Tor ці VPN: вырашайце па тым, каму кожны шлях прымушае вас давяраць
VPN збірае ўвесь ваш давер на аднаго аператара; Tor размяркоўвае яго па рэлеях. Вырашайце па ахопу, па тым, хто можа звязаць вас з сайтам, і па тым, што вы можаце праверыць.
Выбар паміж Tor і VPN зводзіцца да таго, якога боку вы можаце дазволіць бачыць абодва канцы злучэння. VPN засяроджвае гэты погляд у адным абраным вамі аператары. Tor раздзяляе яго па рэлеях, таму ніводнае рэле не павінна даведацца, хто вы і што вы загрузілі.
Ніводная схема сама па сабе не робіць вас ананімнымі. Абярыце тую, чый рэштак даверу вы можаце назваць уголас, і потым закрыйце часткі, якія яна пакідае адкрытымі.
Палічыце, хто можа звязаць вас з мэтай
З VPN кожны ахоплены паток дасягае выхаду аператара раней, чым мэты. Гэты аператар абавязкова бачыць ваш адрас крыніцы і, для ўсяго, што не шыфруецца праз яго, мэту, якую вы запыталі. TLS трымае змест старонкі па-за гэтым поглядам, але звычайна пакідае імя хаста бачным, пакуль устанаўліваецца злучэнне. Такім чынам, адзін бок можа звязаць вас з сайтам, і гэтая сувязь — менавіта той давер, які вы даяце.
Tor раздзяляе гэтыя паловы па трох рэлеях: вартавы, які ведае ваш адрас, але не вашу мэту; сярэдні, які не ведае ніводнага канца; і выхад, які ведае мэту, але не вас. Схема мяркуе, што ніводнае асобнае рэле не спалучае абодва факты, і гэта больш слабае і больш карыснае дапушчэнне, чым давяраць адной кампаніі. Яна не мяркуе, што рэлеі сумленныя, і не перамагае назіральніка, які сочыць за абодвума канцамі шляху.
Абедзве схемы маюць адзін слабы пункт, і ён знаходзіцца ў мэце. Калі вы ўваходзіце, сэрвіс звязвае гэтую сесію з вашым уліковым запісам, якім бы шляхам ні ішлі пакеты. Маршрутызацыя змяняе тое, адкуль нібыта прыходзіць запыт, а не тое, што старонка просіць вас падаць.
Ахоп важнейшы за схему маршрутызацыі
VPN маршрутызуе на сеткавым узроўні, таму кожная праграма на прыладзе атрымлівае тунэль у спадчыну, калі вы наўмысля не выключыце яе. Менавіта праз гэтую шырыню ён працуе адначасова для паштовага кліента, менеджара пакетаў і браўзера.
Tor Browser — гэта зборка, і яе абароны пераважна жывуць унутры браўзера: адзіны адбітак, ізаляцыя паміж сайтамі і скрыпты, абмежаваныя ўзроўнем бяспекі, а не тымі пашырэннямі, якія вы ўсталявалі. Калі нацэліць Chrome на порт SOCKS, атрымаеце маршрутызацыю без усяго гэтага, што часта становіцца крыніцай няправільнай упэўненасці.
Рэшта працоўнага стала застаецца некранутай. Кліент сінхранізацыі, абнаўляльнік або спампаваны дакумент, адкрыты ў іншай праграме, злучаецца так, як наладжана гэтая праграма, і нішто з гэтага не праходзіць праз слухач SOCKS, калі вы не наладзіце яго там. Пералічыце праграмы, якія размаўляюць з сеткай, і спытайце, якія з іх абраны інструмент сапраўды ахоплівае. Ахоп — гэта ўласцівасць вашай налады, а не вашых намераў.
Выбірайце па трох умовах
Рашэнне звычайна вырашаецца трыма пытаннямі: ці ідзе трафік з адной праграмы ці з усёй прылады, ці не павінна мэта здолець вызначыць ваш адрас, і ці трэба вам дасягнуць прыватнай сеткі? Адкажыце на іх у гэтым парадку, і інструмент пераважна выбера сябе сам.
| Requirement | Better fit | Reason |
|---|---|---|
| Every app covered, including non-browser traffic | A device VPN | Routing happens below the application, with a kill switch to stop leaks |
| Destination must not learn your address | Tor | The site sees a shared exit address rather than one tied to your account |
| Browser fingerprint that blends in | Tor Browser | The uniformity ships with the browser, a proxy alone adds none of it |
| Access to a private subnet or office resource | A VPN | Tor exits reach the public internet, not your internal routes |
Калі два патрабаванні супярэчаць, узважце, якое вы можаце забяспечыць. Тунэль на прыладзе з дзіравым спісам выключэнняў горшы за маршрут толькі ў браўзеры, які вы можаце прадэманстраваць.
Праверка танна каштуе для абодвух шляхоў, і яна павінна адбыцца раней, чым вы спадзяецеся на любы з іх:
curl -s --socks5-hostname 127.0.0.1:9050 https://check.torproject.org/api/ip curl -4 -s https://api.ipify.org; echo
Ілжывы вынік першай каманды азначае, што запыт выйшаў за межы ланцуга, і гэта памылка, якую варта злавіць рана. Параўнайце другі з адрасам, які прызначыў ваш правайдар, а не з тым, які вы памятаеце з мінулага тыдня.
Што не выпраўляе ні адзін варыянт
Шыфраванне праграм па-ранейшаму робіць працу, якую не выконвае ніводны маршрут. Звычайны HTTP, які перасякае прыватную сетку, застаецца чытэльным на выхадзе, і HTTPS застаецца адзіным, што абараняе карысную нагрузку ад канца да канца. TLS таксама нічога не кажа пра імя хаста, якое вы ўвялі, таму мэта застаецца бачнай для ўсяго, што завяршае шлях.
Уліковыя запісы ідэнтыфікуюць вас, і ніводны выбар маршруту гэтага не змяняе: сэрвіс ведае, хто ўвайшоў, незалежна ад адраса ў загалоўку. Карэляцыя назіральнікам, які бачыць дастаткова сеткі, кампраметацыя вашай прылады і ўсё, што вы ўводзіце ў форму, перажываюць абедзве схемы. Стаўцеся да абодвух інструментаў як да спосабаў перамяшчаць давер, а не выдаляць яго.
Пачніце з канфігурацыі па змаўчанні, якую дакументуе кожны праект, пацвердзіце маршрут двума камандамі вышэй, і толькі тады разглядайце ўкладванне VPN пад Tor. Укладанне іх адно ў адно — гэта налада з уласнымі рэжымамі адмоваў, а не бясплатнае абнаўленне.