Přihlášení přes Tor sdělí webu, kdo jste, ne kde jste

Adresa výstupu se mění, jméno účtu ne, a web o tomto účtu roky buduje profil. Přihlášení přes Tor odstraní jeden signál, vaši obvyklou síťovou polohu, a zbytek obrazu nechá nedotčený. Pořád to má nějakou cenu a není to anonymita vůči službě, u které jste se právě ověřili. Rozdíl je snadné vyslovit a snadné zapomenout pod tlakem.

Co prozradí samotné přihlášení

Úspěšné přihlášení je záměrné prohlášení, že tato relace patří tomuto účtu. Ze strany služby je vše po něm přiřaditelné, včetně navštívených stránek, odeslaných zpráv a denních dob, kdy se účet objevuje.

Tor mění to, co cílové místo může pozorovat o vaší síťové cestě: místo vaší adresy vidí výstupní uzel. Nemění to, co jste webu sdělili ověřením, a nedělá ze dvou přihlášení ze stejného účtu nesouvisející události.

Odkazy uvnitř účtu fungují stejně. Záložní adresa, telefonní číslo, uložený způsob platby nebo přezdívka použitá jinde se všechny vážou k identitě, se kterou jste se přihlásili, bez ohledu na trasu, kterou pakety prošly.

Nový okruh není nový účet

Tor Browser nabízí dvě různé akce, které lidé považují za jednu. Nový okruh pro web mění cestu uzlů použitou pro toto cílové místo a soukromý stav prohlížeče nechává být. Nová identita je širší: vymaže stav prohlížeče, uzavře aktivitu a začne znovu, což je jiná operace s jinými následky.

Ani jedna z akcí nežádá druhou stranu, aby na něco zapomněla. Již vydané soubory cookie, relace uložená webem nebo otisk zařízení získaný při přihlášení i po změně trasy popisují stejného návštěvníka.

Čerstvá adresa výstupu se tedy u služby, která účet zná, nečte jako nový člověk. Čte se jako stejný účet přicházející odjinud, a to je přesně vzorec, na který jsou antifraudové systémy stavěné. Tento vzorec není chyba webu. To web dělá práci, kterou jste po něm přihlášením chtěli, a jediná překvapení přicházejí z očekávání opaku.

Co výstup stále vidí

Výstupní uzel přenáší váš provoz nešifrovaně, pokud cílové místo nepoužívá HTTPS, a proto na této cestě záleží na kontrolách certifikátu v prohlížeči víc, ne míň. Škodlivý výstup je pro nešifrovaný provoz reálný protivník a přihlašovací stránka je to nejhorší místo, kde se s ním setkat.

HTTPS chrání obsah před výstupem a s účtem, se kterým jste se rozhodli ověřit, nedělá nic. Obě ochrany pokrývají různé pozorovatele a ani jedna nenahrazuje druhou.

Počítejte s kontrolami účtu

Služby na výstup z Toru běžně reagují dodatečným ověřením: captchou, potvrzením e-mailem nebo dočasným pozdržením. Je to normální reakce na sdílený a dříve zneužívaný rozsah zdrojů, ne důkaz, že relace byla napadena.

Užitečná reakce je absolvovat podporovanou kontrolu jednou. Opakované přepínání okruhů, dokud výzva nezmizí, vás o účtu nic nenaučí a může vypadat hůř než původní výzva. Zároveň plýtvá jedinou věcí, kterou jste chránili.

Pokud kontrolu nelze dokončit, je to informace o politice služby a rozhodnutí, které máte udělat, je, zda účet stojí za to dostat i bez tunelu. Obě možnosti jsou legitimní; předstírat, že překážka je chyba, ne.

Rozhodněte, který cíl vlastně máte

Lidé si pletou dva cíle: chránit cestu k známé identitě a zabránit spojení oddělených aktivit. Tor dobře slouží prvnímu. Druhý vyžaduje vůbec se nepřihlašovat, nebo se přihlašovat jen identitou vytvořenou pro tento účel a nikdy nesmíchanou s první.

Pojmenujte cíl, než zvolíte nástroj. Pokud se účet musí použít, poctivý popis nastavení je soukromá cesta ke známému účtu a nárok na soukromí by měl být omezen na to, co to skutečně chrání.