Fer servir una VPN davant de Tor et fa més difícil de vigilar?

Afegir un altre segment xifrat a un camí no elimina els observadors; els trasllada i, de vegades, n'afegeix un. L'exercici útil és dibuixar la ruta i etiquetar qui veu què a cada pas, perquè una VPN davant de Tor i una VPN a la qual s'arriba a través de Tor donen respostes oposades a gairebé totes les preguntes que val la pena fer. Cap de les dues disposicions no derrota un extrem compromès, i cap no arregla un compte que anomena l'usuari. Recórrer el camí en ordre i després preguntar què falla quan desapareix una capa converteix un eslògan en una decisió.

Recorre el camí i anomena cada observador

Comença pel cas senzill de Tor i etiqueta cada salt. La xarxa local i el proveïdor d'internet veuen una connexió a un punt d'entrada de Tor, amb la seva mida i la seva temporització. El guardià d'entrada veu l'adreça del client, i per això el guardià és una relació de llarga durada i no una tria aleatòria. El node de sortida veu la destinació i el text pla de tot allò que no està xifrat d'extrem a extrem, mentre que la destinació veu una adreça de sortida sense cap adreça de client associada.

Anota aquestes etiquetes abans d'afegir res. El diagrama és l'argument, i és fàcil de comprovar.

Dos ordres produeixen observacions diferents

Una VPN situada davant de Tor fa que el trànsit surti del dispositiu cap al proveïdor de VPN, surti d'aquest proveïdor i només després arribi a una entrada de Tor. La xarxa local ja no veu Tor en absolut, que és exactament l'objectiu quan una xarxa el bloqueja o el vigila. El guardià d'entrada ara veu l'adreça de la VPN en lloc de la de l'usuari, i el proveïdor de VPN veu que un client concret es connecta a Tor amb un patró de temporització determinat. Aquest proveïdor es converteix en una part nova amb una observació valuosa, i la seva política de registres passa a formar part del model d'amenaces en lloc de quedar-ne fora.

Arribar a una VPN a través de Tor inverteix l'ordre i inverteix també l'exposició: la destinació veu l'adreça de la VPN, la sortida de Tor ja no veu la destinació, i el proveïdor de VPN veu arribar trànsit de Tor en lloc de l'adreça de casa d'un client. També grava la connexió amb dues capes de latència i exigeix un suport de client que moltes aplicacions comercials no ofereixen.

Triar entre elles és una qüestió de quin observador importa més, no de quina sona més segura. Un usuari que amaga l'ús de Tor a una xarxa local vol el primer ordre; un usuari que intenta que una destinació no aprengui res que se li pugui atribuir necessita una anàlisi diferent, i cap dels dos ordres no amaga un nom de compte.

Què encara identifica la sessió

Els observadors a nivell d'adreça només són una part del quadre, i sovint no la part decisiva. Un compte amb sessió lliga l'activitat a una identitat sigui quina sigui l'adreça de sortida que va portar el paquet, i un registre de pagament que el servei pugui vincular a una persona fa el mateix. L'estat del navegador també hi contribueix: una galeta persistent, una sessió desada o una extensió identificadora poden seguir un usuari a través de circuits dissenyats per no ser vinculables.

El contingut enviat a un lloc és el tercer senyal. Un document amb metadades, un nom escrit en un formulari o un estil d'escriptura únic sobreviuen a qualsevol nombre de capes de xifrat, i cap de les eines que hi ha al davant no està dissenyada per tocar-ho. Mantenir una llista honesta d'aquests identificadors protegeix més que afegir un altre salt.

Planifica una capa que desaparegui

El comportament davant d'una fallada és on les disposicions realment difereixen, i és una propietat de configuració, no una característica de cap de les dues eines. Si la VPN cau mentre Tor està configurat per passar-hi, Tor s'atura o es reconnecta silenciosament pel camí ordinari? La segona sortida no és una fuita cap a la destinació, però sí que revela a la xarxa local que s'usa Tor, que pot ser exactament el que la disposició volia evitar.

Un interruptor d'aturada a nivell de dispositiu pot fer complir part de la resposta refusant el trànsit fora del túnel, i només cobreix el trànsit que el dispositiu encamina. Una aplicació exclosa del túnel se salta aquesta protecció, i un resolutor usat durant la configuració de la connexió pot revelar noms fins i tot quan la càrrega útil es queda dins del túnel. Llegeix les exclusions i la configuració del resolutor en lloc de suposar que l'interruptor ho cobreix tot.

Deixa el paquet del navegador tranquil

Les proteccions del Tor Browser depenen que tot el paquet es comporti com es va dissenyar: la seva pròpia configuració de proxy, l'aïllament entre llocs i les defenses contra empremtes digitals. Apuntar un navegador corrent a un port local de Tor, o afegir una extensió de proxy al Tor Browser, canvia supòsits en què es basa el disseny. La guia del mateix Tor Project sobre combinar una VPN amb Tor tracta la combinació com una configuració avançada, i aquesta precaució fa referència a aquestes interaccions i no al proveïdor de la VPN.

Abans de combinar eines, has de poder exposar amb frases senzilles el camí normal, el camí de fallada i el paper de cada operador. Si l'única justificació és que dues capes sonen més segures, no hi ha cap requisit contra el qual dissenyar, i el mode de fallada afegit és el principal que s'ha afegit.