدمة، كل ما يأتي بعده يمكن نسبته إلى الحساب، بما في ذلك الصفحات التي تُزار والرسائل التي تُرسل وأوقات ظهور الحساب من اليوم.

يغيّر Tor ما يمكن للوجهة ملاحظته عن مسار شبكتك: فبدل عنوانك ترى مرحّل خروج. لا يغيّر ما أخبرت به الموقع عبر المصادقة، ولا يجعل تسجيلَي دخول من الحساب نفسه غير مرتبطين.

الروابط داخل الحساب تعمل بالطريقة نفسها. عنوان استرداد أو رقم هاتف أو وسيلة دفع محفوظة أو لقب مستخدم في مكان آخر، كلها ترتبط بالهوية التي سجلت الدخول بها، بصرف النظر عن المسار الذي سلكته الحزم.

دائرة جديدة ليست حساباً جديداً

يقدم متصفح Tor إجراءين مختلفين يعاملهما الناس كإجراء واحد. الدائرة الجديدة للموقع تغيّر مسار المرحّلات المستخدم لتلك الوجهة، وتترك حالة المتصفح الخاصة دون مساس. الهوية الجديدة أوسع: فهي تمسح حالة المتصفح وتغلق النشاط وتبدأ من جديد، وهو إجراء مختلف بنتائج مختلفة.

لا يطلب أي من الإجراءين من الطرف الآخر أن ينسى شيئاً. ملفات تعريف الارتباط الصادرة بالفعل، أو رمز جلسة يحتفظ به الموقع، أو بصمة جهاز جُمعت عند تسجيل الدخول، تصف كلها الزائر نفسه بعد تغير المسار.

لذا لا يقرأ عنوان المخرج الجديد كشخص جديد لدى خدمة تعرف الحساب. بل يقرأ كالحساب نفسه يصل من مكان آخر، وهذا بالضبط النمط الذي بُنيت أنظمة مكافحة الاحتيال لملاحظته. هذا النمط ليس خللاً في الموقع. إنه الموقع يؤدّي المهمة التي طلبتها منه بتسجيل الدخول، والمفاجآت كلها تأتي من توقع العكس.

ما لا يزال المخرج يراه

ينقل مرحّل الخروج حركتك مكشوفة ما لم تستخدم الوجهة HTTPS، ولهذا تصبح فحوص شهادة المتصفح على هذا المسار أكثر أهمية لا أقل. المخرج الخبيث خصم واقعي للحركة غير المشفرة، وصفحة تسجيل الدخول أسوأ مكان للقائه.

HTTPS يحمي المحتوى من المخرج ولا يفعل شيئاً بشأن الحساب الذي اخترت المصادقة به. الحمايتان تغطيان مراقبين مختلفين، ولا تغني إحداهما عن الأخرى.

توقّع فحوص الحساب

تستجيب الخدمات عادة لمخرج Tor بتحقق إضافي: اختبار كابتشا أو تأكيد بالبريد الإلكتروني أو تعليق مؤقت. هذا رد فعل طبيعي على نطاق مصادر مشترك سبق إساءة استخدامه، وليس دليلاً على أن الجلسة قد اختُرقت.

الاستجابة المفيدة هي إكمال الفحص المدعوم مرة واحدة. تبديل الدوائر مراراً حتى تختفي المطالبة لا يعلّمك شيئاً عن الحساب وقد يبدو أسوأ من المطالبة الأصلية. كما أنه يهدر الشيء الوحيد الذي كنت تحميه.

إذا تعذّر إكمال فحص، فذلك معلومة عن سياسة الخدمة، والقرار الذي عليك اتخاذه هو ما إذا كان الحساب يستحق الوصول إليه دون النفق. كلا الخيارين مشروع؛ أما التظاهر بأن العائق خلل فليس كذلك.

حدّد هدفك الحقيقي

هناك هدفان يخلط الناس بينهما: حماية المسار إلى هوية معروفة، ومنع ضم الأنشطة المنفصلة بعضها إلى بعض. يخدم Tor الهدف الأول جيداً. أما الثاني فيتطلب عدم تسجيل الدخول إطلاقاً، أو تسجيل الدخول فقط بهوية أُنشئت لذلك الغرض ولم تُخلط قط بالهوية الأولى.

سمِّ الهدف قبل اختيار الأداة. إذا كان لا بد من استخدام الحساب، فالوصف الصادق للترتيب هو مسار خاص إلى حساب معروف، ويجب أن يقتصر ادعاء الخصوصية على ما يحميه ذلك فعلاً.