Tor, nebo VPN: rozhodněte se podle toho, komu vás každá cesta nutí věřit
VPN vrší vaši důvěru na jednoho operátora; Tor ji rozprostírá mezi relé. Rozhodujte se podle pokrytí, podle toho, kdo vás může propojit se stránkou, a podle toho, co můžete ověřit.
Volba mezi Tor a VPN se redukuje na to, kterou stranu dokážete snést, aby viděla oba konce spojení. VPN soustředí tento pohled do jednoho operátora, kterého jste vybrali. Tor jej rozděluje mezi relé, takže žádné jednotlivé relé nemá zjistit, kdo jste a co jste stáhli.
Ani jedno uspořádání vás samo o sobě nečiní anonymními. Vyberte to, jehož zbývající důvěru dokážete vyslovit nahlas, a pak opravte části, které nechává odkryté.
Spočítejte, kdo vás může propojit s cílem
U VPN každý pokrytý tok dorazí k výstupu operátora dřív, než dorazí k cíli. Tento operátor nutně vidí vaši zdrojovou adresu a u všeho, co přes něj není šifrované, i cíl, který jste požadovali. TLS drží obsah stránky mimo tento pohled, ale obvykle ponechává jméno hostitele viditelné, dokud se spojení navazuje. Jedna strana vás tedy může propojit se stránkou a toto propojení je právě tou důvěrou, kterou dáváte.
Tor rozděluje tyto poloviny mezi tři relé: strážce, který zná vaši adresu, ale ne cíl, střední relé, které nezná ani jeden konec, a výstup, který zná cíl, ale ne vás. Návrh předpokládá, že žádné relé nespojuje oba údaje, což je slabší a užitečnější předpoklad než důvěra v jednu firmu. Nepředpokládá, že relé jsou poctivá, a neporáží pozorovatele, který sleduje oba konce cesty.
Oba návrhy sdílejí jeden slabý bod a ten leží v cíli. Pokud se přihlásíte, služba propojí tuto relaci s vaším účtem bez ohledu na to, jakou cestou pakety dorazily. Směrování mění, odkud žádost zdánlivě přichází, ne co po vás stránka chce, abyste poskytli.
Pokrytí je důležitější než schéma směrování
VPN směruje na síťové vrstvě, takže každá aplikace v zařízení dědí tunel, pokud ji záměrně nevyloučíte. Právě tato šíře je důvod, proč funguje současně pro poštovního klienta, správce balíčků i prohlížeč.
Tor Browser je balík a jeho ochrany žijí převážně uvnitř prohlížeče: jednotný otisk, izolace mezi stránkami a skripty omezené úrovní zabezpečení, nikoli rozšířeními, která jste nainstalovali. Nasměrování Chromu na port SOCKS koupí směrování bez čehokoli z toho, což je častý zdroj mylné jistoty.
Zbytek pracovní plochy zůstává nedotčen. Synchronizační klient, aktualizátor nebo stažený dokument otevřený v jiném programu se připojuje tak, jak je tento program nastaven, a nic z toho neprochází přes posluchač SOCKS, pokud to tam nenastavíte. Vyjmenujte aplikace, které komunikují se sítí, a pak se ptejte, které z nich zvolený nástroj skutečně pokrývá. Pokrytí je vlastnost vaší konfigurace, ne vašeho úmyslu.
Vyberte podle tří podmínek
Rozhodnutí se obvykle vyřeší třemi otázkami: přichází provoz z jedné aplikace, nebo z celého zařízení, musí cíl být neschopen identifikovat vaši adresu, a potřebujete dosáhnout privátní sítě? Odpovězte v tomto pořadí a nástroj se většinou vybere sám.
| Requirement | Better fit | Reason |
|---|---|---|
| Every app covered, including non-browser traffic | A device VPN | Routing happens below the application, with a kill switch to stop leaks |
| Destination must not learn your address | Tor | The site sees a shared exit address rather than one tied to your account |
| Browser fingerprint that blends in | Tor Browser | The uniformity ships with the browser, a proxy alone adds none of it |
| Access to a private subnet or office resource | A VPN | Tor exits reach the public internet, not your internal routes |
Když si dva požadavky odporují, zvažte, který dokážete prosadit. Tunel v zařízení s děravým seznamem výjimek je horší než cesta jen v prohlížeči, kterou dokážete předvést.
Ověření je levné pro obě cesty a mělo by proběhnout dřív, než se na kteroukoli spoléháte:
curl -s --socks5-hostname 127.0.0.1:9050 https://check.torproject.org/api/ip curl -4 -s https://api.ipify.org; echo
Falešný výsledek prvního příkazu znamená, že žádost vyšla mimo okruh, a to je selhání, které stojí za to zachytit brzy. Porovnejte druhý s adresou, kterou vám přidělil poskytovatel, ne s tou, kterou si pamatujete z minulého týdne.
Co ani jedna možnost neopraví
Šifrování aplikací stále dělá práci, kterou žádná cesta nevykonává. Prosté HTTP procházející sítí soukromí zůstává na výstupu čitelné a HTTPS zůstává jedinou věcí, která chrání obsah od konce ke konci. TLS také nic neříká o jménu hostitele, které jste napsali, a proto cíl zůstává viditelný pro každého, kdo cestu ukončuje.
Účty vás identifikují a žádná volba směrování to nezmění: služba ví, kdo se přihlásil, bez ohledu na adresu v hlavičce. Korelace pozorovatelem, který vidí dost sítě, kompromitace vašeho zařízení a cokoli, co napíšete do formuláře, přežívají oba návrhy. Berte oba nástroje jako způsoby, jak důvěru přesouvat, ne jak ji smazat.
Začněte u výchozí konfigurace, kterou každý projekt dokumentuje, potvrďte cestu dvěma příkazy výše a teprve potom zvažujte vrstvení VPN pod Tor. Vnořování je konfigurace s vlastními režimy selhání, ne bezplatné vylepšení.