Interruptor de seguretat enfront de l’aïllament de Tor Browser: dues proves diferents

Els interruptors de seguretat i els models d’identitat del navegador es confonen perquè tots dos es descriuen com a funcions de privadesa. Un bloqueja el trànsit a la capa de xarxa, i l’altre limita què pot enllaçar una sessió de navegació. Superar una prova del primer no diu res sobre el segon, i una pàgina que es carrega dins del Tor Browser no diu res sobre el primer. La decisió és quin control respon a quina pregunta, perquè aquesta elecció determina quines proves compten.

Dos controls en dues fronteres

Un interruptor de seguretat és una regla sobre rutes: quan el túnel no està aixecat, el trànsit que d’una altra manera prendria un camí diferent es descarta. El seu abast és el que cobreix la implementació, que pot ser tot el sistema, una aplicació o només les famílies d’adreces que gestiona el client. L’aïllament del navegador tracta de què pot observar un lloc sobre un visitant durant una sessió: galetes, estat en memòria cau, empremtes digitals, inicis de sessió. Cap mecanisme no pot substituir l’altre, perquè actuen sobre objectes completament diferents.

Per això una màquina pot superar una prova perfecta d’interruptor de seguretat i encara filtrar la identitat a través d’un inici de sessió. El contrari passa amb la mateixa freqüència: un navegador ben aïllat en un amfitrió la telemetria del qual pren un camí que la política mai no va cobrir.

Posar tots dos sota una sola etiqueta és el que produeix proves dolentes, perquè llavors un aprovat d’una banda substitueix la parella. Manteniu-los en columnes separades des del principi. El títol de la columna també us diu quin artefacte us deu la prova: un paquet bloquejat o un registre de sessió.

La prova de caiguda respon a una pregunta més estreta

Una caiguda controlada mostra si el client bloqueja el trànsit que heu provat, a la plataforma que heu provat, mentre va durar la prova. Incloeu les famílies d’adreces, les aplicacions i les transicions de xarxa que esmenta el requisit, perquè cadascuna és una afirmació separada. Un bloqueig que val per a IPv4 i no per a IPv6 és una troballa real, i també ho és un bloqueig que val en una xarxa per cable però no en un traspàs mòbil. Escriviu l’abast al costat del resultat, perquè un aprovat sense qualificacions és com una prova estreta es converteix en una suposició àmplia.

El control negatiu importa tant com el positiu. Confirmeu que la mateixa sol·licitud té èxit mentre el túnel està aixecat, perquè quedi clar que el bloqueig venia de la política i no d’una destinació que mai no va funcionar. Una prova que va fallar en tots dos estats no demostra res, i val la pena dir-ho al registre en lloc de descartar-la en silenci.

L’aïllament és una propietat del navegador, no una ruta

El disseny declarat del Tor Browser limita la vinculabilitat mantenint junts l’estat del circuit i del navegador i esborrant l’estat quan es demana, i el projecte documenta què significa això a la pràctica per a la gestió d’identitats. Aquest disseny pressuposa la configuració suportada, no un navegador genèric apuntat a un port de proxy. Les extensions afegides per comoditat poden desfer part de l’aïllament, i un inici de sessió capturat enllaça tot el que segueix independentment del circuit. El comportament documentat és prou curt per llegir-lo directament.

Les observacions del navegador i les de la xarxa responen a preguntes diferents, així que guardeu-les en notes separades. Una pàgina que es carrega per Tor mentre la VPN està aixecada us diu que el proxy funciona i res sobre el comportament de descart de la VPN. Un paquet bloquejat durant una caiguda no diu res sobre si dos inicis de sessió eren enllaçables una hora abans.

Dos registres, dues preguntes

Per a l’interruptor de seguretat, pregunteu si una aplicació concreta pot sortir per una ruta no desitjada durant un error, i porteu una caiguda controlada amb una destinació de registre que posseïu. Per a l’aïllament del navegador, pregunteu quins comptes, estat i senyals podrien enllaçar dues activitats, i porteu un flux de treball en lloc d’una captura de paquets. Si una segona aplicació importa, proveu-la per separat, perquè l’abast és per aplicació més sovint del que els proveïdors insinuen. Dues preguntes diferents produeixen dos artefactes diferents i un informe honest.

Dibuixeu tots dos camins abans de provar: la ruta normal i la ruta després d’una fallada del túnel, per a cada aplicació dins l’abast. Un dibuix exposa la llacuna que amaga un sol indicador verd, perquè us obliga a anomenar què està cobert i què no. Feu-ho mentre els sistemes estan sans, quan ningú no té pressa per declarar la comprovació acabada.

Cap dels dos controls no certifica l’altre, i una configuració combinada necessita tots dos registres abans de poder reclamar les dues propietats. Reclamar totes dues a partir d’un sol indicador verd és exactament la fallada que aquesta parella ha d’evitar.