Amaga una VPN la baixada del Tor Browser a la xarxa local?

Una baixada que circula dins d’una VPN amaga bé una cosa: la destinació a la xarxa local. El router veu una connexió al punt final de la VPN i res a dins. Això és un guany real, i també és tot el guany. L’operador encara veu la petició, i el dispositiu encara registra el fitxer.

Anomeneu l’observador del qual us amagueu abans de triar un mètode.

Pas 1: anomeneu l’observador

En una baixada coberta hi ha quatre observadors. La xarxa d’accés veu el moment i el volum. L’operador de la VPN veu la destinació, perquè és qui reenvia la petició. El lloc de baixada veu l’adreça de la VPN. La màquina veu el fitxer, la instal·lació i l’entrada d’historial que la segueix.

Només el primer queda derrotat pel túnel. Els altres tres necessiten un control diferent.

Pas 2: verifiqueu el camí que la baixada segueix de debò

Abans de baixar, confirmeu que el trànsit va dins del túnel i no al costat. ip route get 1.1.1.1 mostra quina interfície faria servir una destinació, i ss -tn state established "( dport = :443 )" durant una prova de baixada mostra l’adreça del parell a què la connexió ha arribat realment. Si aquest parell és el punt final de la VPN, el camí queda cobert. Si és una adreça pública que pertany a la destinació, hi ha túnel dividit en marxa i la xarxa d’accés ho veu tot.

Torneu a fer la comprovació després de qualsevol actualització del client, perquè les regles del túnel dividit són política i no una propietat de la interfície.

Pas 3: baixeu de la font oficial i verifiqueu l’artefacte

Feu servir la pàgina de baixada admesa i manteniu les comprovacions HTTPS intactes. Un avís de certificat en aquesta baixada no és cosa de clicar-hi per sobre, i un mirall que promet un instal·lador més ràpid no substitueix l’editor. El túnel canvia el camí que fan els bytes i no diu res sobre qui els ha produït.

Verifiqueu la signatura en lloc de confiar en el nom del fitxer:

gpg --verify tor-browser-linux-x86_64-*.tar.xz.asc tor-browser-linux-x86_64-*.tar.xz
sha256sum tor-browser-linux-x86_64-*.tar.xz

Una bona signatura de la clau de l’editor és la comprovació d’integritat. Una suma de verificació coincident publicada pel mateix mirall no fiable no ho és.

Pas 4: manteniu el camí d’execució a part

Baixar sota una VPN no configura Tor Browser perquè continuï fent-ne servir una. El navegador arriba a la xarxa Tor a través de l’encaminament que el sistema operatiu té en engegar-se, així que un túnel que era actiu durant la baixada i apagat en arrencar produeix un camí diferent amb el mateix binari. Decidiu l’ordre a consciència, primer VPN i després Tor o Tor tot sol, i anoteu en quin ha d’estar la màquina. Barrejar-los tots dos per accident no us dona la visibilitat de cap.

Comproveu-ho després d’arrencar en lloc de suposar-ho: la pantalla del circuit mostra el guardià que ha triat el navegador, i una prova de connexió senzilla mostra si la ruta del sistema encara és el túnel.

Pas 5: netegeu el que el dispositiu encara registra

El fitxer és el rastre més gran. Les baixades, l’historial de l’intèrpret d’ordres, les llistes de documents recents, el registre del gestor de paquets si heu instal·lat un deb, i qualsevol agent de punt final en una màquina gestionada guarden tots proves de la instal·lació. En equip que no administreu, un túnel no elimina la gestió, i tractar-lo com si ho fes és un problema de política, no tècnic.

Suprimiu l’arxiu quan la instal·lació estigui verificada, i accepteu que desinstal·lar el navegador més endavant no traurà el registre de la baixada d’un dispositiu gestionat.

Aquesta és la resposta honesta: la xarxa local veu menys, i tota la resta veu el que veia abans.