Tor sobre VPN: qui veu la vostra IP i qui veu que feu servir Tor?

Connecteu el client VPN, espereu el túnel i després obriu el Tor Browser perquè construeixi un circuit. Aquesta seqüència tan corrent és la que decideix qui veu què. En aquest ordre, el relé d'entrada de Tor veu l'adreça de sortida de la vostra VPN, i el vostre proveïdor de VPN veu un relé de guàrdia públic. Feu-ho a l'inrevés i tots dos observadors canvien. Val la pena repassar tots dos ordres, perquè la configuració del client trenca en silenci la seqüència que la gent creia que hi havia, i la comprovació que ho detecta és la mateixa en tots dos casos.

Comenceu per l'ordre, no pel producte

Dues disposicions es diuen «VPN amb Tor», i només la primera és habitual. Amb Tor sobre VPN, el túnel ja està aixecat quan arrenca Tor, així que el procés tor envia la seva connexió de guàrdia dins del túnel com qualsevol altre tràfic de sortida. Amb VPN sobre Tor, primer arrenca Tor i la mateixa sessió VPN viatja pel circuit, arribant al proveïdor des d'una sortida de Tor.

El que canvia entre elles és quina adreça se situa a l'extrem més llunyà de l'enllaç més exterior. Cada observador només veu l'hop anterior, mai el camí sencer: la guàrdia veu qui s'hi ha connectat, i el servidor VPN veu qui s'hi ha connectat. Tor no transporta cap a fora l'adreça local del vostre túnel, i no hi ha cap camp al protocol on ho pogués fer.

En tots dos ordres, el lloc de destinació encara veu una sortida de Tor, i cap dels dos ordres canvia el que aquell lloc aprèn del vostre inici de sessió. La diferència es limita a les dues vores.

Què veu el relé d'entrada de Tor

L'entrada, o guàrdia, accepta una connexió TCP corrent en un port de relé i inicia un intercanvi TLS amb el client. En una configuració de Tor sobre VPN, l'origen d'aquesta connexió és la vostra sortida VPN. En una configuració amb Tor primer, és l'adreça que la vostra màquina va fer servir per arribar a la xarxa Tor, normalment la vostra connexió de casa.

Això respon la meitat de la pregunta sobre la IP, però només si el túnel ha portat realment la connexió. El procés de Tor arriba a la guàrdia amb el seu propi sòcol, i aquest sòcol no es regeix per la configuració de servidor intermediari del Tor Browser. El navegador parla amb el procés tor inclòs mitjançant SOCKS al 9150, i després tor obre la seva pròpia connexió fent servir la taula d'encaminament del nucli. Una línia Socks5Proxy a torrc, o un transport de client, canvien aquest camí. Res més no ho fa.

A Linux podeu llegir la resposta de la màquina. Pregunteu al nucli quina interfície faria servir per a una adreça pública qualsevol, i després mireu l'adreça local de la connexió establerta:

ip route get 203.0.113.10
sudo ss -tnp | grep -i tor

Si la ruta diu dev wg0 o dev tun0, i l'adreça local de la connexió establerta és l'adreça del túnel, Tor és dins de la VPN. Si la ruta anomena la vostra interfície física, és fora, digui el que digui l'indicador del client.

Què pot veure el vostre proveïdor de VPN

El proveïdor acaba la vostra sessió VPN, així que veu les adreces a les quals us connecteu. Les adreces dels relés de guàrdia es publiquen al consens públic i els seus ports són ben coneguts, així que emparellar-ne una és una cerca en una llista, no una inspecció profunda de paquets. Un proveïdor no necessita trencar Tor per saber que una sessió és Tor.

El que no veu és la resta del circuit. El relé intermedi i la sortida es trien dins de Tor, i el proveïdor només gestiona l'enllaç amb la guàrdia. El contingut de la pàgina es queda dins del TLS que acaba a la sortida, i la resolució de noms per al tràfic de Tor també passa a la sortida, així que no hi ha cap consulta DNS al proveïdor per correlacionar amb una destinació.

Els ponts amb obfs4 canvien la cerca, no la topologia. L'adreça d'un pont no apareix a la llista pública de relés i el tràfic es modela perquè no sembli Tor, així que un operador que només compara adreces no el marcarà. La sessió encara ve del vostre client VPN, i el proveïdor encara veu un punt final, un volum i un horari.

La capacitat no és una política de retenció

Un operador que pot observar una connexió no ha promès conservar-la. El registre és una decisió a part, escrita en una política, limitada per la jurisdicció i comprovable només amb proves en què ja confieu. L'etiqueta de sense registres no canvia el paper de xarxa descrit més amunt.

La identitat del compte normalment importa més que l'adreça de sortida. Si heu iniciat sessió amb una adreça de correu electrònic o heu pagat amb targeta, el proveïdor pot vincular la sessió a vós sense registrar cap destinació. Rotar les IP de sortida no hi fa res.

Comproveu la cobertura abans de confiar en qualsevol de les dues respostes

La majoria de qui creu que fa anar Tor sobre VPN només en fa anar una part. L'encaminament dividit que exclou el Tor Browser, un interruptor de seguretat que cobreix el navegador però no el servei tor, una unitat d'arrencada que s'executa abans que el túnel estigui aixecat i un camí IPv6 que voreja el túnel són els quatre habituals.

Llegir la pantalla d'estat del client no en prova cap. La prova que sí que ho fa: deixeu el Tor Browser en marxa, abaixeu el túnel i observeu si la connexió de guàrdia sobreviu a la interfície física.

L'ordre en què ho comprovo, aturant-me al primer fracàs:

• ip route get 203.0.113.10 retorna el dispositiu del túnel.
• ss -tnp | grep -i tor mostra la connexió de guàrdia amb una adreça local del túnel.
• ip -6 route no té cap ruta per defecte fora del túnel, o l'IPv6 està desactivat al client.
• Baixar la VPN acaba o redirigeix la connexió de tor en lloc de deixar-la a l'enllaç físic.

Quin ordre encaixa amb allò que defenceu

Tots dos ordres amaguen alguna cosa i n'exposen una altra, així que la resposta és una elecció sobre l'observador que us importa.

Llegiu-ho per columnes fins que una fila coincideixi amb allò que voleu evitar. Si el neguit és una xarxa local o un proveïdor d'accés que enregistra o bloqueja Tor, Tor sobre VPN ho resol. Si el neguit és que l'operador de la VPN conegui la vostra adreça de casa, VPN sobre Tor ho resol, i ho paga exposant l'ús de Tor a la vostra pròpia xarxa i l'adreça de casa a la guàrdia.

Cap de les dues disposicions deixa les dues vores cegues. Afegir un observador no n'elimina cap. La nota del Tor Project sobre fer anar una VPN amb Tor diu el mateix des de l'altre costat: el túnel canvia en qui es confia i quins camins de fallada existeixen, així que no és una millora que s'afegeixi sense decidir què volíeu amagar.

Decidiu primer l'observador, trieu l'ordre després, i verifiqueu amb ip route get i ss en lloc de l'indicador del client. Si l'observador és algú que pot obligar el mateix proveïdor de VPN, cap elecció d'ordre ho arregla.